Крупнейшая в мире криптобиржа Binance опубликовала первую часть технического отчёта, посвящённого изощрённой многомесячной кампании, которую, по оценке компании, осуществила хакерская группировка, связанная с Северной Кореей. Документ впервые раскрывает последовательность этапов подготовки и проведения атаки: от первоначального проникновения через цепочку поставок в июне 2026 года до несанкционированных транзакций, инициированных 29 октября. По данным отчёта, злоумышленники действовали не единовременным взломом, а выстраивали доступ по слоям, последовательно наращивая присутствие в инфраструктуре компании.
Точка входа: цепочка поставок в июне
Согласно опубликованной части отчёта, кампания началась ещё в июне 2026 года с атаки на цепочку поставок. Один из инженеров компании скачал скомпилированную версию популярного инструмента через заражённый репозиторий. Именно этот шаг, по описанию Binance, заложил основу для дальнейшего присутствия атакующих в среде разработки: вредоносный компонент попал в рабочий процесс до того, как был обнаружен, и позволил злоумышленникам закрепиться в инфраструктуре.
Социальная инженерия: фиктивные собеседования в сентябре
В сентябре 2026 года, по данным отчёта, злоумышленники перешли к этапу передовой социальной инженерии. Под видом фиктивных собеседований — с участием фальшивого HR-специалиста и лица, выдававшего себя за «генерального директора», — атакующие убедили другого сотрудника загрузить тестовое задание, содержавшее вредоносный репозиторий. Таким образом, группа получила дополнительный канал доступа, не зависящий от первоначальной точки входа в цепочке поставок.
Нуль-день и внутренний ИИ-инструмент как плацдарм
Используя нуль-дневный вредоносный код, обошедший средства защиты конечных точек, атакующие, по описанию Binance, получили контроль над рабочей станцией инженера. В октябре злоумышленники задействовали внутренний ИИ-инструмент компании в качестве плацдарма для дальнейшего проникновения — в том числе к инфраструктуре подписи криптокошельков. Этот этап, согласно отчёту, стал ключевым: доступ к инструменту, имеющему привилегированное положение внутри сети, позволил атакующим приблизиться к компонентам, отвечающим за авторизацию операций.
29 октября: обход протоколов и несанкционированные транзакции
Кульминацией кампании, по данным опубликованной части отчёта, стали события 29 октября 2026 года. Злоумышленники обошли протоколы безопасности и инициировали несанкционированные транзакции, используя уязвимости смарт-контрактов и механизмы делегирования EIP-7702. Именно сочетание уязвимостей на уровне контрактов с делегированными полномочиями, по описанию компании, сделало возможными операции, которые в обычных условиях были бы заблокированы.
Контекст и значение отчёта
Публикация технического отчёта Binance вписывается в более широкий контекст работы площадки: в сентябре 2026 года компания, в частности, объявляла о прекращении прямой работы с украинской гривной с 28 сентября, а также договаривалась о создании в Казахстане хаба для расчётов по СНГ. На этом фоне раскрытие деталей атаки, которую Binance связывает с северокорейской группировкой, подчёркивает, что угрозы для криптоинфраструктуры носят не только рыночный, но и кибернетический характер. Первая часть отчёта фиксирует хронологию и методы; окончательные выводы и полнота деталей компания оставляет за последующими публикациями.
