Binance сообщила, что в результате инцидента 29 октября пострадали цифровые активы на сумму около 6,34 млрд долларов, и что по состоянию на 31 октября было восстановлено 98% затронутых токенов. Это можно проверить на странице биржи с данными о подтверждении резервов, говорится в отчёте о предварительных выводах. Биржа заявила, что зарезервировала более 100% средств, необходимых для покрытия убытков, и что пользователи не понесут финансовых потерь. На данный момент заморожено или перехвачено около 2,85 млрд долларов; окончательная сумма зависит от сверки данных и изменений рыночных цен. Binance принесла извинения, заявив, что инцидента не должно было произойти.

Злоумышленник использовал несанкционированный доступ к внутреннему сервису подписания транзакций кошелька, чтобы запускать транзакции в обход обычного процесса вывода средств. С 20:05 до 20:09 UTC пять горячих кошельков отправили 233,46 млн XRP на адрес, контролируемый злоумышленником; кошельки Solana и Optimism отправили около 970 500 SOL и 44,2 млн OP, после чего последовал перевод 18 270 BTC. Затем злоумышленник воспользовался механизмом авторизации EIP-7702 в Ethereum, чтобы предоставить вредоносному контракту частичные права на выполнение операций с горячим кошельком, отправив 50 транзакций с подписями для манипуляции nonce аккаунта и закрепления делегирования.

Приостановка вывода средств и отключение сервисов горячих кошельков автоматически не аннулировали разрешения в блокчейне. Поскольку в кошельке использовались многосторонние вычисления, единого приватного ключа, который можно было бы отозвать, не существовало, а специальная процедура заняла дополнительное время. Последний несанкционированный перевод на сумму 2 961,9 ETH был завершён в 23:56 UTC; 30 октября в 00:10 UTC Binance удалила код делегирования EIP-7702 из своего горячего кошелька Binance14.

Атака состояла из нескольких этапов, а не была единичным взломом. В июне инженер скачал модифицированный установочный пакет Homebrew при настройке инструмента ИИ для программирования; Binance обнаружила это, заменила устройство и обновила учётные данные, однако команда по работе с кошельками оказалась под угрозой. В сентябре фальшивый рекрутер на платформе для поиска работы проводил видеоинтервью и отправил репозиторий с «тестовым заданием», содержавший незамеченное средствами защиты конечных устройств вредоносное ПО нулевого дня. 20 октября злоумышленник использовал внутренний инструмент ИИ как плацдарм, чтобы получить доступ к токену развёртывания контейнеров, а 29 октября с 17:15 до 19:56 развернул контейнер для запуска атаки. Binance заявила, что в этом году заблокировала 57 угроз, предположительно связанных с Северной Кореей. По данным ФБР, за атакой стояла КНДР.

Binance заявила, что восстановила затронутую систему кошельков и внутренний инструмент ИИ, заменила устройства, отозвала связанные учётные данные и токены, проверила все устройства сотрудников и расширила систему выявления поведенческих аномалий на основе ИИ. Компания заказывает независимую проверку, увеличивает инвестиции в безопасность ИИ и меры предотвращения атак, а также работает над созданием фонда исследований в области безопасности совместно с партнёрами из сферы ИИ и отрасли.