Фальшива співбесіда та підроблений Homebrew: Binance детально описала механізм найбільшого злому в історії криптовалют

Згідно з офіційним поясненням компанії, атака розпочалася з цільового пошуку жертви серед персоналу Binance. Хакери знайшли профіль одного з інженерів-програмістів у LinkedIn, де той зазначав свій досвід роботи на біржі. Після цього шахраї, видаючи себе за директора проєкту, організували багатоступеневу фальшиву співбесіду. Спочатку відбувся контакт із «представником відділу кадрів», а наступний етап проводила людина, яка представлялася генеральним директором вигаданої компанії.

Метою цих зустрічей було переконати працівника завантажити спеціальне «завдання» — файл, який містив шкідливий код. Паралельно з цією схемою діяла окрема кампанія з розміщення реклами, що пропонувала модифіковану версію популярного пакету менеджеру пакетів Homebrew. Інший інженер компанії перейшов за рекламним посиланням і завантажив підроблене програмне забезпечення. Хоча Binance стверджує, що виявила і видала цей файл із комп’ютера співробітника, зловмисники вже встигли отримати критичну інформацію про ролі ключових осіб та управління гаманцями.

Поєднання даних, отриманих через LinkedIn, та інформації зі зламаного Homebrew дозволило хакерам захопити контроль над низкою гарячих гаманців біржі. Важливо відзначити, що хоча спочатку в медіа припускали використання штучного інтелекту для самого злому, звіт показує, що ШІ був залучений лише на другому етапі. Отримавши доступ до ноутбука інженера, зловмисники використали внутрішні інструменти ШІ самої Binance для автоматизованого зламування облікових записів інших розробників (Wallet DevOps A та інженера C). Це допомогло їм знайти токен дозволу на розгортання контейнерів, що й стало фінальним ключем до масового виведення коштів.

Представник Binance наголосив, що співробітники, які не мають прямого контакту з громадськістю, заборонено мати відкриті профілі в LinkedIn. Однак компанія відмовилася коментувати, чи порушив конкретний інженер це правило, та чи будуть звільнені залучені працівники. Водночас біржа повідомила, що у 2026 році їй вдалося запобігти 57 подібним атакам, пов’язаним із Північною Кореєю, що свідчить про системність таких загроз.

Контекст

Раніше повідомлялося, що за цим масштабним кіберінцидентом стоїть елітна хакерська група, пов’язана з Північною Кореєю. Ця група відома своїми методиками соціальної інженерії, які часто включають створення фейкових вакансій та підроблених інтерв’ю для отримання доступу до корпоративних мереж великих технологічних компаній.

Враховуючи попередні матеріали, можна простежити тренд на ускладнення атак на криптоінфраструктуру, де кіберзлочинці комбінують традиційні методи фішингу з використанням внутрішніх інструментів самих жертв, включаючи системи на базі ШІ, для прискорення горизонтального переміщення всередині мережі.

Раніше ми писали:

• За найбільшим взломом Binance стоїть елітна хакерська група КНДР
• «Цунамі вразливостей»: як ШІ змінив правила гри у кібербезпеці та чому це загрожує всьому інтернету

Що це означає

Binance вдалося повернути близько 2,5 мільярда доларів завдяки заморозці стейблкоїнів компаніями Tether та Circle, а 98% вкрадених монет біржа компенсувала з власних резервів. Клієнти не зазнали прямих фінансових втрат.

Після інциденту Binance тимчасово призупинила виведення коштів на 48 годин, але вже відновила операції. Користувачам варто очікувати посилення перевірок безпеки та можливих затримок у транзакціях під час аудитів.

Представник нагадав про заборону профілів у LinkedIn щодо наявності профілів співробітників у соцмережах, що може призвести до жорсткіших внутрішніх регламентів для персоналу технічних департаментів.