--- title: "Binance раскрыла схему многомесячной атаки «умельцев товарища Кима»: от заражённого репозитория до обхода подписи кошельков" description: "Binance опубликовала первую часть технического отчёта о многомесячной кибератаке группировки, связанной с КНДР: от заражённого репозитория в июне до несанкционированных транзакций 29 октября." date: 2026-11-04T01:13:20.815Z lang: ru url: https://xab.info/posts/binance-otchet-o-atake-severnoi-korei tags: [binance, north-korea, cyberattack, cryptocurrency, eip-7702, supply-chain-attack, social-engineering] author: "Александр Буран" publisher: "XAB.info" --- # Binance раскрыла схему многомесячной атаки «умельцев товарища Кима»: от заражённого репозитория до обхода подписи кошельков ![Северокорейские хакеры за компьютерами на фоне портрета Ким Чен Ира и графиков криптовалюты](https://xab.info/media/2026/11/04/binance-otchet-o-atake-severnoi-korei/binance-otchet-o-atake-severnoi-korei-1.webp) ## Ключевые тезисы - Binance опубликовала первую часть технического отчёта о многомесячной атаке группировки, связанной с КНДР. - Кампания началась в июне 2026 года с атаки на цепочку поставок через заражённый репозиторий. - В сентябре атакующие применили социальную инженерию через фиктивные собеседования. - В октябре нуль-дневный вредонос и внутренний ИИ-инструмент дали доступ к инфраструктуре подписи кошельков. - 29 октября были инициированы несанкционированные транзакции с использованием уязвимостей смарт-контрактов и EIP-7702. Крупнейшая в мире криптобиржа Binance опубликовала первую часть технического отчёта, посвящённого изощрённой многомесячной кампании, которую, по оценке компании, осуществила хакерская группировка, связанная с Северной Кореей. Документ впервые раскрывает последовательность этапов подготовки и проведения атаки: от первоначального проникновения через цепочку поставок в июне 2026 года до несанкционированных транзакций, инициированных 29 октября. По данным отчёта, злоумышленники действовали не единовременным взломом, а выстраивали доступ по слоям, последовательно наращивая присутствие в инфраструктуре компании. ### Точка входа: цепочка поставок в июне Согласно опубликованной части отчёта, кампания началась ещё в июне 2026 года с атаки на цепочку поставок. Один из инженеров компании скачал скомпилированную версию популярного инструмента через заражённый репозиторий. Именно этот шаг, по описанию Binance, заложил основу для дальнейшего присутствия атакующих в среде разработки: вредоносный компонент попал в рабочий процесс до того, как был обнаружен, и позволил злоумышленникам закрепиться в инфраструктуре. ### Социальная инженерия: фиктивные собеседования в сентябре В сентябре 2026 года, по данным отчёта, злоумышленники перешли к этапу передовой социальной инженерии. Под видом фиктивных собеседований — с участием фальшивого HR-специалиста и лица, выдававшего себя за «генерального директора», — атакующие убедили другого сотрудника загрузить тестовое задание, содержавшее вредоносный репозиторий. Таким образом, группа получила дополнительный канал доступа, не зависящий от первоначальной точки входа в цепочке поставок. ### Нуль-день и внутренний ИИ-инструмент как плацдарм Используя нуль-дневный вредоносный код, обошедший средства защиты конечных точек, атакующие, по описанию Binance, получили контроль над рабочей станцией инженера. В октябре злоумышленники задействовали внутренний ИИ-инструмент компании в качестве плацдарма для дальнейшего проникновения — в том числе к инфраструктуре подписи криптокошельков. Этот этап, согласно отчёту, стал ключевым: доступ к инструменту, имеющему привилегированное положение внутри сети, позволил атакующим приблизиться к компонентам, отвечающим за авторизацию операций. ### 29 октября: обход протоколов и несанкционированные транзакции Кульминацией кампании, по данным опубликованной части отчёта, стали события 29 октября 2026 года. Злоумышленники обошли протоколы безопасности и инициировали несанкционированные транзакции, используя уязвимости смарт-контрактов и механизмы делегирования EIP-7702. Именно сочетание уязвимостей на уровне контрактов с делегированными полномочиями, по описанию компании, сделало возможными операции, которые в обычных условиях были бы заблокированы. ### Контекст и значение отчёта Публикация технического отчёта Binance вписывается в более широкий контекст работы площадки: в сентябре 2026 года компания, в частности, объявляла о прекращении прямой работы с украинской гривной с 28 сентября, а также договаривалась о создании в Казахстане хаба для расчётов по СНГ. На этом фоне раскрытие деталей атаки, которую Binance связывает с северокорейской группировкой, подчёркивает, что угрозы для криптоинфраструктуры носят не только рыночный, но и кибернетический характер. Первая часть отчёта фиксирует хронологию и методы; окончательные выводы и полнота деталей компания оставляет за последующими публикациями. ## Проверка фактов и источники - [Криптобиржа Binance подтвердила, что за недавней атакой стояли умельцы товарища Кима](https://www.goha.ru/kriptobirzha-binance-podtverdila-chto-za-nedavnej-atakoj-stoyali-umelcy-tovarishha-kima-xRr2yB) - Первоисточник: первая часть технического отчёта Binance. Хронология (июнь — цепочка поставок; сентябрь — социальная инженерия; октябрь — контроль станции и ИИ-инструмент; 29 октября — несанкционированные транзакции через EIP-7702 и уязвимости смарт-контрактов). Привязка к КНДР — оценка Binance. - [Binance договорилась о создании в Казахстане хаба для расчетов по СНГ](https://www.kommersant.ru/doc/8938251) - Использован только как фоновый контекст деятельности Binance; не относится к кибератаке. - [Крупнейшая в мире криптобиржа прекратит работу с гривной](https://www.gazeta.ru/business/news/2026/09/23/29380705.shtml) - Прекращение прямой работы с гривной с 28 сентября 2026 г. — фоновый контекст, не связан с атакой. ## Частые вопросы ### Когда, по отчёту Binance, началась атака? По опубликованной части отчёта, кампания началась в июне 2026 года с атаки на цепочку поставок, когда инженер скачал скомпилированную версию инструмента через заражённый репозиторий. ### Как злоумышленники получили дополнительный доступ в сентябре? Через социальную инженерию: под видом фиктивных собеседований с фальшивым HR и «генеральным директором» они убедили сотрудника загрузить тестовое задание с вредоносным репозиторием. ### Что произошло 29 октября 2026 года? По данным отчёта, атакующие обошли протоколы безопасности и инициировали несанкционированные транзакции, используя уязвимости смарт-контрактов и механизмы делегирования EIP-7702. ### Кто, по оценке Binance, стоит за атакой? Binance связывает атаку с хакерской группировкой, связанной с Северной Кореей. Это оценка компании, основанная на её техническом отчёте.