Северокорейская группировка провела многомесячную операцию, используя поддельные собеседования для заражения компьютеров сотрудников, что позволило им инициировать вывод средств через внутренние системы биржи.
Атака началась в июне 2026 года, когда инженер установил модифицированный пакет Homebrew с вредоносным кодом, но после обнаружения заражения компания заменила устройство и обновила учетные данные.
В сентябре преступники организовали операцию социальной инженерии, где подставный кадровый специалист и фейковый генеральный директор провели собеседование, убедив инженера скачать репозиторий с вредоносным ПО.
К 20 октября злоумышленники использовали зараженный компьютер и внутренний ИИ-инструмент для компрометации еще двух инженеров, работавших с криптовалютными кошельками.
29 октября хакеры развернули вредоносный скрипт, который инициировал незаконные переводы, выведя средства из горячих кошельков в десяти блокчейнах, включая Ethereum, Bitcoin и Solana.
Основная часть средств была похищена примерно за 20 минут, при этом преступники использовали стандарт EIP-7702 для выполнения операций программируемым адресом в сети Ethereum.
Binance пообещала возместить потери всем клиентам, чьи средства были похищены, и заявила о планах увеличить инвестиции в системы обнаружения угроз на базе искусственного интеллекта.
Расхождения в источниках
ФБР возложило ответственность на северокорейскую хакерскую группировку, однако КНДР эти обвинения отвергла.
«Этого не должно было произойти, и мы приносим извинения за беспокойство, перебои в работе и неопределённость, с которыми столкнулись наши пользователи, партнёры и вся отрасль» — 3DNews