Змодельоване співбесіду дозволило зловмисникам викрасти з Binance 6,3 млрд $. Зловмисники протягом кількох місяців проникали у біржу, використовуючи методи, щодо яких інші компанії індустрії криптовалют попереджали задовго до інциденту.
3 листопада Binance повідомила, що атака, яка відбулася 29 жовтня, розпочалася з компрометації комп’ютерів двох інженерів незалежно один від одного.
Перший випадок було зафіксовано у червні, коли інженер під час пошуку AI-інструменту завантажив модифікований програмний пакет.
Binance виявила зараження, замінила комп’ютер і змінила облікові дані. Проте зловмисники вже встигли зібрати інформацію про співробітника та команду, яка займається гаманцями.
Далі з’явилися фейкові співбесіди.
Шахрайська вакансія обійшлася Binance у понад 6 млрд $
У вересні іншому інженеру написали через авторитетний рекрутинговий портал. Йому організували відеоспівбесіди з представником служби персоналу та особою, яка видавала себе за генерального директора компанії.
Зрештою інженер отримав тестове завдання з програмування. Завантажені файли містили шкідливе програмне забезпечення, яке обійшло антивірусний захист на комп’ютері.
До 20 жовтня зловмисники, використовуючи скомпрометований пристрій і внутрішній AI-інструмент, отримали доступ до інших інженерів Binance.
Після цього було викрадено облікові дані для деплойменту, які використали для впровадження шкідливого ПЗ до інфраструктури гаманців Binance.
29 жовтня почалися несанкціоновані виведення коштів. Протягом кількох годин було викрадено приблизно 6,3 млрд $.
За даними Binance, близько 2,85 млрд $ було заморожено, а 98% постраждалих токенів відновлено за рахунок коштів компанії.
Інші біржі вже повідомляли про подібні атаки
Подібна тактика залучення до процесу працевлаштування раніше докладно описувалася.
У травні 2025 року Kraken виявила підозрюваного північнокорейського агента, який намагався потрапити до її інженерної команди.
Coinbase повідомила про ще одну спробу проникнення у серпні 2026 року, пояснивши, як атипова активність дозволила ідентифікувати потенційно скомпрометованого підрядника.
Крім того, Microsoft навесні публічно попереджала, що хакери з Північної Кореї використовують псевдоспівбесіди для розповсюдження шкідливого ПЗ серед розробників.
Чому Binance не зупинила атаку?
Три питання щодо кібербезпеки залишаються відкритими.
По-перше, чому співробітник отримав змогу запускати неперевірені завдання з програмування на пристрої, підключеному до корпоративної інфраструктури?
По-друге, з яких причин інцидент у червні продовжував впливати на безпеку навіть після його виявлення?
По-третє, яким чином доступ через скомпрометовані облікові дані для деплойменту забезпечив зловмисникам контроль над системами, що авторизують багатомільярдні виведення активів?
Binance досі не надала деталізованих пояснень, які саме механізми захисту не спрацювали, а також не повідомила, чи були враховані попередні попередження щодо атак цієї категорії для підвищення рівня кіберзахисту.
FBI віднесло відповідальність за атаку до угруповання TraderTraitor із Північної Кореї.
Ключовий виклик для Binance полягає у розумінні механізму, за яким давно відомий сценарій кадрового шахрайства проник в архітектуру, котра забезпечує збереження мільярдних резервів клієнтів.
