Хакеры Binance имели доступ в течение 8 недель до эксплойта на $6,3 млрд, сообщает альянс

Security Alliance (SEAL), некоммерческая организация в сфере кибербезопасности, сообщает, что связанный с Северной Кореей злоумышленник TraderTraitor, вероятно, получил доступ к системам Binance в сентябре — примерно за восемь недель до того, как Binance сообщила, что 29 октября стала жертвой эксплойта на $6,3 млрд. В опубликованном в четверг анализе SEAL утверждает, что вторжение началось за несколько месяцев до того, как можно было бы предположить по срокам публично объявленного инцидента, что дало злоумышленникам время незаметно действовать и изучить внутренние механизмы контроля.
SEAL также связывает TraderTraitor с сетью подставных компаний, использовавшихся в мошеннических схемах под видом найма в 2026 году, и выявляет как минимум четыре домена, связанных с этой кампанией. В выводах организации также отмечается повторяющаяся закономерность крупных взломов криптоплатформ: многоэтапный доступ, который может сохраняться неделями, прежде чем средства в итоге будут выведены.
Главные выводы
По оценке SEAL, TraderTraitor получил доступ к системам Binance в сентябре — примерно за восемь недель до эксплойта на 6,3 млрд долларов 29 октября.
В отчёте говорится, что после первоначального проникновения злоумышленники сохраняли «высокую степень скрытности», что позволило им долго перемещаться внутри системы.
SEAL выявила как минимум четыре «компании-прикрытия» 2026 года, связанные с кампаниями TraderTraitor по вербовке: citalab.net, citalab.com, bitfit.io и oddium.io.
SEAL указывает на схожие временные рамки в других криптовалютных взломах, предполагая, что злоумышленники обычно сохраняют доступ в течение нескольких недель до эксплуатации уязвимости.
Binance связала взлом с фальшивым собеседованием, в ходе которого было скомпрометировано устройство сотрудника и похищены учётные данные. Binance заявила, что следы кампании ведут к июню.
Первоначальный доступ мог появиться задолго до громкого взлома
Главный тезис SEAL заключается в том, что оперативная компрометация Binance началась не в момент публично известного эксплойта. В опубликованном в четверг отчёте группа написала, что проникновение TraderTraitor в системы Binance, вероятно, началось в сентябре, а злоумышленники могли долго оставаться внутри, сохраняя значительную скрытность.
Это важно для специалистов по защите и участников рынка, поскольку «дата инцидента» часто становится единственной публично известной вехой. Если злоумышленники могут неделями оставаться в системах до проведения масштабной атаки, то фактический период уязвимости может быть связан с недостатками внутреннего мониторинга, защиты учётных данных и контроля доступа, которые могут обнаружиться лишь после нанесения ущерба.
Связи с мошенническим наймом и инфраструктурой
SEAL также сообщила, что выявила как минимум четыре «компании-прикрытия», связанные с фальшивыми кампаниями TraderTraitor по вербовке в 2026 году. Указанные в анализе домены — citalab.net, citalab.com, bitfit.io и oddium.io — представлены как часть более широкой схемы по созданию доверия, заманиванию жертв и организации путей проникновения в целевые организации.
Этот анализ согласуется с публичными заявлениями Binance. В более ранних материалах, на которые ссылается SEAL, говорится, что Binance связала взлом на 6,3 млрд долларов с фальшивым собеседованием: оно позволило злоумышленникам скомпрометировать устройство сотрудника и похитить учётные данные, использованные для взлома кошельковой инфраструктуры биржи.
Как, по словам SEAL, это соотносится с другими крупными взломами в криптоиндустрии
Помимо случая с Binance, SEAL привела другие резонансные инциденты, чтобы показать, что многоэтапное проникновение — повторяющаяся особенность масштабных атак на криптоиндустрию. Организация оценила примерную продолжительность доступа до эксплуатации уязвимости в нескольких случаях, включая:
Около шести недель доступа до взлома Bitget на 388 млн долларов.
Около шести недель доступа к LayerZero до эксплуатации уязвимости, которая привела к взлому Kelp DAO на 293 млн долларов.
Около трёх недель до проведения атаки на 24 млн долларов с использованием AFX.
Хотя сроки в разных инцидентах отличаются, общая закономерность состоит в том, что компрометация может предшествовать эксплуатации уязвимости на несколько недель. На практике это смещает фокус обсуждения безопасности с одной лишь готовности реагировать на инциденты на более раннее обнаружение — например, выявление длительного присутствия злоумышленников, необычных шаблонов доступа и утечки учётных данных задолго до перемещения активов.
Версия Binance и более широкий спор об атрибуции
Оценки SEAL вызвали вопросы о том, когда и как началось проникновение. Cointelegraph попытался проверить анализ, обратившись за комментарием к Binance. По данным Cointelegraph, к моменту публикации Binance не ответила.
Ранее Binance описывала другую последовательность событий. По словам компании, следы кампании прослеживаются до июня, когда было скомпрометировано устройство другого сотрудника. Binance заявила, что обнаружила это раннее проникновение и заменила устройство, но добавила, что к тому времени злоумышленники, возможно, уже собрали информацию о сотрудниках и кошельковой инфраструктуре Binance. Компания также указала на механизм с фальшивым собеседованием, который в конечном итоге позволил провести эксплойт. Подробности об этом стали публичными после инцидента 29 октября.
Атрибуция атаки оспаривалась и на геополитическом уровне. В субботнем отчёте Федеральное бюро расследований США возложило ответственность за атаку на северокорейскую группу TraderTraitor, тогда как Ким Ё Чжон, сестра лидера Северной Кореи Ким Чен Ына, отвергла эти обвинения, согласно ранее опубликованному материалу Cointelegraph.
В совокупности этот спор показывает знакомую асимметрию киберинцидентов: следователи и пострадавшие организации могут акцентировать внимание на разных этапах одной и той же цепочки атаки — первоначальном проникновении, краже учётных данных или конечном взломе кошельков. Вклад SEAL заключается в том, что организация сосредоточилась на вероятных сроках доступа к системам и на том, как долго злоумышленники могли находиться внутри до даты публично известного эксплойта.
В дальнейшем читателям, следящим за этой историей, стоит обратить внимание на появление новых технических подробностей, которые помогут согласовать описанный Binance июньский эпизод компрометации с оценкой SEAL о доступе к системам с сентября, а также на то, будут ли аналогичные случаи «доступа в течение нескольких недель» чаще выявляться в будущих материалах о других инцидентах с биржами и протоколами.
Изначально эта статья была опубликована под заголовком «Хакеры Binance имели доступ в течение 8 недель до эксплойта на 6,3 млрд долларов, заявляет альянс» на сайте Crypto Breaking News — вашем надёжном источнике новостей о криптовалютах, биткоине и блокчейне.