Позже атакующие использовали скомпрометированное устройство и внутренний AI-инструмент для дальнейшего проникновения. Украденные учётные данные помогли добраться до инфраструктуры подписания операций с кошельками. Это описание самой Binance, а не окончательные выводы независимой экспертизы. Официальный отчёт Binance.

Обычно тестовое задание стоит кандидату нескольких часов. Здесь оно стало одним из звеньев атаки на крупнейшую криптобиржу.

Важен не сам факт использования AI-инструмента. Важна цепочка доступа: рабочее устройство, внутренние системы, полномочия на развёртывание программ и сервис, который подписывает операции с активами.

До миллиардов были небольшие переводы

Мы в AML Crypto начали с подготовки инфраструктуры в Ethereum.

На исследованном графе за 28–29 октября видны шесть выводов из пулов Tornado Cash на группу связанных адресов, суммарно около 1,48 ETH. Основной интерес представлял адрес 0x7c86…5ca0, получивший около 1,3763 ETH напрямую и через посредника.

Суммы небольшие. Но они обеспечивали работу адресов, связанных с дальнейшими действиями.

Открыть интерактивный граф.

Дальше обнаружилось совпадение, которое уже нельзя было списать на визуальное сходство стрелок. В реконструированном коде контракта для вывода активов тот же адрес был указан как разрешённый оператор.

Один и тот же адрес появился и в цепочке финансирования, и в логике управления контрактом.

На соседней ветке графа видны небольшие переводы и обратный сбор токенов. Это похоже на тестирование маршрутов, но сам граф не доказывает намерения участников. Блокчейн записывает действия. Мысли он пока не протоколирует.

Кошелёк остался прежним. Правила исполнения изменились

В Ethereum атакующие использовали EIP-7702: механизм, позволяющий обычному адресу делегировать исполнение кода смарт-контракту.

Представьте сейф, который остался на месте, но начал выполнять инструкции чужой системы управления.

В исследованной операции содержалось 50 авторизаций для Binance 14 с последовательными значениями nonce, счётчика аккаунта. Это не подбор пароля и не взлом через угадывание числа. Для действительной авторизации всё равно нужна соответствующая криптографическая подпись.

После делегирования код вывода мог работать в контексте самого кошелька Binance.

Почему кнопки «остановить» оказалось недостаточно

Binance объяснила: уже выданные разрешения EIP-7702 действовали в блокчейне независимо от обычной инфраструктуры вывода. Их пришлось отзывать отдельными операциями.

По отчёту биржи, последняя несанкционированная транзакция подтвердилась в 23:56 UTC 29 октября, а делегирование Binance 14 сняли в 00:10 UTC 30 октября. Официальная хронология Binance.

Поэтому формулировка «всё произошло за двадцать минут» слишком упрощает историю. Первые массовые перемещения шли быстро. Полное прекращение несанкционированного движения активов потребовало больше времени.

И EIP-7702 объясняет только часть атаки: средства уходили также в сетях, где этого механизма нет.

Заморозили, восполнили, вернули: три разных результата

В предварительном отчёте Binance оценила затронутые активы примерно в $6,34 млрд, а замороженные или перехваченные средства примерно в $2,85 млрд.

Отдельно 4 ноября Binance сообщила о восполнении примерно 98% затронутых активов, в том числе через покупки на рынке и внебиржевые сделки. Обновление Binance №7.

Это не означает, что у похитителей забрали 98% украденного. Восполнение резервов биржей, блокировка токенов и фактический возврат средств владельцу нельзя складывать в один показатель.

ФБР, в свою очередь, официально связало атаку с Северной Кореей и деятельностью TraderTraitor. Ведомство призвало криптосервисы блокировать операции с указанными адресами и производными от них потоками средств. Сообщение ФБР от 31 октября.

Что здесь важно для бизнеса

Этот кейс показывает разницу между остановкой интерфейса и прекращением полномочий в блокчейне. Если разрешение уже существует, выключенный сервис сам по себе его не отменяет.

А для расследования важны не только последние крупные переводы. Иногда небольшое пополнение адреса до атаки связывает оператора, контракт и последующий вывод миллиардов.

В полном разборе AML Crypto мы показываем адреса, код и хронологию этой связи. Увидеть, куда ушли деньги, ещё не значит вернуть их. Но без проверяемой цепочки транзакций обсуждать возврат часто просто не с чего.

Все думали что у пацана котелок совсем протек. И они оказались правы! После его покупки Биткоин ушел в затяжной спад. И целый год Чанпэн вскакивал каждую ночь с кровати от паники, глядя как его 900 тыщ баксов скукоживаются до несчастных 400.

Но Чанпэн не стал сливать биток, а продолжил его держать, потому что он обладал мощной думалкой инженера-программиста в сфере крипто-бирж, поэтому вкуривал что за криптой будущее. Она поражала его своей математической элегантностью. Только биржи тогда все были ДИКО тормозными и падали от малейшего кипиша.

А криптобум разгонялся с чудовищной силой и пачками появлялись новые виды монет. Но толковой инфраструктуры для всего этого цифрового базара не было. Поэтому Чанпэн создал собственную биржу Binance уже в 2017.

Он не стал городить какой-то там навороченный комбайн с миллионом функций, а сделал простую и главное БЫСТРУЮ биржу, которая могла прогонять аж 1.4 миллиона транзакций в секунду. В те пубертатные времена это ощущалось как инопланетная магия.

Вдогонку он уронил комиссии на самое дно, пока конкуренты драли с народа три шкуры. В результате всего за 180 дней Binance превратилась из ноунейм-стартапа в КРИПТО-БИРЖУ №1 НА ПЛАНЕТЕ. Толпы лудоманов регали аккаунты пачками.

Но не успел Чанпэн откупорить шампанское, как власти Китая вдруг запретили все криптобиржи в стране. Но у Binance не было физической штаб-квартиры. Поэтому они погнали кочевать из одной страны в другую и работать на удаленке.

Регуляторы разных стран визжали, но поделать ничего не могли и сосали чупа-чупс. А популярность Binance росла как на дрожжах. Чанпэн даже попал на обложку Forbes.

Но в 2019 Хакеры сперли с биржи аж 7000 битков. Но Чанпэн не стал перекладывать убытки на клиентов. А наоборот покрыл все из своего страхового фонда. И ни один клиент в итоге не потерял ни цента. Это настолько поразило криптофанатов, что вместо волны хейта Binance получила дичайший респект и еще большую армию преданных хомяков. И в 2021 число юзеров привалило уже аж 100 миллионов.

Но этим Binance начала подрывать монополию доллара, а значит господство США над всем миром. Для США биржа стала огромной мутной непоняткой и превратилась в неподконтрольный теневой банк. А у США пердак разрывается в лохмотья, если они вдруг не могут чо-то контролировать.  А вдруг там Иран или Россия банчат чем-то беспалево.

И дядя Сэм начал за Binance лютую охоту с привлечением Минюста США, ФБР и даже секретных служб. И в прессе вдруг начали появляться всякие расследования, что якобы через Binance гоняются миллиарды связанные с хакерскими атаками, мошенничеством и даже торговлей наркотой.  В итоге Вашингтон предъявил бирже отмывание бабла, отсутствие лицензий и даже обход санкций.

Чанпэн в итоге капитулировал и признал вину. И Binance в 2023 выплатила астрономический штраф в $4,3 МИЛЛИАРДА. Чанпэн спрыгнул с поста гендира и на 4 месяца отправился на нары. И бинанс теперь под колпаком. А Чанпэн стал самым богатым зэком в США с состоянием  почти 40 миллиардов.

Его секрет успеха в том, что он двигался по принципу — «сначала захватим рынок, а там разберёмся».

Чтобы не пропустить следующую историю падайте в телегу, а еще лучше в цифровое рабство.

3. Проникновение в систему: Злоумышленник скомпрометировал ноутбук инженера DevOps и внедрил вредоносные команды во внутренний контейнер услуг Binance.

4. Основная кража (20:04–20:35 UTC): В течение 31 минуты хакер опустошал горячие кошельки на девяти блокчейнах (Ethereum, Bitcoin, Solana, Tron и др.). Ключевой трюк заключался в обходе «nonce» (счётчика транзакций) кошелька: так как счётчик постоянно менялся, хакер заставил систему подписи Binance обработать 50 параллельных запросов с разными номерами nonce. Один из них «подошёл», и контракт получил контроль над счётом.

📉 Последствия и ущерб

· Масштаб: Общая сумма похищенного оценивается в диапазоне от 5,8 до 6,3 млрд долларов (в основном в ETH, BTC, USDT, USDC).

· Заморозка: Власти USDT (Tether) и USDC (Circle) оперативно заморозили около 2,54 млрд долларов на связанных адресах. Однако децентрализованные активы (ETH, BTC) вернуть практически невозможно.

· Рынок: Новость вызвала панику — биткоин кратковременно упал ниже $79 000, а общие ликвидации на рынке за час превысили $627 млн.

Как именно был скомпрометирован ноутбук?

Ключевой целью был сотрудник, отвечавший за кошельки или разработку. Атака проходила следующим образом:

1. Разведка и контакт: В сентябре 2026 года хакеры связались с инженером через легитимную платформу по поиску работы, где у него был профиль с указанием опыта работы в Binance. Злоумышленник представился «директором проекта» несуществующей компании .

2. Построение доверия: Чтобы выглядеть убедительно, хакеры провели несколько этапов «собеседований». Один из них выдавал себя за HR-специалиста и даже делился ссылками на социальные сети с личными фото и видео, чтобы казаться настоящим человеком. Binance назвала этот метод «более продвинутым и обманчивым», чем сталкивалась ранее .

3. Доставка вредоносного ПО: В конце «второго раунда собеседования» (где злоумышленник выдавал себя за генерального директора) инженеру было предложено скачать «тестовое задание» на рабочий компьютер. Этот файл содержал вредоносный код, который использовал техники обфускации и смог обойти системы безопасности Binance .

Как это привело к краже?

После заражения ноутбука инженера, хакеры не действовали сразу. Они использовали это устройство как плацдарм:

· 20 октября: С помощью скомпрометированного ноутбука и внутреннего ИИ-инструмента Binance они получили контроль над компьютерами еще двух инженеров из команды кошельков. У одного из них оказался токен с правами на развертывание.

· 29 октября: Используя эти украденные права, хакеры получили доступ к сервису, который подписывает транзакции, и инициировали вывод средств из горячих кошельков .

Важно отметить: в отчете подчеркивается, что утечки приватных ключей не было. Хакеры не взламывали криптографию, а обманом заставили внутреннюю систему Binance подписывать мошеннические транзакции, используя легитимные права доступа сотрудников .