Криптовалютная биржа Binance сообщила во вторник, что в результате сложной кибератаки, продолжавшейся несколько месяцев, 29 октября из её систем горячих кошельков было похищено 6,34 млрд долларов. Согласно официальному отчёту об инциденте, злоумышленники использовали сочетание методов социальной инженерии, обманных тактик найма, незамеченного вредоносного ПО и скомпрометированного внутреннего инструмента искусственного интеллекта, чтобы проникнуть в инфраструктуру платформы для подписания транзакций. Несмотря на масштабную утечку, Binance объявила, что к 31 октября восстановила 98% затронутых токенизированных активов, гарантировав полное покрытие средств клиентов. Вывод средств в целом возобновился, при этом пользователи не понесли потерь.

Вторжение началось в июне, когда инженер DevOps, сам того не зная, раскрыл сведения об инфраструктуре кошельков, скачав изменённый файл установки. Воспользовавшись этой утечкой, злоумышленники в сентябре провели целевую кампанию социальной инженерии. Выдавая себя за менеджеров по подбору персонала в профессиональной сети, хакеры провели фиктивные собеседования со вторым инженером и предложили сотруднику скачать репозиторий с тестовым заданием, в котором содержалось незамеченное вредоносное ПО. После запуска вредоносный код незаметно скомпрометировал рабочий компьютер, что позволило злоумышленникам 20 октября использовать внутренний инструмент ИИ для захвата рабочих станций двух инженеров, занимавшихся кошельками, и получения ключевых учётных данных для развёртывания контейнеров.

29 октября злоумышленники развернули вредоносный скрипт для доступа к операциям подписи транзакций кошельками и организовали быстрый перевод Bitcoin, Solana, XRP и Optimism. Кроме того, атакующие манипулировали механизмом делегирования EIP-7702 в сети Ethereum, чтобы предоставить внешним смарт-контрактам права на выполнение операций. Благодаря этому несанкционированные переводы продолжались даже после того, как Binance приостановила стандартные услуги вывода средств. Поскольку кошельки на основе многосторонних вычислений не имеют единого закрытого ключа, техническим специалистам потребовались специальные процедуры для отзыва делегирования. Их завершили ранним утром 30 октября.

Федеральное бюро расследований связало атаку с TraderTraitor — поддерживаемой государством Северной Кореи группой киберугроз. Совместно с федеральными правоохранительными органами бюро отслеживает и блокирует похищенные активы в международных сетях. Binance подтвердила, что благодаря взаимодействию участников отрасли, включая такие компании, как Tether и Circle, уже удалось заморозить или перехватить около 2,85 млрд долларов похищенных средств. В ответ биржа полностью перестроила свою инфраструктуру кошельков, отозвала скомпрометированные учётные данные и заказала независимые аудиты кибербезопасности, чтобы укрепить защиту на будущее.