4️⃣ 20 октября 2026 года атакующие использовали заражённый компьютер инженера Б и внутр...
4️⃣ 20 октября 2026 года атакующие использовали заражённый компьютер инженера Б и внутренний ИИ-инструмент компании как плацдарм для горизонтального перемещения. Они получили контроль над устройствами DevOps-инженера А и разработчика кошельков В, обнаружив на компьютере инженера А токен с правами на развёртывание контейнеров. 5️⃣ 29 октября 2026 года злоумышленники вошли на компьютер инженера В, применили украденные учётные данные инженера А, развернули контейнер и запустили вредоносный скрипт для атаки на сервис подписи. 💳Хронология вывода средств и технические сложности защиты ⬇️ Получив несанкционированный доступ к внутреннему сервису подписи кошельков, атакующие начали проводить транзакции в обход штатной процедуры вывода средств. С 20:05 до 20:09 UTC с 5 горячих кошельков биржи ушло 233,46 млн XRP, а также около 970 500 SOL в сети Solana и 44,2 млн OP в сети Optimism, после чего сработала внутренняя тревога и с горячего кошелька было выведено ещё 18 270 BTC. ⬇️ В сети Ethereum злоумышленники через сервис подписи проэксплуатировали механизм авторизации EIP-7702, позволяющий делегировать смарт-контракту права на выполнение операций без раскрытия закрытого ключа. Они отправили 50 транзакций подписи для манипуляции счётчиком транзакций аккаунта (nonce) и передали подконтрольному смарт-контракту частичные права управления горячим кошельком Binance. ⬇️ Обычная приостановка вывода средств и отключение сервисов горячих кошельков не остановили хищение в Ethereum, поскольку вредоносные разрешения EIP-7702 действовали напрямую в блокчейне независимо от инфраструктуры биржи. Отзыв этих разрешений занял дополнительное время из-за того, что горячий кошелёк работал на базе технологии многосторонних вычислений (MPC) без единого закрытого ключа, поэтому инженерам пришлось разрабатывать специальную процедуру отмены авторизации. ⬇️ Последний несанкционированный перевод на 2 961,9 ETH (отправленный в сеть ранее) завершился в 23:56 UTC, а 30 октября 2026 года в 00:10 UTC команда Binance провела с горячего кошелька Binance14 новую транзакцию авторизации на нулевой адрес и полностью сбросила вредоносное делегирование EIP-7702. 👮Принятые меры и дальнейшие шаги К 3 ноября 2026 года биржа пересобрала систему кошельков и затронутый внутренний ИИ-инструмент в новом окружении, заменила скомпрометированные устройства, аннулировала учётные данные и токены сотрудников, провела углублённое сканирование всех компьютеров в компании, ужесточила контроль рисков в сервисе кошельков и расширила ИИ-мониторинг поведенческих аномалий. 💻 В ближайшее время Binance привлечёт сторонних ИБ-специалистов для независимого аудита инцидента, увеличит инвестиции в безопасность ИИ-систем и сред разработки, а также учредит исследовательский фонд совместно с ведущими ИИ-компаниями и ИБ-организациями для защиты ИИ в блокчейн-инфраструктуре. ✋ @Russian_OSINT