Найбільша у світі криптобіржа Binance опублікувала першу частину технічного звіту, присвяченого витонченій багатомісячній кампанії, яку, за оцінкою компанії, здійснило хакерське угруповання, пов'язане з Північною Кореєю. Документ уперше розкриває послідовність етапів підготовки та проведення атаки: від первинного проникнення через ланцюжок постачання у червні 2026 року до несанкціонованих транзакцій, ініційованих 29 жовтня. Згідно зі звітом, зловмисники діяли не одноразовим зламом, а вибудовували доступ шарами, послідовно нарощуючи присутність в інфраструктурі компанії.
Точка входу: ланцюжок постачання у червні
Відповідно до опублікованої частини звіту, кампанія почалася ще у червні 2026 року з атаки на ланцюжок постачання. Один з інженерів компанії завантажив скомпільовану версію популярного інструмента через заражений репозиторій. Саме цей крок, за описом Binance, заклав основу для подальшої присутності зловмисників у середовищі розробки: шкідливий компонент потрапив у робочий процес до того, як був виявлений, і дозволив зловмисникам закріпитися в інфраструктурі.
Соціальна інженерія: фіктивні співбесіди у вересні
У вересні 2026 року, за даними звіту, зловмисники перейшли до етапу передової соціальної інженерії. Під виглядом фіктивних співбесід — за участю фальшивого HR-спеціаліста та особи, яка видавала себе за «генерального директора», — атакуючі переконали іншого співробітника завантажити тестове завдання, що містило шкідливий репозиторій. Таким чином, група отримала додатковий канал доступу, що не залежить від первинної точки входу в ланцюжку постачання.
Нуль-день та внутрішній ШІ-інструмент як плацдарм
Використовуючи нуль-денний шкідливий код, що обійшов засоби захисту кінцевих точок, зловмисники, за описом Binance, отримали контроль над робочою станцією інженера. У жовтні зловмисники задіяли внутрішній ШІ-інструмент компанії як плацдарм для подальшого проникнення — зокрема до інфраструктури підпису криптогаманців. Цей етап, згідно зі звітом, став ключовим: доступ до інструмента, що має привілейоване положення всередині мережі, дозволив атакуючим наблизитися до компонентів, що відповідають за авторизацію операцій.
29 жовтня: обхід протоколів та несанкціоновані транзакції
Кульмінацією кампанії, за даними опублікованої частини звіту, стали події 29 жовтня 2026 року. Зловмисники обійшли протоколи безпеки та ініціювали несанкціоновані транзакції, використовуючи вразливості смартконтрактів та механізми делегування EIP-7702. Саме поєднання вразливостей на рівні контрактів із делегованими повноваженнями, за описом компанії, зробило можливими операції, які за звичайних умов були б заблоковані.
Контекст і значення звіту
Публікація технічного звіту Binance вписується в ширший контекст роботи майданчика: у вересні 2026 року компанія, зокрема, оголошувала про припинення прямої роботи з українською гривнею з 28 вересня, а також домовлялася про створення в Казахстані хабу для розрахунків по СНД. На цьому тлі розкриття деталей атаки, яку Binance пов'язує з північнокорейським угрупованням, підкреслює, що загрози для криптоінфраструктури мають не лише ринковий, а й кібернетичний характер. Перша частина звіту фіксує хронологію та методи; остаточні висновки та повноту деталей компанія залишає за наступними публікаціями.
