За несколько часов до атаки, затронувшей цифровые активы примерно на $6,34 млрд, злоумышленники уже находились в рабочем компьютере инженера Binance. У них были похищенные учётные данные другого сотрудника, служебный токен и путь к системе, которая подписывала операции горячих кошельков. Теперь биржа раскрыла, как хакеры несколько месяцев собирали этот доступ по частям. В сентябре инженеру-программисту написал через настоящую платформу вакансий человек, представившийся директором проекта. Сначала сотрудник прошёл видеособеседование с «HR». Собеседник показал страницы в соцсетях с личными фотографиями и видео — всё должно было выглядеть как обычный найм. Второй разговор провёл «гендиректор» вымышленной компании. Ближе к концу он отправил тестовое задание и попросил скачать его на рабочий компьютер. Вместе с репозиторием запустился вредоносный код: он подменил один из инструментов разработчика и установил связь с сервером атакующих. Защита устройства пропустила заражение. 20 октября хакеры использовали этот компьютер и внутренний ИИ-инструмент Binance, чтобы получить контроль ещё над двумя устройствами инженеров кошельковой инфраструктуры. На одном хранился токен, разрешавший запускать служебный код внутри систем биржи. 29 октября злоумышленники вошли в компьютер третьего инженера, применили похищенные данные, запустили вредоносный скрипт и добрались до сервиса подписи кошельков. В 20:05 UTC пять горячих кошельков Binance начали переводить XRP на адрес атакующих. За четыре минуты ушли 233,46 млн XRP, затем последовали переводы SOL и OP. После этого биржа получила внутреннее предупреждение, но хакеры успели вывести 18 270 BTC и применить EIP-7702 — механизм, который дал их смарт-контракту право управлять частью активов кошелька. Даже после остановки обычного вывода уже выданные разрешения продолжали работать внутри блокчейна. Binance оценила затронутые активы примерно в $6,34 млрд. К 3 ноября биржа сообщала о заморозке или перехвате $2,85 млрд и восполнении 98% затронутых токенов. Финансовые потери компания пообещала покрыть сама. Внутренняя цепочка теперь выглядит целиком: фальшивый рекрутер получил первую точку входа, заражённый ноутбук открыл соседние устройства, ИИ-инструмент помог расширить доступ, а служебный токен вывел атакующих к подписи кошельков. Один инженер скачал тестовое задание — через несколько недель чужой скрипт уже распоряжался криптоактивами на миллиарды долларов. Присылайте дополнительную информацию по инструкции ©️ https://t.me/criminalru | ✒️ Для обращений