Прошла неделя с момента взлома Binance, компания опубликовала расследование и стало более менее понятно, что произошло. И самое интересное в этой истории — атака началась вовсе не с попытки взломать кошелёк и почти за 5 (!) месяцев до того, как злоумышленники украли $6 млрд. Всё началось с людей. По данным расследования, злоумышленники готовили операцию несколько месяцев. Ещё в июне 2026 года один из инженеров Binance скачал измененный Homebrew, чтобы поставить себе ИИ-инструмент для вайбкодинга. Компания заметила подозрительную активность, заменила устройство и обновила связанные с ним учётные данные. Однако, как выяснилось позднее, злоумышленники уже успели получить информацию о сотрудниках и их роли в инфраструктуре кошельков. В сентябре другой инженер Binance получил приглашение на собеседование через легитимную платформу для поиска работы. Человек, представившийся руководителем проекта, провёл с ним несколько этапов интервью. Всё выглядело достаточно убедительно: были видеозвонки, фотографии, социальные сети и даже собеседование с человеком, который выдавал себя за генерального директора вымышленной компании. Но в конце второго интервью сотруднику предложили скачать тестовое задание. Именно там и находился вредоносный код. Он заразил рабочий компьютер и позволил атакующим получить удалённый доступ. При этом используемая вредоносная программа была настолько сложной, что средства защиты устройств её не обнаружили. Дальше злоумышленники начали продвигаться глубже во внутреннюю инфраструктуру Binance. 29 октября злоумышленники, используя украденные учётные данные, получили доступ к инструментам для управления кошельками. В результате с горячих кошельков Binance начали уходить активы в разных сетях. За несколько минут пять кошельков с пяти разных кошельков они вывили около $6,34 млрд. Но почему Binance не смогла просто остановить транзакции? Здесь начинается самая технически сложная часть истории. Если опустить сложные подробности, то фактически хакеры создали свой способ перемещения средств, который работал независимо от системы биржи. Binance оперативно приостановила выводы. Однако остановка обычных выводов не отключала созданные хакерами разрешения. Более того, из-за использования распределенных технологий, быстро отозвать вредоносные разрешения оказалось непросто. Команде пришлось разработать специальную процедуру, чтобы устранить их. Последний несанкционированный перевод был окончательно подтверждён в блокчейне в 23:56 29 октября. Уже в 00:10 следующего дня Binance выполнила новую авторизацию и очистила сеть. По информации ФБР, за атакой стоит КНДР (вероятно даже хорошо всем известные Lazarus). Binance также сообщила, что за 2026 год её служба безопасности обнаружила и предотвратила 57 предполагаемых кибератак, связанных с северокорейскими группами. А что с деньгами пользователей? Здесь Binance сделала отдельный акцент: компания заявила, что полностью берёт финансовые последствия инцидента на себя. По состоянию на 31 октября уже было восполнено 98% затронутых токенов. Кроме того, Binance удалось заморозить или перехватить активы примерно на $2,85 млрд. Компания также заявила, что зарезервировала более 100% средств, необходимых для покрытия потерь пользователей. После инцидента компания перестроила затронутую инфраструктуру кошельков, заменила устройства сотрудников, отозвала скомпрометированные учётные данные и токены доступа. Но на этом работа не заканчивается. И главный урок этой истории гораздо шире, чем просто очередной взлом криптобиржи. Современные кибератаки всё реже выглядят как попытка подобрать пароль или найти уязвимость в смарт-контракте. Иногда всё начинается с обычного сообщения в LinkedIn, приглашения на собеседование или предложения выполнить тестовое задание. Злоумышленники могут месяцами выстраивать доверие, изучать сотрудников, искать доступы и постепенно проникать в самые защищённые системы компании. И когда наступает момент основной атаки, техническая подготовка уже может быть практически завершена. 😎 Читайте Про tech и этих Теперь и в MAX