30 октября 2026 года (UTC+8) Binance столкнулась с серьезным и крайне сложным инцидентом в сфере безопасности. Этого не должно было произойти. Мы глубоко сожалеем о беспокойстве, сбоях и неопределенности, которые этот инцидент вызвал у пользователей, партнеров и всей отрасли.
Защита пользователей — наша главная обязанность. Binance возьмет на себя все убытки, связанные с похищенными в ходе этого инцидента средствами, а не пользователи. Мы зарезервировали средства в объеме, превышающем 100% суммы убытков, вызванных инцидентом. По состоянию на 31 октября 2026 года (UTC+8) активы в 98% затронутых токенов уже восполнены; пользователи могут проверить это на нашей странице Подтверждение резервов. Мы приобретаем оставшиеся активы с низкой ликвидностью.
Стоимость цифровых активов, затронутых этим инцидентом, составляет около 6,34 млрд долларов США. На момент публикации этого обновления удалось заморозить или заблокировать цифровые активы на сумму около 2,85 млрд долларов США. Точная сумма требует дальнейшей проверки и может меняться в зависимости от колебаний рыночных цен.
Мы незамедлительно приняли меры, чтобы ограничить последствия инцидента и усилить защиту соответствующих систем. Все точки проникновения, использованные в этой атаке, закрыты; системы, затронутые на пути атаки, перестроены или заменены. Кроме того, мы усилили контроль устройств и систему управления рисками для сервисов кошельков, а также расширили возможности обнаружения аномалий в поведении на основе ИИ.
Это предварительный отчёт о расследовании, в котором изложена имеющаяся на данный момент информация и описаны уже выполненные улучшения. Расследование продолжается, и его результаты будут дополнительно проверены независимыми экспертами. Чтобы злоумышленники не могли использовать эту информацию для подготовки новых атак, некоторые технические подробности останутся конфиденциальными. Мы приглашаем независимые компании по безопасности провести дополнительную проверку.
Согласно последней информации, опубликованной Федеральным бюро расследований США (FBI), ответственность за этот инцидент несёт Корейская Народно-Демократическая Республика (КНДР).
Мы публикуем этот отчёт, потому что безопасность можно постоянно повышать, только если вся отрасль учится и делится опытом.
Хронология событий 30 октября
Атака быстро распространилась на несколько блокчейн-сетей.
Злоумышленники воспользовались несанкционированно полученным доступом к внутреннему сервису подписания транзакций кошельков и инициировали транзакции в обход стандартного процесса вывода средств.
С 04:05 до 04:09 (UTC+8) пять горячих кошельков Binance перевели на адреса под контролем злоумышленников 233,46 млн XRP.
Горячие кошельки Binance в сетях Solana и Optimism перевели на адреса под контролем злоумышленников около 970 500 SOL и 44,2 млн OP соответственно.
Затем Binance получила внутреннее предупреждение о крупных переводах и немедленно начала расследование.
Горячие кошельки Binance перевели на адреса под контролем злоумышленников 18 270 BTC.
Затем злоумышленники использовали сервис подписания транзакций, чтобы злоупотребить механизмом авторизации Ethereum EIP-7702. EIP-7702 позволяет делегировать смарт-контракту некоторые права на выполнение операций от имени аккаунта, не раскрывая приватный ключ. В этом инциденте злоумышленники использовали этот механизм, чтобы предоставить подконтрольному им смарт-контракту часть прав на выполнение операций с затронутыми горячими кошельками Binance.
Binance незамедлительно задействовала ряд мер экстренного реагирования, в том числе приостановила вывод средств, чтобы остановить дальнейший отток, скоординировала действия с партнёрами по замораживанию затронутых токенов и приняла меры для отзыва несанкционированных разрешений. В результате удалось заморозить активы на сумму около 2,85 млрд долларов США.
Однако одной приостановки вывода средств было недостаточно, чтобы остановить все несанкционированные переводы активов. Вредоносные разрешения EIP-7702 уже были записаны в блокчейн и действовали независимо от обычной инфраструктуры Binance для вывода средств. Злоумышленники отправили 50 подписанных транзакций, чтобы изменить nonce аккаунтов и создать вредоносные делегированные разрешения. После создания этих разрешений они смогли продолжить перевод активов в обход стандартной инфраструктуры Binance для вывода средств. Для отзыва разрешений Binance требовалось отправить дополнительные транзакции в блокчейн.
Ограничение последствий инцидента осложнялось и другими техническими особенностями. Поскольку в затронутых горячих кошельках использовались технологии многосторонних вычислений (MPC), единого приватного ключа, с помощью которого можно было бы немедленно отозвать вредоносные разрешения EIP-7702, не существовало. Поэтому команде потребовалось дополнительное время, чтобы разработать и выполнить специальную процедуру отзыва для каждого разрешения. Кроме того, приостановка вывода средств и отключение сервиса горячих кошельков не приводят к автоматической отмене уже существующих разрешений в блокчейне.
Эти сложности увеличили время, необходимое для полного прекращения несанкционированных переводов активов. Мы анализируем процедуры реагирования на инциденты, охват стратегий подписания транзакций и механизмы контроля горячих кошельков, выявляя области для улучшения, чтобы в будущем быстрее реагировать на угрозы безопасности.
Последний несанкционированный перевод — 2 961,9 ETH — получил окончательное подтверждение в блокчейне в 07:56 (UTC+8). Транзакция была отправлена в сеть ранее и некоторое время оставалась в ожидании подтверждения, после чего была окончательно подтверждена. С тех пор других несанкционированных переводов не обнаружено.
30 октября 2026 года в 08:10 (UTC+8) Binance выполнила новую операцию авторизации через горячий кошелёк Binance14 на пустой адрес, удалив делегированный код EIP-7702.
Подготовка атаки
Имеющиеся на данный момент результаты расследования показывают, что это была сложная многоэтапная атака, а не отдельный точечный взлом и не простая фишинговая атака. Злоумышленники применили целый ряд методов: социальную инженерию под видом собеседований при приёме на работу, загрузку вредоносного ПО, взлом внутренних инструментов ИИ, компрометацию конечных устройств и передовые методы авторизации транзакций.
Июнь 2026 года — атака на цепочку поставок. Инженер A из команды разработки и эксплуатации кошельков решил установить популярный инструмент программирования с ИИ, нашёл его через поисковую систему и скачал подменённый установщик Homebrew. Наша команда безопасности самостоятельно обнаружила эту аномалию, заменила устройство и отозвала все связанные с ним учётные данные. Тем не менее информация о должности инженера A и его коллегах из команды инфраструктуры кошельков уже оказалась у злоумышленников.
С начала 2026 года команда безопасности Binance выявила и предотвратила 57 киберинцидентов, предположительно связанных с КНДР. Эти атаки показывают, что поддерживаемые государством злоумышленники по-прежнему представляют угрозу для криптовалютной отрасли. Среди применяемых ими методов — фальшивые собеседования, вредоносное ПО под видом популярных инструментов для разработчиков, подменённые пакеты и расширения для браузеров, поддельные приложения для видеоконференций, а также социальная инженерия с целью кражи учётных данных или установки вредоносного ПО для удалённого доступа.
Сентябрь — атака с использованием социальной инженерии. Инженер-программист B получил сообщение на легитимной платформе для поиска работы от человека, выдававшего себя за директора проекта. В профиле инженера B на этой платформе был указан его опыт работы в Binance. Собеседник, представившийся директором проекта, организовал первый этап собеседования с участием сотрудника отдела кадров, а затем назначил второй этап, на котором собеседующий назвался генеральным директором несуществующей компании.
Во время первого собеседования человек, выдававший себя за сотрудника отдела кадров, провёл с инженером B видеособеседование в реальном времени. Чтобы завоевать доверие, собеседующий также поделился своим аккаунтом в социальной сети, где были личные фотографии и видео. Этот подход оказался более сложным и обманчивым, чем прежние методы социальной инженерии.
Второе собеседование прошло в популярном приложении для общения. Ближе к его завершению инженеру B предложили скачать на рабочий компьютер «тестовое задание» с репозиторием кода. В репозитории содержался вредоносный код, который запускался во время установки и приводил к серии несанкционированных действий.
Вредоносное ПО использовало сложные методы обфускации кода и обхода обнаружения, в том числе замену компонента легитимного инструмента для разработчиков вредоносной версией, чтобы выполнять команды и связываться с внешним сервером под контролем злоумышленников. На тот момент средства защиты конечных устройств не обнаружили это вредоносное ПО нулевого дня. Злоумышленники также скрывали вредоносную активность и удаляли следы проникновения, что ещё больше затруднило обнаружение и последующее расследование.
Скрипт обходил средства защиты с помощью обфускации кода и выполнял следующие действия:
СОЗДАТЬ /opt/homebrew/Cellar/pyenv/2.8.0/libexec/pyenv_
ИЗМЕНИТЬ pyenv_ → 3,414 B
УДАЛИТЬ .../libexec/pyenv (3,344 B) ← удалить легитимный pyenv
ПЕРЕИМЕНОВАТЬ pyenv_ → pyenv (3,414 B) ← заменить его вредоносной версией
УДАЛИТЬ /opt/homebrew/bin/pyenv (3,414 B)
ln (создать новую символическую ссылку) + запустить zsh
20 октября — использование внутреннего инструмента ИИ как плацдарма для атаки. Используя компьютер скомпрометированного инженера B, злоумышленники через внутренний инструмент ИИ получили контроль над устройствами инженера A из команды разработки и эксплуатации кошельков, а также инженера C, занимавшегося разработкой программного обеспечения для кошельков. Вскоре они обнаружили на компьютере инженера A токен с правами на развёртывание контейнеров.
30 октября — проникновение в операции по подписанию транзакций кошелька. С 01:15 до 03:56 30 октября (UTC+8) злоумышленники вошли в компьютер инженера-программиста C, развернули контейнер с использованием учётных данных, похищенных у инженера A, и запустили вредоносный скрипт, что привело к этой атаке.
Принятые нами меры
По состоянию на 3 ноября 2026 года мы приняли следующие меры:
Перестроили затронутые системы кошельков в новой среде.
Перестроили затронутый внутренний инструмент ИИ и усилили контроль доступа к нему.
Заменили затронутые устройства.
Отключили учётные данные и токены, связанные с затронутыми инженерами.
Провели углублённое сканирование безопасности устройств всех сотрудников.
Усилили возможности обнаружения аномалий в поведении на основе ИИ.
Усилили меры управления рисками для сервисов кошельков.
Сотрудничаем с правоохранительными органами, организациями, занимающимися блокчейн-аналитикой, и отраслевыми партнёрами, чтобы отслеживать и замораживать затронутые активы.
По мере продолжения расследования мы будем и дальше усиливать меры безопасности. Некоторые уже завершённые и ещё реализуемые меры останутся конфиденциальными, чтобы злоумышленники не смогли использовать эту информацию для обхода нашей защиты.
Дальнейшие действия
Мы незамедлительно приступим к следующим работам:
Независимая проверка кибербезопасности
Мы приглашаем независимых сторонних экспертов по кибербезопасности провести всестороннюю проверку этого инцидента, подтвердить результаты нашего расследования и предложить дополнительные меры по усилению безопасности. Объём проверки и её результаты станут основой для дальнейшей работы по устранению последствий.
Увеличение инвестиций в безопасность ИИ и профилактику угроз
Мы увеличим инвестиции в такие области, как обнаружение угроз на основе ИИ, защита конечных устройств, безопасность сред разработки и мониторинг аномалий в поведении.
Создание фонда исследований в области безопасности и развитие сотрудничества в отрасли
Мы сотрудничаем с ведущими компаниями в сфере ИИ, участниками отрасли и организациями по безопасности, чтобы создать фонд исследований в области безопасности и запустить специальные программы, посвящённые безопасности ИИ в блокчейн-средах.
Мы продолжим активно делиться новой информацией по мере её поступления.