Взлом Binance на $6,3 млрд

Уроки для любой компании

29 октября 2026 года, в 20:05 по UTC, с горячих кошельков Binance начали уходить деньги. Через 20 минут большая часть уже была у злоумышленников. Итог — около $6,3 млрд: крупнейшая кража криптовалюты в истории и, возможно, крупнейшее ограбление вообще.

Мы намеренно подождали несколько дней. В первые часы после таких инцидентов в сети много шума: версии меняются, цифры прыгают, эксперты спорят. Теперь есть официальная атрибуция ФБР, отчёты блокчейн-аналитиков и первые выводы расследователей. Этого достаточно, чтобы говорить о причинах, а не о слухах.

Главный вывод неприятен. То, что случилось с Binance, может случиться не только с криптобиржей, но и вообще с любой компанией. С вашей тоже. И тогда речь пойдёт не о проценте убытков, а обо всех деньгах на счетах, базах клиентов, исходном коде и репутации, которую вы строили годами.

Что произошло

Злоумышленники вывели с горячих кошельков Binance, крупнейшей криптобиржи мира, около $6,3 млрд сразу в 10 блокчейнах. Это примерно вчетверо больше, чем у прежнего рекордсмена — биржи Bybit, потерявшей $1,5 млрд в феврале 2025 года.

Характерные факты инцидента:

• Долгая подготовка хакеров. По оценке некоммерческой организации Security Alliance (SEAL), хакеры имели доступ к системам биржи примерно за восемь недель до кражи. Они не врывались, а жили там и тщательно готовились.
• Быстрые действия в день «икс». Большую часть денег хакеры вывели в первые 20 минут атаки. У защитников не было ни часа, ни даже обеденного перерыва на раздумья.
• Старые знакомые. ФБР официально назвало исполнителя: северокорейскую группу TraderTraitor, ту же самую, что ограбила Bybit. Пхеньян всё отрицает и называет обвинения политической провокацией.
• Кто платит за всё. Binance покрывает убытки клиентов из страхового фонда SAFU и собственных средств. Около $2,85 млрд удалось заморозить с помощью эмитентов стейблкоинов и блокчейн-сетей.

Ограбление в четырёх актах

Хакеры не взламывали блокчейн и не подбирали ключи. Они пошли к людям. Вот как это выглядит по отчёту самой Binance.

Акт первый, июнь. Разведка. Инженер биржи настраивал себе ИИ-помощника для программирования и скачал заражённый программный пакет. Безопасники заметили вредонос и заменили ноутбук. Казалось бы, хеппи-энд. Но злоумышленники уже успели узнать главное: кто в компании отвечает за кошельки.

Акт второй, сентябрь. Работа мечты. Другому инженеру написал «рекрутер» с интересной вакансией. Собеседование, тестовое задание, файл с кодом — всё как обычно. Только файл был вредоносным и обошёл защиту рабочего компьютера. Почерк известный: северокорейские группы годами создают фальшивые компании ради таких «собеседований», и SEAL насчитала как минимум четыре подобные «фирмы» только в 2026 году.

Акт третий, 20 октября. Расширение. С захваченного компьютера, через внутренний ИИ-инструмент биржи, хакеры добрались ещё до двух инженеров и забрали их ключи для развёртывания программ. Это примерно как получить пропуск к служебному входу в хранилище.

Акт четвёртый, 29 октября. День «икс». Злоумышленники установили свою программу внутрь кошельковой инфраструктуры и получили доступ к службе, которая подписывает транзакции. Дальше система сама «законно» подписывала переводы на их адреса в обход обычной процедуры вывода. Хуже того, свежая функция Ethereum для делегирования прав позволила переводам продолжаться даже после того, как биржа остановила выводы.

Самое горькое: по словам сооснователя Binance И Хэ, за 2026 год служба безопасности биржи заметила и остановила 57 атак, связанных с Северной Кореей — фальшивые собеседования, заражённые пакеты, социальная инженерия. Защита сработала 57 раз, а на 58-й хакерам хватило одного промаха.

Bybit и Binance: один почерк, вчетверо больше денег

В марте 2025 года мы подробно разбирали взлом Bybit. Тогда хакеры заразили компьютер разработчика стороннего сервиса Safe{Wallet}, через который биржа управляла холодным кошельком, и подменили экран подписи. Сотрудники Bybit видели правильный перевод, а подписывали совсем другой.

Общее у двух ограблений главное: никто не взламывал ни криптографию, ни многие другие средства безопасности. В обоих случаях дверью стал компьютер разработчика, а целью — момент подписи, когда система решает, что перевод законный.

Разница тоже показательная. После Bybit индустрия стала внимательнее к подрядчикам и экранам подписи. Хакеры ответили тем, что пошли глубже — к собственным сотрудникам, и убрали из схемы человека, которого нужно обманывать. В 2025 году им нужен был подписант, который не заметит подмены. В 2026-м машина подписала всё сама.

Почему это стало возможным

Окончательного технического отчёта ещё нет, но первого отчёта Binance достаточно, чтобы назвать слабые места. Почти все они — не про блокчейн.

Организационные недостатки

• Инцидент закрыли, угрозу — нет. В июне биржа нашла заражённый ноутбук и заменила его. Но расследование должно отвечать не только на вопрос «что заражено», а и на вопрос «что злоумышленники успели узнать». Они успели узнать, кого атаковать дальше.
• Люди с доступом к деньгам — главная мишень, а защищали их как всех. Фальшивые собеседования — известный приём уже несколько лет. Тем не менее инженер, близкий к критичным системам, открыл «тестовое задание» на рабочем компьютере.
• Слишком много доверия внутри. Один заражённый компьютер дотянулся до коллег, а через них — до системы подписи. Внутри периметра всё считалось «своим».
• Защита одного промаха не прощает. 57 перехваченных атак — отличный результат. Но система, где один пропуск стоит $6,3 млрд, построена без запаса прочности.

Технические недостатки

• Ключи от производства жили на ноутбуках. Учётные данные для развёртывания программ хранились на компьютерах инженеров. Кто захватил ноутбук — тот получил вход в святая святых.
• ИИ-инструменты с широкими правами. Внутренний ИИ-помощник помог хакерам перейти от одного сотрудника к другим. Чем больше прав у инструмента, тем ценнее он для взломщика.
• Система подписи верила любому «своему» запросу. Binance подчёркивает, что приватные ключи не утекли. Они и не понадобились: ключи остались в сейфе, хакерам хватило того, кто этот сейф открывает.
• Нет тормоза для огромных сумм. Судя по скорости вывода, крупные переводы не упирались в лимиты и ручное подтверждение. Миллиарды ушли быстрее, чем длится совещание.
• Сложность мешает остановиться. Новая функция Ethereum позволила продолжать переводы после остановки выводов, а распределённая схема подписи (MPC) затруднила быстрый отзыв прав. Защитный механизм, который не умеет экстренно «выключаться», в кризис работает против вас.

Вы не криптобиржа? Это вам не поможет

У вас может не быть ни одного биткоина. Зато наверняка есть всё, что понадобилось хакерам в этой истории: сотрудники, которых можно позвать на «собеседование», компьютеры с доступом к важным системам и что-то, что «подписывает» деньги.

Бухгалтер и клиент-банк — это ваша «служба подписи». Если злоумышленник сидит в компьютере бухгалтера, банк выполнит платёж как совершенно законный. Отменить его потом почти невозможно.

Разработчик с доступом к облаку — это ваши «кошельки». У любой SaaS-компании, интернет-магазина или студии разработки на ноутбуках инженеров лежат ключи от серверов, базы клиентов и платёжных систем.

Фальшивые вакансии бьют по всем. Сегодня это «тестовое задание» для программиста, завтра — «резюме» для HR или «счёт» для бухгалтерии. Механика та же: человек сам открывает файл.

ИИ-помощники уже есть почти у всех. Сотрудники подключают их к почте, документам и коду. Каждый такой инструмент — ещё одна дверь, о которой отдел безопасности может не знать.

Деньги — не единственное, что можно потерять. Хакер, который неделями живёт в вашей сети, может унести исходный код, базу клиентов и переписку, а напоследок зашифровать всё, что осталось. Binance смогла покрыть $6,3 млрд из собственных резервов. Большинство компаний не переживут потерю даже месячного оборота, не говоря уже обо всех деньгах на счетах.

Что изменилось за год: шесть трендов

Если сравнить Bybit и Binance, видно, куда движутся атаки. И почти каждый тренд касается обычного бизнеса не меньше, чем криптобирж.

От подрядчиков к своим людям. Bybit атаковали через поставщика, Binance — через собственных инженеров. Фальшивое собеседование стало стандартным инструментом: дешёвым, масштабируемым и почти незаметным.

ИИ — новая дверь в компанию. Первый вход начался с заражённого пакета при установке ИИ-помощника, а внутренний ИИ-инструмент стал мостом между сотрудниками. Год назад об этом говорили как о теории, теперь это строчка в отчёте об ограблении века.

ИИ ускорил поиск уязвимостей и защитникам, и хакерам. В октябре исследователи с помощью ИИ нашли в PHP две критические уязвимости, которые прятались больше десяти лет. На PHP работает около 70% сайтов, включая WordPress, и злоумышленники начали использовать находку почти сразу. Окно между «нашли» и «атакуют» сжалось до дней.

Терпение плюс скорость. Недели тихой подготовки внутри сети — и двадцать минут на саму кражу. По оценке SEAL, такой же многоэтапный почерк был и у других крупных ограблений года, например у Bitget. Защита, которая реагирует за часы, уже опаздывает.

Новые функции — новые риски. Удобная новинка Ethereum помогла хакерам продолжать переводы после остановки выводов. То же касается любых новых возможностей облаков и платформ: их включают ради удобства, а про злоупотребления думают потом.

Хорошая новость: заморозка работает. Из денег Bybit удалось спасти немного. У Binance заморожена почти половина похищенного: эмитенты стейблкоинов и блокчейн-сети научились действовать вместе и быстро. Сотрудничество — тоже защита.

Что делаем мы — для себя и для клиентов

Мы тоже компания, которую можно атаковать ровно так же: у нас есть инженеры, серверы, доступы и ИИ-инструменты. Поэтому начинаем с себя, а проверенное переносим к клиентам.

Харденинг: закрываем лишние двери

• Вход на серверы — только по ключам, с автоматической блокировкой подбора паролей. Административные панели доступны только с доверенных адресов.
• Отключаем всё, что не используется. Например, встроенный веб-терминал панели управления выключен на всех наших серверах, а неиспользуемые сетевые протоколы отключаются явно, а не «просто не используются».
• Правило двух каналов. Особо рискованные действия с инфраструктурой выполняются только после подтверждения руководителя по двум независимым каналам связи. Сообщение «срочно сделай» из одного взломанного мессенджера ничего не запустит.
• Снимок системы перед каждым изменением. Если что-то пошло не так, мы откатываемся за минуты, а не восстанавливаем всё днями.
• Основную работу выполняем традиционными инструментами, проверяем средствами ИИ, а не наоборот.

Разведка угроз с помощью ИИ

• Ежедневная сверка «состава» программ с новыми уязвимостями. Мы выгружаем перечень всех компонентов, из которых собраны системы, и ИИ каждый день сверяет его с новыми угрозами. Результат простой: «новых угроз нет» или тревога с конкретикой — что и где обновить.
• ИИ сортирует поток бюллетеней. Производители выпускают десятки предупреждений в неделю. ИИ помогает отделить то, что требует срочного оповещения сотрудников, от планового обновления, чтобы люди не привыкали к ложным тревогам.
• Claude Mythos. Мы прошли проверку Anthropic по программе для специалистов по кибербезопасности и получили доступ уровня Defense к Claude Mythos — флагманской модели компании. Она помогает нам анализировать уязвимости и усиливать защиту. ИИ предлагает кандидатов, наши специалисты проверяют каждую находку вручную, а за результат в рамках договора отвечает H-X.

Что мы предлагаем

Всё, что сломалось у Binance, можно проверить заранее — до того, как это сделает TraderTraitor или кто-то поскромнее.

• Пентест. Ответим на главный вопрос этой истории: что получит хакер, если один ваш сотрудник откроет «тестовое задание»? Проверяем сайты, приложения, облака, сети и цепочку поставок, по желанию — с социальной инженерией и в формате Red Team. Каждый проект ведут две-три независимые команды, которые соревнуются за находки, как в программе баг-баунти.
• Харденинг. Отделяем ноутбуки разработчиков от производственных систем, убираем постоянные доступы, наводим порядок в серверах, облаках и конвейерах развёртывания по CIS Benchmarks и NIST. Цель — чтобы один захваченный компьютер не открывал дорогу ко всему.
• Разведка угроз. Следим за даркнетом, утечками, поддельными доменами и новыми уязвимостями в вашем ПО. ИИ отсеивает шум, аналитики дают конкретные рекомендации. Ежемесячная подписка, которую можно отменить в любой момент.
• Расследование инцидентов. Кто проник, когда, как и — главный урок июня — что успел узнать и унести. Собираем доказательства, пригодные для суда, и заранее готовим процедуры реагирования, чтобы в кризис не импровизировать.
• Симуляция социальной инженерии. Безопасно проверяем, откроют ли ваши сотрудники фальшивую вакансию, «счёт» или «резюме», и учим их замечать такие ловушки.

Не ждите своего 29 октября

Самая дорогая дата в этой истории — не 29 октября, а июнь. Именно тогда Binance заметила первый звонок, заменила ноутбук и пошла дальше. До кражи оставалось четыре месяца.

У большинства компаний такой «июнь» уже был: странное письмо, непонятный вход в систему, сотрудник, открывший не тот файл. Вопрос в том, кто проверил, что злоумышленник не остался внутри.

Если вы не уверены в ответе, напишите нам. Первая консультация бесплатна, а разговор о вашей защите обойдётся дешевле любой из тех двадцати минут, которые стоили Binance $6,3 млрд.