Хакеры похитили около 6,3 млрд долларов с криптовалютной биржи Binance — и большую часть этой суммы вывели менее чем за час. По данным самой платформы, атака была построена на использовании систем и людей, которые имели полномочия проводить операции с такими крупными суммами. Подобные слабые места есть практически везде: статистика показывает, что люди и системы, которыми они пользуются напрямую, включая личные компьютеры, остаются главной целью киберпреступников.

Кража произошла вечером 29 октября 2026 года и стала в четыре раза крупнее предыдущего крупнейшего криптовалютного взлома — атаки на Bybit в феврале 2025 года, где было похищено 1,5 млрд долларов. Хотя частные ключи — известная точка риска, их утечки Binance не обнаружила. В первоначальном заявлении биржа указала на скомпрометированный ноутбук инженера, который дал злоумышленнику доступ к внутренней системе обработки запросов на вывод средств.

Блокчейн-транзакции можно полностью отследить, поэтому следователи могут восстановить цепочку событий, предшествовавших атаке. 28 октября адрес, с которого позже была совершена кража, получил 0,3 ETH через Tornado Cash — сервис, который смешивает средства разных пользователей, скрывая их происхождение. За несколько часов до кражи с того же адреса был развернут вредоносный смарт-контракт — код, который автоматически выполняется при наступлении заданных условий.

В 20:20:59 UTC с этого адреса была отправлена транзакция, содержащая 50 подписанных разрешений на передачу контроля над кошельком Binance этому смарт-контракту. Одно из них было принято горячим кошельком Binance — кошельком, который биржа использует для обработки выводов клиентов. После этого хакеры опустошили hot wallet, выведя 64 разных токена примерно на 2,5 млрд долларов одной транзакцией. Затем в параллельном режиме были опустошены и другие кошельки с помощью стандартных подписанных транзакций, и общий ущерб достиг 6,3 млрд долларов.

Для вывода средств использовались действительные цифровые подписи Binance, однако пока не объяснено, как именно атакующие их получили. Аудит следов показывает, что несколько часов ранее злоумышленники уже отрабатывали сценарий, но тогда ничего не связывало их с Binance.

Подобные методы уже знакомы специалистам. Атака на Bybit в 2025 году, в результате которой было похищено 1,5 млрд долларов, также, по всей видимости, включала скомпрометированный ноутбук, способный выполнять операции с высокими привилегиями. Аналитики связывали ту атаку с северокорейскими киберпреступниками, которые специализируются на создании так называемых «легенд» — вымышленных личностей, предназначенных для обмана компаний и частных лиц.

В октябре Минюст США предъявил обвинения 14 фигурантам дела, в котором северокорейские киберпреступники, используя украденные или вымышленные личности, получали удаленную работу более чем в 70 американских компаниях. 1 ноября Binance уже восстановила вывод средств для некоторых криптовалют. За два дня до атаки биржа сообщала, что в течение недели блокировала попытки атак, связанные с Северной Кореей и фальшивыми рекрутерами. Связано ли это с инцидентом — пока неизвестно, но сам способ действий хорошо известен и широко распространен. Северная Корея, в свою очередь, отвергла обвинения в причастности к атаке.

Киберпреступник может месяцами выдавать себя за трудолюбивого сотрудника, дешевого и надежного подрядчика или щедрого работодателя. Преступник просто ждет момента, когда будет установлено важное программное обеспечение или подписан критически важный документ. Поскольку большая часть современной работы происходит через цифровые контакты, к любому новому знакомству разумно относиться с ограниченным доверием.

Хороший пример того, как работают такие «легенды», — атака на японскую криптобиржу DMM Bitcoin в 2024 году, в результате которой злоумышленники получили 308 млн долларов. Хакер представился рекрутером в LinkedIn и завоевал доверие сотрудника Ginco — компании, которая предоставляет DMM программное обеспечение для управления кошельками. Рекрутер предложил сотруднику работу при условии прохождения тестового задания. На деле ссылка вела на вредоносный Python-скрипт, после чего компьютер жертвы был скомпрометирован. Это классическая социальная инженерия. Целью в этом случае тоже была система криптокошельков, доступ к которой осуществлялся через зараженный компьютер. Примерно два месяца спустя злоумышленники вывели средства из DMM.

Выводы для бизнеса очевидны: практически всем компаниям стоит извлечь уроки из таких атак. Первый касается того, что именно компьютерные системы имеют право подтверждать. Традиционно криптографические ключи защищают с помощью аппаратных модулей безопасности и схем мультиподписи, когда для подтверждения действия требуется несколько частных ключей. Но такие механизмы не спасают от атаки, если она идет через скомпрометированную внутреннюю систему, находящуюся под контролем хакера. Поэтому необходимо заранее определять правила авторизации финансовых операций, устанавливать лимиты по времени и суммам, а для нестандартных запросов требовать подтверждение по альтернативному каналу.

Кроме того, поскольку основная часть средств в атаке на Binance была переведена менее чем за час, компьютерные системы должны уметь блокировать подозрительные транзакции за считаные секунды, не дожидаясь одобрения дежурного инженера по безопасности. Второй урок касается найма, который уже стал элементом защиты. Северокорейские киберпреступники используют украденные или вымышленные личности и VPN, чтобы выдавать себя за людей из США. Визуальные образы на онлайн-собеседованиях теперь тоже можно подделать с помощью дипфейков. Видеоинтервью и резюме больше не доказывают, кто человек на самом деле. В некоторых случаях для очных собеседований нанимают даже актеров. Значит, процесс проверки личности нужно усиливать — в том числе проверять кандидатов через независимо подтвержденные контакты.

Третий урок связан с рабочими компьютерами людей, у которых есть привилегированный доступ к корпоративным системам. Обычно организации защищаются от фишинга обучением сотрудников и фильтрами электронной почты. Но некоторые атаки обходят эти механизмы, потому что нацелены на конкретных людей — это так называемый spear phishing. В случае Bybit доступ к компьютеру разработчика позволил злоумышленнику захватить токены сессии в облаке и обойти многофакторную аутентификацию. Одно из возможных решений — разделить привилегированный доступ и повседневную работу: доступ к системам вывода средств должен быть только с выделенных устройств под управлением компании, а код из внешних источников следует запускать лишь в изолированной среде.

Крупнейшая криптокража в истории — это, по сути, история о том, как люди и процессы оказываются самым слабым звеном в системах безопасности. Криптография при этом не была взломана и по-прежнему остается ключевым защитным механизмом. Но те же самые уязвимости есть в банках, платежных компаниях и больницах — и злоумышленники это прекрасно знают.