Binance раскрыла хронологию взлома на $6,3 млрд

Биржа Binance представила 3 ноября предварительный отчет о взломе, в результате которого злоумышленники вывели около $6,34 млрд из горячих кошельков в десяти блокчейнах. По данным компании, подготовка к атаке на внутреннюю инфраструктуру началась за несколько месяцев до кражи средств.

Первоначально 30 октября Binance сообщила, что инцидент мог начаться с компрометации ноутбука одного из DevOps-инженеров. Позже выяснилось, что точек проникновения было несколько. В июне 2026 года сотрудник Wallet DevOps установил поддельный Homebrew-инсталлятор, выдававший себя за ИИ-инструмент для программирования. Устройство заменили, но злоумышленники успели собрать данные о сотруднике и его коллегах.

В сентябре хакеры организовали фальшивое собеседование для другого разработчика Binance и убедили его загрузить вредоносный репозиторий под видом тестового задания. Код подменил компонент pyenv и открыл доступ к устройству, оставшись незамеченным защитой.

20 октября через скомпрометированный компьютер злоумышленники получили доступ к системам еще двух сотрудников и нашли токен с правами на развертывание контейнеров. 29 октября они развернули вредоносный контейнер и получили несанкционированный доступ к сервису подписания транзакций.

По данным Blockaid, атака началась накануне: 28 октября кошелек оператора получил переводы через Tornado Cash, а 29 октября хакер протестировал механизм делегирования на собственных кошельках и заранее развернул смарт-контракт с функцией sweep.

Центральным эпизодом стала компрометация горячего кошелька Binance 14 через механизм EIP-7702: злоумышленник отправил транзакцию с 50 авторизациями с разными значениями nonce — от 18 914 775 до 18 914 824, рассчитывая, что одна совпадет с актуальным значением кошелька. Расчет сработал, и одной транзакцией хакер вывел около $2,5 млрд, включая 167 464 ETH и 1,615 млрд USDT.

Через 24 секунды с кошелька Binance 16 ушли еще 28 005 ETH, а в течение следующих 12 минут каскадный вывод затронул кошельки в сетях Optimism, Arbitrum и Avalanche. Поскольку делегирование EIP-7702 оставалось активным, злоумышленник продолжил выводить средства с Binance 14, забрав еще более $1 млрд в USDC и USDT.

Binance объяснила, что приостановка вывода средств не остановила атаку сразу: авторизации EIP-7702 уже были записаны в блокчейне и действовали независимо от инфраструктуры биржи. Ситуацию осложняло использование технологии MPC для управления горячим кошельком, при которой отсутствует единый приватный ключ.

По данным Bits.media, для социальной инженерии злоумышленники создали поддельный аккаунт с фотографиями и видео, использовали платформу для поиска работы и провели видеовстречу, выдавая себя за HR-специалиста и руководителей компании.