Binance: как фиктивное собеседование привело к взлому на $6,3 млрд

Согласно официальному объяснению компании, атака началась с целевого поиска жертвы среди персонала Binance. Хакеры нашли профиль одного из инженеров-программистов в LinkedIn, где тот указывал свой опыт работы на бирже. После этого мошенники, выдавая себя за директора проекта, организовали многоэтапное фиктивное собеседование. Сначала состоялся контакт с «представителем отдела кадров», а следующий этап проводил человек, который представлялся генеральным директором вымышленной компании.

Целью этих встреч было убедить сотрудника скачать специальное «задание» — файл, содержащий вредоносный код. Параллельно с этой схемой действовала отдельная кампания по размещению рекламы, которая предлагала модифицированную версию популярного пакета менеджера пакетов Homebrew. Другой инженер компании перешел по рекламной ссылке и скачал поддельное программное обеспечение. Хотя Binance утверждает, что обнаружила и удалила этот файл с компьютера сотрудника, злоумышленники уже успели получить критическую информацию о ролях ключевых лиц и управлении кошельками.

Сочетание данных, полученных через LinkedIn, и информации со взломанного Homebrew позволило хакерам захватить контроль над рядом горячих кошельков биржи. Важно отметить, что хотя изначально в СМИ предполагали использование искусственного интеллекта для самого взлома, отчет показывает, что ИИ был задействован только на втором этапе. Получив доступ к ноутбуку инженера, злоумышленники использовали внутренние инструменты ИИ самой Binance для автоматизированного взлома учетных записей других разработчиков (Wallet DevOps A и инженера C). Это помогло им найти токен разрешения на развертывание контейнеров, что и стало финальным ключом к массовому выводу средств.

Представитель Binance подчеркнул, что сотрудникам, не имеющим прямого контакта с общественностью, запрещено иметь открытые профили в LinkedIn. Однако компания отказалась комментировать, нарушил ли конкретный инженер это правило, и будут ли уволены привлеченные сотрудники. В то же время биржа сообщила, что в 2026 году ей удалось предотвратить 57 подобных атак, связанных с Северной Кореей, что свидетельствует о системности таких угроз.

Контекст

Ранее сообщалось, что за этим масштабным киберинцидентом стоит элитная хакерская группа, связанная с Северной Кореей. Эта группа известна своими методиками социальной инженерии, которые часто включают создание фейковых вакансий и поддельных интервью для получения доступа к корпоративным сетям крупных технологических компаний.

Учитывая предыдущие материалы, можно проследить тренд на усложнение атак на криптоинфраструктуру, где киберпреступники комбинируют традиционные методы фишинга с использованием внутренних инструментов самих жертв, включая системы на базе ИИ, для ускорения горизонтального перемещения внутри сети.

Ранее мы писали:

Что это значит

Binance удалось вернуть около 2,5 миллиардов долларов благодаря заморозке стейблкоинов компаниями Tether и Circle, а 98% украденных монет биржа пополнила из резервных фондов. Клиенты не понесли прямых финансовых потерь.

После инцидента Binance временно приостановила вывод средств на 48 часов, но уже возобновила операции. Пользователям стоит ожидать усиления проверок безопасности и возможных задержек в транзакциях во время аудитов.

Представитель напомнил о запрете профилей в LinkedIn относительно наличия профилей сотрудников в социальных сетях, что может привести к более жестким внутренним регламентам для персонала технических отделов.