Инцидент безопасности Binance — 29 октября 2026 года: что произошло и как мы отреагировали
Блог Binance
Официальный подтверждённый аккаунт Binance
29 октября 2026 года Binance подверглась одной из самых изощрённых кибератак в своей истории. Этого ни в коем случае не должно было произойти, и мы искренне приносим извинения нашим пользователям, партнёрам и всему криптосообществу за страх и неразбериху, которые это вызвало.$NVDAB
Защита пользователей всегда была нашим главным приоритетом. Binance возьмёт на себя все финансовые потери — наши пользователи не пострадают. Мы уже зарезервировали более 100% средств, необходимых для покрытия убытков. По состоянию на 31 октября 2026 года восстановлено 98% затронутых токенов, и это можно проверить на странице подтверждения резервов. Сейчас мы работаем над выкупом оставшихся неликвидных активов.
В результате этого инцидента пострадали цифровые активы на сумму около 6,34 млрд долларов США. На момент публикации этого обновления при содействии наших партнёров удалось успешно заморозить или перехватить активы на сумму около 2,85 млрд долларов США; эта сумма может меняться в зависимости от рыночных цен.$BTC
Мы незамедлительно приняли меры, чтобы остановить атаку и обезопасить затронутые системы. Использованные злоумышленником точки проникновения закрыты. Все системы, оказавшиеся на пути атаки, перестроены или заменены. Мы также ужесточили контроль устройств, улучшили проверки рисков для сервиса кошельков и расширили обнаружение аномалий с помощью ИИ.$AAPLB
Это наш предварительный отчёт. В нём изложено, что нам известно на данный момент и какие проблемы мы уже устранили. Расследование продолжается; его результаты проверят независимые эксперты по безопасности. Некоторые технические подробности останутся конфиденциальными, чтобы злоумышленники не смогли использовать их повторно.
Согласно последней информации, опубликованной ФБР, ответственность за этот инцидент несёт Корейская Народно-Демократическая Республика (Северная Корея).
Мы публикуем этот отчёт, потому что безопасность всей отрасли повышается, когда её участники учатся друг у друга.
Что произошло 29 октября
Атака произошла очень быстро и затронула несколько блокчейнов.
Злоумышленник получил несанкционированный доступ к внутреннему сервису подписания транзакций кошельками и инициировал транзакции в обход стандартной системы вывода средств.
*С 20:05 до 20:09 UTC:*
С горячих кошельков Binance на адрес под контролем злоумышленника было отправлено 233,46 млн XRP.
С горячих кошельков Binance в сетях Solana и Optimism на адреса злоумышленника было отправлено около 970 500 SOL и 44,2 млн OP.
Binance получила внутреннее оповещение о крупных необычных переводах и немедленно начала расследование.
После этого с горячего кошелька Binance на адрес под контролем злоумышленника было отправлено 18 270 BTC.
Затем злоумышленник использовал *механизм авторизации EIP-7702*. EIP-7702 позволяет делегировать смарт-контракту некоторые права на выполнение операций от имени аккаунта без передачи приватного ключа. В данном случае злоумышленник использовал этот механизм, чтобы предоставить смарт-контракту под своим контролем частичный контроль над горячим кошельком Binance.
Binance немедленно приняла меры по локализации инцидента: приостановила вывод средств, начала взаимодействовать с партнёрами для заморозки затронутых токенов и отозвала несанкционированные разрешения. В результате этих действий удалось заморозить активы на общую сумму 2,85 млрд долларов США.
Однако одной приостановки вывода средств было недостаточно, чтобы остановить всё. Вредоносные авторизации EIP-7702 уже находились в блокчейне и действовали независимо от системы вывода средств Binance. Злоумышленники отправили 50 транзакций для подписания, чтобы изменить nonce аккаунта и создать вредоносные разрешения на делегирование. После создания эти разрешения позволяли им продолжать перемещать активы.
Локализация инцидента была технически сложной. Поскольку горячий кошелёк использовал многопартийные вычисления (MPC), не существовало единого приватного ключа, с помощью которого можно было бы немедленно отозвать вредоносные разрешения. Нашей команде пришлось разработать и выполнить специальную процедуру их отзыва, что потребовало дополнительного времени.
Последний несанкционированный перевод на сумму 2 961,9 ETH был окончательно подтверждён в блокчейне в 23:56 UTC. После этого других несанкционированных переводов зафиксировано не было.
В 00:10 UTC 30 октября 2026 года Binance выполнила новую авторизацию с горячего кошелька Binance14 на нулевой адрес, удалив код делегирования EIP-7702.
Подготовка атаки
Наше расследование показало, что это была не обычная фишинговая атака. Это была многоэтапная кампания, которая длилась несколько месяцев и сочетала социальную инженерию, фиктивные собеседования при приёме на работу, вредоносное ПО, компрометацию внутренних инструментов ИИ и сложные манипуляции с транзакциями.
*Июнь 2026 года — атака на цепочку поставок:*
Инженер A из команды Wallet DevOps скачал подменённый установщик Homebrew, чтобы установить популярный инструмент для программирования с помощью ИИ, который он нашёл в интернете. Наша команда безопасности обнаружила аномалию, заменила устройство и сменила все учётные данные. Однако сведения о должности инженера A и его коллегах из команды кошельков оказались доступны злоумышленнику.
В течение 2026 года команда безопасности Binance выявила и заблокировала 57 предполагаемых киберугроз, связанных с Северной Кореей. Среди них были фиктивные собеседования при приёме на работу, вредоносное ПО под видом инструментов для разработчиков, скомпрометированные пакеты, поддельные приложения для видеоконференций и попытки социальной инженерии с целью кражи учётных данных.
*Сентябрь 2026 года — социальная инженерия:*
Инженеру-программисту B написал на легитимной платформе для поиска работы человек, представившийся директором проекта. В профиле инженер B упомянул свой опыт работы в Binance. Лжедиректор организовал первый этап собеседования с представителем отдела кадров, а затем — второй этап с поддельным генеральным директором.
На первом этапе лжепредставитель отдела кадров провёл видеособеседование в прямом эфире и поделился аккаунтом в социальной сети с личными фотографиями и видео, чтобы вызвать доверие. Это было намного сложнее обычного фишинга.
На втором собеседовании, которое проходило в популярном приложении для общения, инженера B попросили скачать на рабочий компьютер «тестовое задание», содержавшее вредоносный репозиторий кода. При настройке репозиторий запускал вредоносный код.
Вредоносная программа использовала сложные методы обфускации: она подменяла компонент легитимного инструмента разработки вредоносной версией, чтобы выполнять команды и подключаться к серверу под контролем злоумышленника. На тот момент средства защиты конечных устройств не обнаруживали эту вредоносную программу нулевого дня. Злоумышленник также пытался скрыть следы компрометации.
*20 октября 2026 года — компрометация внутреннего инструмента ИИ:*
Злоумышленник использовал скомпрометированный компьютер инженера B и внутренний инструмент ИИ, чтобы получить контроль над инженером A из команды Wallet DevOps и ещё одним инженером команды кошельков — инженером C. Злоумышленник обнаружил на компьютере инженера A токен с правами на развёртывание контейнеров.
*29 октября 2026 года — атака на подписание транзакций кошельком:*
С 17:15 до 19:56 злоумышленник вошёл в систему с компьютера инженера C, использовал украденные учётные данные инженера A, развернул контейнер и запустил вредоносный скрипт, чтобы начать атаку.
Что мы сделали
По состоянию на 3 ноября 2026 года мы предприняли следующие меры:
- Перестроили затронутую систему кошельков в новой защищённой среде.
- Перестроили затронутый внутренний инструмент ИИ и систему контроля доступа к нему.
- Заменили все затронутые устройства.
- Деактивировали учётные данные и токены, связанные с затронутыми инженерами.
- Провели углублённое сканирование безопасности на всех устройствах сотрудников.
- Усилили обнаружение поведенческих аномалий с помощью ИИ.
- Ужесточили контроль рисков для сервиса кошельков.
Совместно с правоохранительными органами, компаниями, специализирующимися на блокчейн-аналитике, и партнёрами по отрасли мы отслеживали затронутые активы и добивались их заморозки.
Мы продолжим укреплять меры защиты по мере расследования. Некоторые меры безопасности останутся конфиденциальными для защиты наших пользователей.
Дальнейшие шаги
1. Независимая проверка кибербезопасности
Мы привлекаем независимых сторонних экспертов для всестороннего анализа инцидента, проверки наших выводов и выработки дополнительных рекомендаций.
2. Расширение инвестиций в безопасность ИИ
Мы увеличиваем инвестиции в обнаружение угроз с помощью ИИ, защиту конечных устройств, безопасность среды разработки и поведенческий мониторинг.
3. Фонд исследований в области безопасности
Мы работаем над созданием фонда исследований в области безопасности совместно с ведущими компаниями в сфере ИИ, участниками отрасли и компаниями, специализирующимися на безопасности в блокчейн-среде.
