Атака началась задолго до вывода средств. В июне инженер команды кошельков установил заражённый компонент вместе с инструментом для программирования на базе искусственного интеллекта. Служба безопасности заметила подозрительную активность, заменила устройство и обновила учётные данные, однако злоумышленники уже получили сведения о сотруднике и его коллегах.
В сентябре на инженера вышел человек, представившийся руководителем проекта несуществующей компании. Контакт установили через настоящую платформу для поиска работы. Сотрудник Binance прошёл два онлайн-собеседования, одно из них — с видеосвязью, после чего получил репозиторий с кодом под видом технического задания.
Вредоносная программа запустилась во время настройки и заменила легальный компонент инструмента разработчика. Защита рабочего компьютера в тот момент её не распознала.
От заражённого ноутбука — к системе подписания транзакций
20 октября атакующие использовали скомпрометированный компьютер и внутренний ИИ-инструмент Binance, чтобы добраться до машин двух инженеров, работавших с кошельками. Затем они похитили данные для развёртывания программного контейнера и 29 октября запустили вредоносный сценарий.
Злоумышленники получили несанкционированный доступ к сервису, который подписывал операции горячих кошельков — подключённых к интернету хранилищ для быстрых переводов. За четыре минуты с пяти кошельков вывели 233,46 млн XRP. Следом были переведены около 970,5 тыс. SOL, 44,2 млн OP и 18 270 биткоинов. Общий объём затронутых активов Binance оценила в $6,34 млрд.
Для операций в сети Ethereum хакеры также использовали механизм EIP-7702, делегировав часть полномочий кошелька вредоносному смарт-контракту. Остановка вывода средств не могла автоматически отменить уже записанные в блокчейне разрешения. Последний несанкционированный перевод прошёл поздно вечером 29 октября, а в 00:10 UTC 30 октября Binance удалила вредоносную делегацию.
Биржа покрыла потери пользователей
Binance заявила, что взяла финансовые потери на себя и зарезервировала сумму, превышающую стоимость украденных активов. К 31 октября биржа восполнила 98% затронутых токенов, оставшиеся менее ликвидные активы продолжила закупать на рынке. Около $2,85 млрд удалось заморозить или перехватить.
ФБР США связало атаку с северокорейской группой TraderTraitor. По данным ведомства, похищенные активы переводили преимущественно в Ethereum для последующего отмывания через децентрализованные сервисы и площадки мгновенного обмена.
