Фальшивое собеседование и ИИ: как хакеры украли $6,3 млрд с Binance

Первые признаки проникновения появились еще в июне 2026 года, когда инженер команды Wallet DevOps загрузил модифицированный инсталлятор Homebrew, найдя его через поисковую систему. Этот инструмент, предназначенный для вайбкодинга, содержал вредоносный код. Хотя служба безопасности Binance обнаружила аномальную активность, заменила устройство и обновила учетные данные, хакеры уже получили ценную информацию о роли инженера и его коллег, работавших над инфраструктурой кошельков.

Следующий критический этап произошел в сентябре, когда другой инженер-программист Binance, искавший новую работу, прошел фальшивое онлайн-собеседование. Злоумышленники представились реальной компанией, а один из них даже назвался генеральным директором. Во время собеседования инженера попросили загрузить репозиторий с программным кодом на свой рабочий компьютер, который, как оказалось, содержал вредоносное программное обеспечение.

20 октября злоумышленники воспользовались зараженным устройством и внутренним ИИ-инструментом Binance, чтобы получить доступ к компьютерам еще двух инженеров, включая того, кто загрузил Homebrew в июне. На одном из этих компьютеров хранился токен с разрешением на развертывание контейнеров, что дало хакерам критический доступ к системе управления криптокошельками.

Кульминация атаки пришлась на 29 октября. Хакеры получили доступ к сервису, который подтверждает операции с криптовалютой, и начали массово переводить активы на собственные адреса. В течение нескольких минут из кошельков Binance было выведено 233,46 млн XRP, а также биткоины, SOL и другие криптовалюты.

В разгар атаки Binance получила внутреннее оповещение о крупных по объему переводах, немедленно начала расследование и приостановила операции по выводу средств. Однако хакеры заранее создали разрешения в блокчейне, что позволяло им перемещать активы даже после блокировки стандартных операций. Окончательно остановить несанкционированные переводы удалось лишь в ночь на 30 октября.

Федеральное бюро расследований США обвинило в организации этой кибератаки северокорейскую хакерскую группировку. По данным Министерства финансов США, северокорейские хакеры активно похищают и отмывают цифровые активы для финансирования разработки ядерного оружия и баллистических ракет. Однако Северная Корея отвергла эти обвинения. Общий отток средств с Binance превысил $3,6 млрд.

Масштаб инцидента привлек внимание не только из-за значительной суммы похищенных средств, но и из-за влияния на миллионы пользователей. Binance имеет около 335 миллионов пользователей, хранит $162,8 млрд клиентских активов и обеспечивает годовой оборот примерно $34 трлн. Компания признала серьезность инцидента и пообещала компенсировать потери всем пострадавшим клиентам, а также восстановила 98% пострадавших токенизированных активов по состоянию на 31 октября.

"Мы немедленно приняли меры, чтобы локализовать инцидент и усилить защиту соответствующих систем. Выявленные точки входа, которыми воспользовались злоумышленники, закрыты. Системы, задействованные в цепочке атаки, перестроены или заменены. Также мы ввели более строгий контроль устройств, усилили механизмы управления рисками в сервисах кошельков и расширили использование ИИ для обнаружения аномального поведения", – заявили в Binance в своем сообщении.

Последствия этой атаки подчеркивают растущую угрозу сложных киберпреступлений и необходимость постоянного совершенствования систем безопасности. Binance планирует увеличить инвестиции в системы обнаружения угроз на основе искусственного интеллекта, а также работает над созданием фонда исследований в сфере кибербезопасности и специальными инициативами совместно с ведущими разработчиками ИИ, чтобы предотвратить подобные инциденты в будущем и восстановить доверие сообщества.