El ataque a Binance, que causó pérdidas de 6,34 mil millones de dólares, comenzó con una entrevista falsa

El ataque a Binance, que el 29 de octubre afectó activos digitales por un valor de aproximadamente 6,34 mil millones de dólares, comenzó con una entrevista falsa. Así lo informó la bolsa en un informe preliminar sobre la investigación del incidente.

https://t.co/sU9dUqLQDH

— Binance (@binance) 3 de noviembre de 2026

Según Binance, los hackers prepararon una campaña de varios pasos durante varios meses. Utilizaron técnicas de ingeniería social, archivos dañinos, así como la vulnerabilidad de los herramientas de inteligencia artificial internas y de los dispositivos de los empleados, para luego obtener acceso a la infraestructura de firma de transacciones de las carteras digitales.

La bolsa afirmó que, según la información del FBI, detrás del ataque se encuentra Corea del Norte. Anteriormente, Binance también había anunciado que había detectado y frustrado 57 ataques cibernéticos presuntamente perpetrados por grupos norcoreanos en 2026.

¿Cómo lograron los hackers acceder a la infraestructura de Binance???

Según el informe, en septiembre uno de los ingenieros de Binance recibió un mensaje en una plataforma legítima de búsqueda de empleo de una persona que se presentó como director del proyecto. Al empleado se le propuso realizar dos rondas de entrevistas.

Сначала с ним связался представитель отдела кадров (HR) компании. Он провел видеозвонок и предоставил ссылку на свой аккаунт в социальных сетях, на котором были личные фотографии и видео, чтобы вызвать доверие у собеседника. На втором этапе общения с ним общался инженер, выдававший себя за руководителя несуществующей компании.

В конце второго собеседования сотруднику было предложено скачать тестовое задание (репозиторий с вредоносным кодом) на рабочий компьютер. После установки этого кода на устройстве начались несанкционированные действия. Согласно данным Binance, вредоносная программа использовала методы обфускации и обхода систем защиты; компоненты этой программы смогли преодолеть действующие на тот момент меры безопасности конечных устройств.

Биржа Binance также упомянула более ранний инцидент: в июне другой инженер скачал модифицированную версию программы Homebrew с целью установки популярного инструмента для разработки в области искусственного интеллекта. Служба безопасности обнаружила аномалию, заменила устройство и обновила соответствующие учетные данные сотрудника. Однако, по информации Binance, злоумышленники уже получили сведения о сотруднике и его коллегах, отвечающих за инфраструктуру кошельков пользователей биржи.

20 октября злоумышленники воспользовались скомпрометированным компьютером первого инженера, а также внутренним инструментом Binance для получения доступа к устройствам еще двух сотрудников. Впоследствии они обнаружили на компьютере одного из инженеров токен, предоставляющий права на развертывание вредоносных программ (контейнеров).

29 октября злоумышленники использовали украденные учетные данные, чтобы развернуть вредоносную программу и вмешаться в процесс подписания транзакций пользователей биржи.

Как были выведены украденные средства?

Согласно данным Binance, атака началась с переводов средств с горячих кошельков биржи в несколько криптовалютных сетей. В период с 20:05 до 20:09 UTC пять кошельков перевели на контролируемый злоумышленниками адрес 233,46 миллиона единиц криптовалюты XRP. Кроме того, с кошельков в сетях Solana и Optimism было снято около 970 500 единиц криптовалюты SOL и 44,2 миллиона единиц криптовалюты OP.

Затем с горячего кошелька Binance было переведено 18 270 единиц криптовалюты BTC.

Для дальнейшего перемещения активов злоумышленники воспользовались механизмом EIP-7702 в блокчейне Ethereum. Этот механизм позволяет обычному аккаунту делегировать определенные права смарт-контракту на выполнение операций без необходимости раскрытия его приватного ключа.

В данном случае злоумышленники использовали этот механизм для взаимодействия с горячим кошельком Binance, что позволило им осуществлять переводы средств, обходя стандартную систему вывода средств биржи.

Binance обнаружила подозрительные транзакции и начала ограничивать операции с горячих кошельков, приостанавливать вывод средств, сотрудничать с партнерами для замораживания активов и аннулирования несанкционированных разрешений на переводы.

Однако приостановка обычных операций по выводу средств не прекратила все передачи активов: разрешения, созданные с использованием механизма EIP-7702, продолжали действовать независимо от стандартной инфраструктуры биржи. Для их аннулирования потребовалась специальная процедура.

Дополнительные сложности возникли из-за архитектуры горячих кошельков Binance, использующих технологию многопользовательских расчетов (MPC). Поскольку единого приватного ключа для этих кошельков не существует, команда Binance не смогла немедленно аннулировать несанкционированные переводы.

Последняя несанкционированная транзакция на сумму 2961,9 единицы криптовалюты ETH была подтверждена в блокчейне 29 октября в 23:56 UTC.В 00:10 по UTC 30 октября Binance отправила новое авторизационное сообщение на адрес, находящийся в состоянии «нуля», с целью удаления делегированного кода EIP-7702.

Binance восстановила 98% пострадавших активов.

По оценкам биржи, инцидент затронул цифровые активы на сумму примерно 6,34 миллиарда долларов. Из этой суммы около 2,85 миллиарда долларов удалось заморозить или перехватить. Эта оценка может измениться после полного анализа данных и учета колебаний рыночных цен. Binance заявила, что возьмет на себя финансовые последствия этой атаки. По состоянию на 31 октября компания восстановила около 98% пострадавших токенов; объем зарезервированных средств превышает сумму, необходимую для покрытия убытков. Кроме того, Binance приобретает оставшиеся, менее ликвидные активы. В рамках реагирования на инцидент Binance перестроила пострадавшие системы кошельков и внутренние инструменты искусственного интеллекта, заменила устройства, связанные с пострадавшими сотрудниками, а также аннулировала их учетные данные и токены. Компания также усилила контроль над устройствами, управление рисками в сервисах хранения средств и обнаружение аномального поведения с помощью технологий искусственного интеллекта. Биржа планирует привлечь независимые компании по кибербезопасности для проверки результатов расследования. Кроме того, она намерена увеличить инвестиции в инструменты искусственного интеллекта, предназначенные для обнаружения угроз, защиты рабочих устройств и разработочных средств, а также создать фонд для поддержки исследований в области безопасности блокчейн-инфраструктуры. Binance подчеркнула, что опубликованный отчет является предварительным; расследование продолжается, и его выводы будут проверены независимыми экспертами. Некоторые технические детали компания решила не разглашать, чтобы не помогать потенциальным злоумышленникам в подготовке новых атак.

Recuerden que la intrusión en Binance intensificó el debate sobre las reglas según las cuales los emisores de stablecoins bloquean los activos robados.