Злам Binance на $6,3 млрд

Уроки для будь-якої компанії

29 жовтня 2026 року о 20:05 за UTC з гарячих гаманців Binance почали зникати гроші. За 20 хвилин більша частина вже була в зловмисників. Підсумок — близько $6,3 млрд: найбільша крадіжка криптовалюти в історії і, можливо, найбільше пограбування взагалі.

Ми навмисно зачекали кілька днів. У перші години після таких інцидентів у мережі багато шуму: версії змінюються, цифри скачуть, експерти сперечаються. Тепер є офіційна атрибуція ФБР, звіти блокчейн-аналітиків і перші висновки розслідування. Цього достатньо, щоб говорити про причини, а не про чутки.

Головний висновок неприємний. Те, що сталося з Binance, може статися не лише з криптобіржею, а й узагалі з будь-якою компанією. З вашою теж. І тоді йтиметься не про відсоток збитків, а про всі гроші на рахунках, бази клієнтів, вихідний код і репутацію, яку ви будували роками.

Що сталося

Зловмисники вивели з гарячих гаманців Binance, найбільшої криптобіржі світу, близько $6,3 млрд одразу в 10 блокчейнах. Це приблизно вчетверо більше, ніж у попереднього рекордсмена — біржі Bybit, яка втратила $1,5 млрд у лютому 2025 року.

Характерні факти інциденту:

• Тривала підготовка хакерів. За оцінкою некомерційної організації Security Alliance (SEAL), хакери мали доступ до систем біржі приблизно за вісім тижнів до крадіжки. Вони не вдиралися, а жили там і ретельно готувалися.
• Швидкі дії в день «Х». Більшу частину грошей хакери вивели в перші 20 хвилин атаки. Захисники не мали ні години, ні навіть обідньої перерви на роздуми.
• Старі знайомі. ФБР офіційно назвало виконавця: північнокорейське угруповання TraderTraitor, те саме, що пограбувало Bybit. Пхеньян усе заперечує й називає звинувачення політичною провокацією.
• Хто платить за все. Binance покриває збитки клієнтів зі страхового фонду SAFU та власних коштів. Близько $2,85 млрд вдалося заморозити за допомогою емітентів стейблкоїнів і блокчейн-мереж.

Пограбування у чотирьох діях

Хакери не зламували блокчейн і не підбирали ключі. Вони пішли до людей. Ось як це виглядає за звітом самої Binance.

Дія перша, червень. Розвідка. Інженер біржі налаштовував собі ШІ-помічника для програмування й завантажив заражений програмний пакет. Безпековики помітили шкідливе ПЗ і замінили ноутбук. Здавалося б, хепі-енд. Але зловмисники вже встигли дізнатися головне: хто в компанії відповідає за гаманці.

Дія друга, вересень. Робота мрії. Іншому інженерові написав «рекрутер» з цікавою вакансією. Співбесіда, тестове завдання, файл із кодом — усе як завжди. Тільки файл був шкідливим і обійшов захист робочого комп’ютера. Почерк відомий: північнокорейські угруповання роками створюють фальшиві компанії заради таких «співбесід», і SEAL нарахувала щонайменше чотири подібні «фірми» лише у 2026 році.

Дія третя, 20 жовтня. Розширення. Із захопленого комп’ютера, через внутрішній ШІ-інструмент біржі, хакери дісталися ще двох інженерів і забрали їхні ключі для розгортання програм. Це приблизно як отримати перепустку до службового входу в сховище.

Дія четверта, 29 жовтня. День «Х». Зловмисники встановили свою програму всередину гаманцевої інфраструктури й отримали доступ до служби, яка підписує транзакції. Далі система сама «законно» підписувала перекази на їхні адреси в обхід звичайної процедури виведення. Гірше того, свіжа функція Ethereum для делегування прав дала змогу переказам тривати навіть після того, як біржа зупинила виведення.

Найгіркіше: за словами співзасновниці Binance І Хе, за 2026 рік служба безпеки біржі помітила й зупинила 57 атак, пов’язаних із Північною Кореєю, — фальшиві співбесіди, заражені пакети, соціальна інженерія. Захист спрацював 57 разів, а на 58-й хакерам вистачило одного промаху.

Bybit і Binance: один почерк, учетверо більше грошей

У березні 2025 року ми докладно розбирали злам Bybit. Тоді хакери заразили комп’ютер розробника стороннього сервісу Safe{Wallet}, через який біржа керувала холодним гаманцем, і підмінили екран підпису. Співробітники Bybit бачили правильний переказ, а підписували зовсім інший.

Головне, що спільне у двох пограбувань: ніхто не зламував ні криптографію, ні багато інших засобів безпеки. В обох випадках дверима став комп’ютер розробника, а метою — момент підпису, коли система вирішує, що переказ законний.

Різниця теж показова. Після Bybit індустрія стала уважнішою до підрядників і екранів підпису. Хакери відповіли тим, що пішли глибше — до власних співробітників, і прибрали зі схеми людину, яку треба обманювати. У 2025 році їм був потрібен підписант, який не помітить підміни. У 2026-му машина підписала все сама.

Чому це стало можливим

Остаточного технічного звіту ще немає, але першого звіту Binance достатньо, щоб назвати слабкі місця. Майже всі вони — не про блокчейн.

Організаційні недоліки

• Інцидент закрили, загрозу — ні. У червні біржа знайшла заражений ноутбук і замінила його. Але розслідування має відповідати не лише на питання «що заражено», а й на питання «що зловмисники встигли дізнатися». Вони встигли дізнатися, кого атакувати далі.
• Люди з доступом до грошей — головна мішень, а захищали їх як усіх. Фальшиві співбесіди — відомий прийом уже кілька років. Проте інженер, близький до критичних систем, відкрив «тестове завдання» на робочому комп’ютері.
• Забагато довіри всередині. Один заражений комп’ютер дотягнувся до колег, а через них — до системи підпису. Усередині периметра все вважалося «своїм».
• Захист не прощає жодного промаху. 57 перехоплених атак — чудовий результат. Але система, де один пропуск коштує $6,3 млрд, побудована без запасу міцності.

Технічні недоліки

• Ключі від виробничих систем жили на ноутбуках. Облікові дані для розгортання програм зберігалися на комп’ютерах інженерів. Хто захопив ноутбук — той отримав вхід до святая святих.
• ШІ-інструменти з широкими правами. Внутрішній ШІ-помічник допоміг хакерам перейти від одного співробітника до інших. Що більше прав в інструмента, то цінніший він для зломника.
• Система підпису вірила будь-якому «своєму» запиту. Binance наголошує, що приватні ключі не витекли. Вони й не знадобилися: ключі залишилися в сейфі, хакерам вистачило того, хто цей сейф відчиняє.
• Немає гальма для величезних сум. Судячи зі швидкості виведення, великі перекази не впиралися в ліміти й ручне підтвердження. Мільярди зникли швидше, ніж триває нарада.
• Складність заважає зупинитися. Нова функція Ethereum дала змогу продовжувати перекази після зупинки виведення, а розподілена схема підпису (MPC) ускладнила швидке відкликання прав. Захисний механізм, який не вміє екстрено «вимикатися», у кризу працює проти вас.

Ви не криптобіржа? Це вам не допоможе

У вас може не бути жодного біткоїна. Зате напевно є все, що знадобилося хакерам у цій історії: співробітники, яких можна покликати на «співбесіду», комп’ютери з доступом до важливих систем і щось, що «підписує» гроші.

Бухгалтер і клієнт-банк — це ваша «служба підпису». Якщо зловмисник сидить у комп’ютері бухгалтера, банк виконає платіж як цілком законний. Скасувати його потім майже неможливо.

Розробник із доступом до хмари — це ваші «гаманці». У будь-якої SaaS-компанії, інтернет-магазину чи студії розробки на ноутбуках інженерів лежать ключі від серверів, баз клієнтів і платіжних систем.

Фальшиві вакансії б’ють по всіх. Сьогодні це «тестове завдання» для програміста, завтра — «резюме» для HR чи «рахунок» для бухгалтерії. Механіка та сама: людина сама відкриває файл.

ШІ-помічники вже є майже в усіх. Співробітники підключають їх до пошти, документів і коду. Кожен такий інструмент — ще одні двері, про які відділ безпеки може не знати.

Гроші — не єдине, що можна втратити. Хакер, який тижнями живе у вашій мережі, може винести вихідний код, базу клієнтів і листування, а наостанок зашифрувати все, що залишилося. Binance змогла покрити $6,3 млрд із власних резервів. Більшість компаній не переживуть втрати навіть місячного обороту, не кажучи вже про всі гроші на рахунках.

Що змінилося за рік: шість трендів

Якщо порівняти Bybit і Binance, видно, куди рухаються атаки. І майже кожен тренд стосується звичайного бізнесу не менше, ніж криптобірж.

Від підрядників до своїх людей. Bybit атакували через постачальника, Binance — через власних інженерів. Фальшива співбесіда стала стандартним інструментом: дешевим, масштабованим і майже непомітним.

ШІ — нові двері в компанію. Перший вхід почався із зараженого пакета під час встановлення ШІ-помічника, а внутрішній ШІ-інструмент став мостом між співробітниками. Рік тому про це говорили як про теорію, тепер це рядок у звіті про пограбування століття.

ШІ пришвидшив пошук вразливостей і захисникам, і хакерам. У жовтні дослідники за допомогою ШІ знайшли в PHP дві критичні вразливості, які ховалися понад десять років. На PHP працює близько 70% сайтів, зокрема WordPress, і зловмисники почали використовувати знахідку майже одразу. Вікно між «знайшли» і «атакують» стиснулося до днів.

Терпіння плюс швидкість. Тижні тихої підготовки всередині мережі — і двадцять хвилин на саму крадіжку. За оцінкою SEAL, такий самий багатоетапний почерк був і в інших великих пограбувань року, наприклад у Bitget. Захист, який реагує за години, уже запізнюється.

Нові функції — нові ризики. Зручна новинка Ethereum допомогла хакерам продовжувати перекази після зупинки виведення. Те саме стосується будь-яких нових можливостей хмар і платформ: їх вмикають заради зручності, а про зловживання думають потім.

Добра новина: заморожування працює. З грошей Bybit вдалося врятувати небагато. У Binance заморожено майже половину викраденого: емітенти стейблкоїнів і блокчейн-мережі навчилися діяти разом і швидко. Співпраця — теж захист.

Що робимо ми — для себе і для клієнтів

Ми теж компанія, яку можна атакувати так само: у нас є інженери, сервери, доступи й ШІ-інструменти. Тому починаємо із себе, а перевірене переносимо до клієнтів.

Харденінг: зачиняємо зайві двері

• Вхід на сервери — лише за ключами, з автоматичним блокуванням підбору паролів. Адміністративні панелі доступні лише з довірених адрес.
• Вимикаємо все, що не використовується. Наприклад, вбудований вебтермінал панелі керування вимкнено на всіх наших серверах, а невикористовувані мережеві протоколи вимикаються явно, а не «просто не використовуються».
• Правило двох каналів. Особливо ризиковані дії з інфраструктурою виконуються лише після підтвердження керівника двома незалежними каналами зв’язку. Повідомлення «терміново зроби» з одного зламаного месенджера нічого не запустить.
• Знімок системи перед кожною зміною. Якщо щось пішло не так, ми відкочуємося за хвилини, а не відновлюємо все днями.
• Основну роботу виконуємо традиційними інструментами, перевіряємо засобами ШІ, а не навпаки.

Розвідка загроз за допомогою ШІ

• Щоденна звірка «складу» програм із новими вразливостями. Ми вивантажуємо перелік усіх компонентів, з яких зібрано системи, і ШІ щодня звіряє його з новими загрозами. Результат простий: «нових загроз немає» або тривога з конкретикою — що і де оновити.
• ШІ сортує потік бюлетенів. Виробники випускають десятки попереджень на тиждень. ШІ допомагає відокремити те, що потребує термінового сповіщення співробітників, від планового оновлення, щоб люди не звикали до хибних тривог.
• Claude Mythos. Ми пройшли перевірку Anthropic за програмою для фахівців із кібербезпеки й отримали доступ рівня Defense до Claude Mythos — флагманської моделі компанії. Вона допомагає нам аналізувати вразливості й посилювати захист. ШІ пропонує кандидатів, наші фахівці перевіряють кожну знахідку вручну, а за результат у межах договору відповідає H-X.

Що ми пропонуємо

Усе, що зламалося в Binance, можна перевірити заздалегідь — до того, як це зробить TraderTraitor чи хтось скромніший.

• Пентест. Відповімо на головне питання цієї історії: що отримає хакер, якщо один ваш співробітник відкриє «тестове завдання»? Перевіряємо сайти, застосунки, хмари, мережі й ланцюг постачання, за бажанням — із соціальною інженерією та у форматі Red Team. Кожен проєкт ведуть дві-три незалежні команди, які змагаються за знахідки, як у програмі баг-баунті.
• Харденінг. Відокремлюємо ноутбуки розробників від виробничих систем, прибираємо постійні доступи, наводимо лад у серверах, хмарах і конвеєрах розгортання за CIS Benchmarks і NIST. Мета — щоб один захоплений комп’ютер не відчиняв дорогу до всього.
• Розвідка загроз. Стежимо за даркнетом, витоками, підробленими доменами й новими вразливостями у вашому ПЗ. ШІ відсіює шум, аналітики дають конкретні рекомендації. Щомісячна підписка, яку можна скасувати будь-коли.
• Розслідування інцидентів. Хто проник, коли, як і — головний урок червня — що встиг дізнатися й винести. Збираємо докази, придатні для суду, і заздалегідь готуємо процедури реагування, щоб у кризу не імпровізувати.
• Симуляція соціальної інженерії. Безпечно перевіряємо, чи відкриють ваші співробітники фальшиву вакансію, «рахунок» чи «резюме», і вчимо їх помічати такі пастки.

Не чекайте свого 29 жовтня

Найдорожча дата в цій історії — не 29 жовтня, а червень. Саме тоді Binance помітила перший дзвіночок, замінила ноутбук і пішла далі. До крадіжки лишалося чотири місяці.

У більшості компаній такий «червень» уже був: дивний лист, незрозумілий вхід у систему, співробітник, який відкрив не той файл. Питання в тому, хто перевірив, що зловмисник не залишився всередині.

Якщо ви не впевнені у відповіді, напишіть нам. Перша консультація безкоштовна, а розмова про ваш захист обійдеться дешевше за будь-яку з тих двадцяти хвилин, які коштували Binance $6,3 млрд.