Как взломали Binance: итоги расследования самой криптобиржи Криптобиржа Binance опубликовала собственное расследование «крупнейшего взлома в истории криптовалют». Напомню, что у нее украли около $6,3 млрд, а хакеров связывают с Северной Кореей. Я писал про это. Binance выяснила, что все несколько сложнее, чем «зараженный ноутбук одного инженера». Там прям целая многоходовка! 🔵 Июнь 2026-го. Один из DevOps инженеров («первый») из команды, которая отвечает за инфраструктуру кошельков, скачал новую версию популярного менеджера Homebrew. Но вот только скачал он файл, который нашел через поисковик. Служба безопасности это отследила, все зачистила, устройство заменила, данные учетной записи обновила. Но вот только хакеры благодаря этому смогли узнать должность инженера и его коллег по команде. 🔵 Сентябрь 2026-го. Другого инженера («второй») пригласили на собеседование через вполне себе легитимный сервис для поиска работы. У того в профиле было указано, что у него есть опыт в Binance. Компания, которая искала сотрудников, была вымышленной. Созвонились по видеосвязи, поговорили. А чтобы завоевать доверие интервьюер поделился доступом к своему аккаунту в соцсетях, где были личные фотографии и видео. Потом было второе собеседование уже в популярном мессенджере. И инженеру предложили скачать задание. Ну, тот и скачал. Только оно оказалось с вирусом. Причем использовали такой код, который не смогли обнаружить средства защиты. А потом еще хакеры постарались скрыть следы взлома, что усложнило обнаружение. 🔵 20 октября 2026-го. У хакеров был доступ к компьютеру «второго» инженера. Они вошли и с помощью внутреннего AI-инструмента взяли под контроль учетные записи «первого» и еще «третьего» инженера — оба из команды кошельков. При этом выяснилось, что в компьютере «первого» был токен, дающий права на развертывание программных контейнеров. Вот это и стало ключевым. 🔵 29 октября 2026-го. Хакеры в 17:14 UTC заходят на компьютер «третьего». Используют данные с компьютеры «первого», развертывают контейнер и запускают вредоносный скрипт. В общем, вот такая многоходовочка. В Binance говорят, что за их разрабами постоянно охотятся хакеры, предположительно связанные с Северной Кореей. В 2026-м году они предотвратили 57 угроз — фиктивные собеседования, вредоносный софт, замаскированный под популярные инструменты для разрабов, фейковые приложения для видеоконференций, социальная инженерия и так далее. Били-били и, получается, добили. 🔵 Сама атака началась в 20:05 UTC. С пяти кошельков Binance хакеры отправили крупные переводы — 233,46 млн XRP (Ripple), 970 500 SOL (Solana), 44,2 млн OP (Optimism), 18 270 BTC (Bitcoin), а еще ETH (Ethereum). Служба безопасности увидела крупные транзакции, забила тревогу и стала их блочить. Но вот в сети Ethereum случился косяк. Хакеры запустили авторизацию транзакций по стандарту EIP-7702. Детали оставим технарям. Суть в том, что у Binance не получалось остановить эти транзакции. Всего их было 50, последняя в 23:56. Команда Binance смогла взять все под контроль только в 00:10. То есть 4 часа сражались. 🔵 А теперь бонус! В Северной Корее прокомментировали этот взлом. Как пишет Reuters, сестра сестра лидера КНДР Ким Чен Ына — Ким Ё Чжон — заявила, что это все ФБР пытается представить Северную Корею как «государство киберпреступников». «То, что США вводят в заблуждение международную общественность, представляя дело так, будто все киберпреступления в разных уголках мира — наших рук дело, является серьезной политической провокацией против КНДР» Верим Ким Ё Чжон? 🔥 — Конечно! Это все провокация! 🙈 — Пфффф! Ну, вы серьезно?! @TheEdinorogBlog — тот самый канал про стартапы🦄