Фальшива співбесіда та ШІ: як хакери викрали $6,3 млрд з Binance

Перші ознаки проникнення з'явилися ще у червні 2026 року, коли інженер команди Wallet DevOps завантажив модифікований інсталятор Homebrew, знайшовши його через пошукову систему. Цей інструмент, призначений для вайбкодингу, містив шкідливий код. Хоча служба безпеки Binance виявила аномальну активність, замінила пристрій та оновила облікові дані, хакери вже отримали цінну інформацію про роль інженера та його колег, що працювали над інфраструктурою гаманців.

Наступний критичний етап відбувся у вересні, коли інший інженер-програміст Binance, який шукав нову роботу, пройшов фальшиву онлайн-співбесіду. Зловмисники представилися реальною компанією, а один із них навіть назвався генеральним директором. Під час співбесіди інженера попросили завантажити репозиторій із програмним кодом на свій робочий комп'ютер, який, як виявилося, містив шкідливе програмне забезпечення.

20 жовтня зловмисники скористалися зараженим пристроєм та внутрішнім ШІ-інструментом Binance, щоб отримати доступ до комп'ютерів ще двох інженерів, включаючи того, хто завантажив Homebrew у червні. На одному з цих комп'ютерів зберігався токен із дозволом на розгортання контейнерів, що дало хакерам критичний доступ до системи управління криптогаманцями.

Кульмінація атаки припала на 29 жовтня. Хакери отримали доступ до сервісу, який підтверджує операції з криптовалютою, і почали масово переказувати активи на власні адреси. Протягом кількох хвилин із гаманців Binance було виведено 233,46 млн XRP, а також біткоїни, SOL та інші криптовалюти.

У розпал атаки Binance отримала внутрішнє сповіщення про великі за обсягом перекази, негайно розпочала розслідування та призупинила операції з виведення коштів. Однак хакери заздалегідь створили дозволи в блокчейні, що дозволяло їм переміщувати активи навіть після блокування стандартних операцій. Остаточно зупинити несанкціоновані перекази вдалося лише в ніч на 30 жовтня.

Федеральне бюро розслідувань США звинуватило в організації цієї кібератаки північнокорейське хакерське угруповання. За даними Міністерства фінансів США, північнокорейські хакери активно викрадають та відмивають цифрові активи для фінансування розробки ядерної зброї та балістичних ракет. Однак Північна Корея відкинула ці звинувачення. Загальний відтік коштів з Binance перевищив $3,6 млрд.

Масштаб інциденту привернув увагу не лише через значну суму викрадених коштів, але й через вплив на мільйони користувачів. Binance має близько 335 мільйонів користувачів, зберігає $162,8 млрд клієнтських активів та забезпечує річний оборот приблизно $34 трлн. Компанія визнала серйозність інциденту та пообіцяла компенсувати втрати всім постраждалим клієнтам, а також відновила 98% постраждалих токенізованих активів станом на 31 жовтня.

"Ми негайно вжили заходів, щоб локалізувати інцидент і посилити захист відповідних систем. Виявлені точки входу, якими скористалися зловмисники, закрито. Системи, залучені до ланцюжка атаки, перебудовано або замінено. Також ми запровадили суворіший контроль пристроїв, посилили механізми управління ризиками у сервісах гаманців і розширили використання ШІ для виявлення аномальної поведінки", – заявили в Binance у своєму дописі.

Наслідки цієї атаки підкреслюють зростаючу загрозу складних кіберзлочинів та необхідність постійного вдосконалення систем безпеки. Binance планує збільшити інвестиції у системи виявлення загроз на основі штучного інтелекту, а також працює над створенням фонду досліджень у сфері кібербезпеки та спеціальними ініціативами разом із провідними розробниками ШІ, щоб запобігти подібним інцидентам у майбутньому та відновити довіру спільноти.