Binance зламали через ШІ та фальшиву співбесіду: як хакери викрали мільярди доларів

Криптовалютна біржа Binance розкрила подробиці масштабної кібератаки, яка сталася 29 жовтня 2026 року. Зловмисники отримали доступ до внутрішньої інфраструктури компанії та вивели криптовалютні активи на суму приблизно $6,34 млрд (289,5 млрд грн). Для цього їм знадобилися майже п'ять місяців підготовки, заражені комп'ютери співробітників і внутрішній інструмент штучного інтелекту.

Найбільш несподіваним виявився спосіб проникнення. Один із працівників намагався встановити ШІ-помічника для програмування, а іншого заманили на фальшиву співбесіду. Саме ці два випадки допомогли хакерам поступово отримати доступ до систем, які відповідають за управління криптогаманцями.

Детальну хронологію інциденту Binance оприлюднила 3 листопада у своєму офіційному звіті про розслідування. Компанія наголошує, що висновки попередні, а незалежна перевірка обставин атаки ще триває.

Як хакери п'ять місяців готували злам Binance

За інформацією Binance, операція почалася ще в червні 2026 року. Замість безпосередньої атаки на захищені криптогаманці зловмисники вирішили використати співробітників компанії як початкову точку проникнення.

Червень: шкідливе програмне забезпечення під виглядом інструмента для ШІ

Першою ціллю став DevOps-інженер команди криптогаманців. Під час налаштування популярного ШІ-інструмента для написання програмного коду він завантажив модифікований інсталятор Homebrew, знайдений через пошукову систему.

Інсталятор містив шкідливий код, який дозволив атакувальникам отримати доступ до робочого середовища. Служба безпеки Binance виявила підозрілу активність, замінила пристрій і оновила пов'язані облікові дані. Однак до цього моменту хакери вже отримали інформацію про співробітників, які працювали з інфраструктурою криптогаманців.

Вересень: фальшива вакансія та заражене тестове завдання

Наступною ціллю став інженер-програміст, який мав профіль на справжній платформі пошуку роботи. З ним зв'язався чоловік, який представився керівником проєкту іншої компанії.

Зловмисники організували переконливий процес працевлаштування:

• Спочатку співробітник пройшов відеоспівбесіду з людиною, яка видавала себе за HR-фахівця.
• Для створення довіри фальшивий рекрутер показав профіль у соціальній мережі з особистими фотографіями та відео.
• Другу співбесіду провела особа, яка представилася генеральним директором вигаданої компанії.
• Наприкінці кандидату запропонували завантажити технічне завдання, що містило заражений програмний репозиторій.

Після запуску тестового завдання шкідлива програма почала виконувати команди на робочому комп'ютері інженера. За твердженням Binance, на той момент захисне програмне забезпечення не розпізнало загрозу нульового дня.

Як внутрішній ШІ Binance допоміг отримати доступ до криптогаманців

20 жовтня атакувальники використали вже скомпрометований комп'ютер другого інженера та внутрішній ШІ-інструмент Binance, щоб отримати контроль над робочими середовищами ще двох працівників команди криптогаманців.

Згодом вони виявили токен доступу, який надавав одному з інженерів право розгортати програмні контейнери у внутрішній інфраструктурі.

29 жовтня, використовуючи викрадені облікові дані, хакери розгорнули шкідливий контейнер і запустили сценарій, який дозволив виконувати несанкціоновані операції через внутрішній сервіс підписання криптовалютних транзакцій.

Таким чином, зловмисникам не знадобилося безпосередньо викрадати приватні ключі криптогаманців. Вони скористалися доступом до системи, яка вже мала необхідні повноваження для проведення операцій.

Мільярди доларів вивели за лічені хвилини

За даними біржі, активна фаза атаки розпочалася 29 жовтня о 20:05 за UTC, тобто о 22:05 за київським часом.

Лише протягом чотирьох хвилин п'ять гарячих криптогаманців Binance переказали на підконтрольну хакерам адресу 233,46 млн XRP.

Під час атаки також відбулися несанкціоновані перекази інших криптовалют:

• приблизно 970 500 SOL у мережі Solana;
• 44,2 млн OP у мережі Optimism;
• 18 270 BTC із гарячого гаманця Binance.

Гарячими називають криптогаманці, які підключені до мережі та використовуються для оперативного проведення транзакцій.

Після виявлення аномальних переказів Binance розпочала розслідування, призупинила виведення коштів і почала координувати блокування активів із партнерами.

Чому Binance не змогла одразу зупинити викрадення криптовалюти

Особливістю атаки стало використання механізму EIP-7702 у блокчейні Ethereum. Він дозволяє передавати певні повноваження на виконання операцій смартконтракту без розкриття приватного ключа гаманця.

Хакери скористалися цією можливістю, щоб надати шкідливому смартконтракту частковий контроль над одним із гарячих гаманців Binance.

За інформацією компанії, атакувальники використали 50 транзакцій підписання для маніпулювання порядковими номерами транзакцій і створення шкідливих дозволів.

Навіть після зупинення стандартних сервісів виведення коштів такі дозволи залишалися активними безпосередньо в блокчейні. Тому для їх анулювання знадобилися додаткові транзакції та спеціальна процедура.

Останній несанкціонований переказ на 2 961,9 ETH був підтверджений у блокчейні о 23:56 UTC 29 жовтня. О 00:10 UTC 30 жовтня біржа виконала операцію, яка скасувала шкідливе делегування повноважень.

Що сталося з викраденими коштами та чи постраждали клієнти

Загальна вартість активів, яких торкнувся інцидент, становила приблизно $6,34 млрд (289,5 млрд грн).

За заявою Binance, станом на 31 жовтня компанія поповнила 98% постраждалих токенових активів за рахунок власних ресурсів. Важливо, що це не означає повернення 98% викраденої криптовалюти від хакерів.

Водночас приблизно $2,85 млрд (130,1 млрд грн) вдалося заморозити або перехопити завдяки співпраці з іншими учасниками криптовалютного ринку.

«Binance візьме на себе фінансові наслідки викрадення коштів, а не наші користувачі», — заявила компанія в офіційному повідомленні.

Біржа повідомила про заміну скомпрометованих пристроїв, оновлення системи управління криптогаманцями, скасування небезпечних облікових даних і посилення контролю доступу до внутрішніх ШІ-інструментів.

Також заплановано незалежний аудит кібербезпеки та додаткові інвестиції в системи виявлення підозрілої активності за допомогою штучного інтелекту.

ФБР пов'язало атаку з хакерами з Північної Кореї

31 жовтня Федеральне бюро розслідувань США офіційно заявило, що за викраденням криптовалюти стоять пов'язані з КНДР кіберзлочинці. Американське відомство відносить цю активність до кампанії TraderTraitor.

За спостереженнями ФБР, атакувальники конвертували викрадені активи переважно в Ethereum. Надалі їх можуть відмивати через децентралізовані фінансові сервіси та платформи швидкого обміну криптовалют.

У Binance зазначили, що протягом 2026 року служба безпеки виявила та заблокувала 57 потенційних кіберзагроз, які могли бути пов'язані з Північною Кореєю.

Чому ця атака може змінити підхід до захисту криптобірж

Історія Binance демонструє одну з найнебезпечніших особливостей сучасних кібератак: навіть складна система захисту цифрових активів може виявитися вразливою через звичайні робочі процеси співробітників.

Особливої уваги заслуговує роль штучного інтелекту. У цьому випадку ШІ не був самостійним зловмисником, але скомпрометований внутрішній інструмент став частиною ланцюга отримання доступу до критичної інфраструктури.

З погляду кібербезпеки найважливішим є те, що атакувальники об'єднали одразу кілька методів: підміну програмного забезпечення, соціальну інженерію, компрометацію робочих пристроїв і зловживання механізмами авторизації блокчейну.

Цей випадок може прискорити впровадження жорсткіших правил використання ШІ-інструментів у фінансових компаніях. Зокрема, йдеться про ізоляцію середовищ розробки, обмеження повноважень автоматизованих систем і додаткове підтвердження критичних операцій.