Binance опубликовала свой первый подробный отчет об инциденте в сфере безопасности после сложной кибератаки, произошедшей 29 октября 2026 года. Инцидент затронул несколько блокчейн-сетей и выявил серьезные уязвимости в некоторых компонентах внутренней инфраструктуры Binance для подписания транзакций кошельками.
Binance признала, что этого инцидента никогда не должно было произойти, и принесла извинения пользователям, партнерам и всей криптовалютной отрасли за вызванные им беспокойство, сбои и неопределенность.
Биржа также подчеркнула, что пользователи не понесут финансовых потерь. Binance заявляет, что возьмет на себя все финансовые последствия кражи средств.
Давайте разберёмся, что произошло, как злоумышленники получили доступ и что Binance сделала для усиления безопасности.
🔴 1. КАКОЙ УЩЕРБ БЫЛ НАНЕСЁН?
Согласно последнему отчёту Binance:
Общий объём затронутых цифровых активов: около 6,34 млрд долларов.
Замороженные или перехваченные активы: около 2,85 млрд долларов.
Восполнение ущерба: 98% затронутых токенов.
Оставшиеся активы: Binance выкупает токены с низкой ликвидностью, которые ещё не были восполнены.
Финансовое покрытие: Binance утверждает, что зарезервировала более 100% средств, необходимых для возмещения ущерба.
Binance также подтвердила, что восполненные активы можно проверить на странице Proof of Reserves.
Компания заявила, что средства пользователей останутся под защитой и что она возьмёт на себя ответственность за покрытие финансовых последствий инцидента.
⚠️ 2. ЧТО ПРОИЗОШЛО 29 ОКТЯБРЯ?
Атака стремительно развернулась сразу в нескольких блокчейн-сетях.
С 20:05 до 20:09 UTC пять горячих кошельков Binance перевели около 233,46 млн XRP на адрес, контролируемый злоумышленниками.
Среди других несанкционированных переводов были:
Около 970 500 SOL с горячих кошельков Binance в сети Solana.
Около 44,2 млн OP с горячих кошельков Binance в сети Optimism.
Около 18 270 BTC, переведённых на адрес, контролируемый злоумышленниками.
Дополнительные перемещения ETH с использованием механизма авторизации EIP-7702 в Ethereum.
Binance получила внутреннее оповещение о переводах крупных сумм и немедленно начала расследование.
Злоумышленники использовали несанкционированный доступ к внутреннему сервису подписания транзакций кошельком, что позволило им инициировать транзакции в обход стандартного процесса вывода средств.
🔴 3. КАК ЗЛОУМЫШЛЕННИКИ ИСПОЛЬЗОВАЛИ EIP-7702?
Одна из наиболее значимых с технической точки зрения частей этого инцидента связана с механизмом авторизации EIP-7702 в Ethereum.
EIP-7702 позволяет внешнему аккаунту делегировать смарт-контракту определённые права на выполнение операций, не раскрывая напрямую свой приватный ключ.
В этом инциденте злоумышленники использовали этот механизм, чтобы предоставить смарт-контракту под своим контролем частичные права на выполнение операций с горячим кошельком Binance.
Сообщается, что злоумышленники отправили 50 транзакций с подписями, чтобы манипулировать nonce аккаунта и создать вредоносные разрешения на делегирование.
После настройки этих разрешений злоумышленники смогли продолжать перемещать активы независимо от стандартной инфраструктуры вывода средств Binance.
Это объясняет, почему простая приостановка вывода средств не помогла остановить все несанкционированные транзакции.
Binance также столкнулась с дополнительными техническими трудностями, поскольку в затронутом горячем кошельке использовались многосторонние вычисления (MPC).
MPC означает, что единого приватного ключа, с помощью которого можно было бы немедленно отозвать вредоносное разрешение, не существует.
Команде безопасности пришлось разработать и выполнить специальную процедуру для отзыва несанкционированных разрешений в блокчейне.
Последний несанкционированный перевод примерно 2 961,9 ETH был подтверждён в блокчейне в 23:56 UTC.
30 октября в 00:10 UTC Binance выполнила новое разрешение с горячего кошелька Binance14 на нулевой адрес, удалив код делегирования EIP-7702.
После этого новых несанкционированных переводов не наблюдалось.
🕵️ 4. КАК ГОТОВИЛАСЬ АТАКА?
Расследование Binance указывает на то, что это была не простая фишинговая атака и не единичный инцидент безопасности.
Это была сложная многоэтапная кампания, в которой использовались социальная инженерия, вредоносное ПО, скомпрометированные среды разработки, внутренние инструменты ИИ и несанкционированный доступ к операциям подписания транзакций кошельком.
В отчёте описано несколько важных этапов.
Июнь 2026 года — атака на цепочку поставок
Инженер, работавший в команде DevOps кошельков, скачал изменённый установщик Homebrew, пытаясь установить популярный инструмент для программирования с ИИ через поисковую систему.
Binance обнаружила подозрительную активность, заменила затронутое устройство и сменила связанные с ним учётные данные.
Однако злоумышленники уже получили сведения о должности инженера и его коллегах, работавших над инфраструктурой кошельков.
Сентябрь 2026 года — фальшивые собеседования при приёме на работу
К другому инженеру-программисту через легитимную платформу для поиска работы обратился человек, выдававший себя за директора проекта.
Злоумышленники организовали два этапа собеседований.
Во время первого собеседования фальшивый представитель отдела кадров провёл видеозвонок в реальном времени и поделился личными фотографиями и видео из соцсетей, чтобы завоевать доверие.
Во время второго собеседования инженеру предложили скачать тестовое задание, содержавшее вредоносный репозиторий кода.
При настройке репозиторий запускал вредоносный код.
Вредоносная программа использовала продвинутые методы обфускации и обхода обнаружения, заменив компонент легитимного инструмента разработки вредоносной версией.
Затем она выполняла команды и устанавливала связь с внешним сервером, контролируемым злоумышленниками.
Сообщается, что в то время вредоносная программа обходила обнаружение средствами защиты конечных устройств.
20 октября 2026 года — скомпрометирован внутренний инструмент ИИ
Злоумышленники воспользовались скомпрометированным компьютером второго инженера и применили внутренний инструмент ИИ как промежуточное звено для получения доступа к другим сотрудникам, включая инженера A из команды DevOps кошельков и инженера C по программному обеспечению кошельков.
Затем они обнаружили на компьютере инженера A токен с разрешением на развёртывание контейнеров.
Это дало им ещё одну возможность приблизиться к инфраструктуре кошельков Binance.
29 октября 2026 года — атака на операции подписания транзакций кошельком
С 17:15 до 19:56 UTC злоумышленник получил доступ к компьютеру инженера C по программному обеспечению, использовал учётные данные, украденные у инженера A из команды DevOps кошельков, развернул контейнер и запустил вредоносный скрипт.
В конечном итоге это позволило злоумышленникам добраться до операций подписания транзакций кошельком и выполнить несанкционированные переводы.
🇰🇵 5. КТО СТОЯЛ ЗА АТАКОЙ?
Согласно отчёту Binance, последние опубликованные данные Федерального бюро расследований США (ФБР) указывают на то, что за инцидентом стояла Корейская Народно-Демократическая Республика (КНДР).
Binance также сообщила, что в течение 2026 года её команда безопасности обнаружила и предотвратила 57 предполагаемых киберугроз, связанных с Северной Кореей.
В этих попытках применялись такие методы, как:
Мошеннические собеседования при приёме на работу.
Вредоносное программное обеспечение для разработчиков.
Скомпрометированные программные пакеты.
Вредоносные расширения для браузеров.
Поддельные приложения для видеоконференций.
Кампании социальной инженерии.
Кража учётных данных и вредоносное ПО для удалённого доступа.
Это подчёркивает растущую угрозу кибербезопасности, с которой сталкиваются криптовалютные биржи и блокчейн-инфраструктура.
🛡️ 6. ЧТО BINANCE СДЕЛАЛА ДЛЯ УСИЛЕНИЯ БЕЗОПАСНОСТИ?
По состоянию на 3 ноября 2026 года Binance сообщает, что уже внедрила ряд улучшений в области безопасности.
В их число входят:
Перестройка затронутой системы кошельков в новой среде.
Перестройка затронутого внутреннего инструмента ИИ и усиление контроля доступа.
Замена устройств затронутых сотрудников.
Отключение учётных данных и токенов, связанных с затронутыми инженерами.
Проведение углублённого сканирования устройств сотрудников на предмет угроз безопасности.
Улучшение обнаружения поведенческих аномалий на основе ИИ.
Усиление механизмов контроля рисков для сервисов кошельков.
Координация действий с правоохранительными органами, компаниями, занимающимися блокчейн-аналитикой, и отраслевыми партнёрами для отслеживания и заморозки похищенных активов.
Binance утверждает, что точки входа, использованные при атаке, закрыты, а системы, задействованные в цепочке атаки, перестроены или заменены.
🔍 7. ЧТО БУДЕТ ДАЛЬШЕ?
Binance объявила о трёх основных направлениях дополнительных инвестиций в безопасность.
1. Независимая проверка кибербезопасности
Binance привлекает независимых сторонних экспертов по кибербезопасности для всестороннего анализа инцидента, проверки полученных результатов и выработки рекомендаций по дальнейшему усилению безопасности.
2. Расширение инвестиций в безопасность ИИ
Биржа планирует увеличить инвестиции в следующие области:
Обнаружение угроз с помощью ИИ.
Защита конечных устройств.
Безопасность сред разработки.
Мониторинг поведенческих аномалий.
3. Фонд исследований безопасности и отраслевые инициативы
Binance работает над созданием фонда исследований безопасности и запуском целевых инициатив с ведущими компаниями в сфере ИИ, участниками блокчейн-индустрии и фирмами по кибербезопасности.
Цель — повысить безопасность ИИ и предотвратить аналогичные атаки в блокчейн-средах.
📊 8. ОБЩАЯ КАРТИНА
Этот инцидент служит важным напоминанием о том, что даже крупные криптовалютные биржи сталкиваются со сложными киберугрозами.
Атака не опиралась на одну-единственную уязвимость. В ней сочетались социальная инженерия, скомпрометированные инструменты разработки, украденные учётные данные, доступ к внутренним системам и продвинутые методы авторизации в блокчейне.
Инцидент также показывает, что для защиты цифровых активов недостаточно обезопасить только приватные ключи.
Надёжными средствами защиты необходимо обеспечить службы подписания транзакций кошельками, устройства сотрудников, среды разработки, инструменты ИИ, разрешения на доступ и механизмы авторизации в блокчейне.
Binance заявляет, что продолжит делиться информацией по мере продвижения расследования. Некоторые технические подробности останутся конфиденциальными, чтобы злоумышленники не смогли воспользоваться ими.
МОЁ МНЕНИЕ:
Сейчас важнее всего понять, сможет ли Binance продемонстрировать долгосрочное улучшение своей инфраструктуры безопасности, насколько эффективно независимые эксперты проверят ход расследования и извлечёт ли отрасль уроки из этого инцидента.
Возмещение финансового ущерба важно, но предотвращение новой атаки ещё важнее.
Криптовалютной отрасли необходимы более строгие стандарты безопасности, лучшая защита сотрудников и более прозрачная отчётность об инцидентах.
Что вы думаете?
Сможет ли Binance полностью восстановить доверие пользователей после инцидента с ущербом в 6,34 млрд долларов?
Становится ли безопасность на основе ИИ необходимой для криптовалютных бирж?
Следует ли всем крупным биржам публиковать более подробные отчёты независимых аудитов безопасности?
Поделитесь мнением в комментариях.
Источник: первоначальный отчёт Binance об инциденте безопасности. Расследование и независимая проверка продолжаются.
Не является финансовой рекомендацией. Всегда проводите собственное исследование (DYOR) и управляйте рисками.$