✋Расследование Binance: Как ломали безопасность биржи?
✋Расследование Binance: Как ломали безопасность биржи? Binance описывает предварительные итоги расследования крупного взлома биржи 29 октября 2026 года, в ходе которого злоумышленники через многоэтапную атаку скомпрометировали внутренний сервис подписи транзакций и вывели криптоактивы на миллиарды долларов. 💴 Масштаб инцидента и финансовое покрытие: ▪️Общий объём затронутых цифровых активов составил около $6,34 млрд, из которых примерно $2,85 млрд удалось заморозить или перехватить совместно с партнёрами (итоговая оценка зависит от сверки и рыночной волатильности). ▪️По данным ФБР, за атакой стоит КНДР. Всего за 2026 год служба безопасности Binance выявила и пресекла 57 попыток кибератак, предположительно связанных с северокорейскими группировками. Хотя КНДР официально отвергли все обвинения. ▪️Биржа полностью взяла финансовые потери на себя и зарезервировала свыше 100% средств для покрытия ущерба. К 31 октября 2026 года компания уже восполнила 98% затронутых активов (данные верифицируются на странице подтверждения резервов Proof of Reserves) и сейчас выкупает с рынка оставшиеся менее ликвидные токены. 🥷❗️Подготовка атаки и цепочка проникновения: 1️⃣ В июне 2026 года произошла атака на цепочку поставок, когда DevOps-инженер команды кошельков (инженер А) нашёл через поисковик и скачал модифицированный установщик Homebrew для установки популярного ИИ-инструмента разработки. Служба безопасности вовремя заметила аномалию, заменила устройство и сменила все связанные учётные данные, однако атакующие успели узнать должность инженера А и состав его коллег по инфраструктуре кошельков. 2️⃣ В сентябре 2026 года злоумышленники применили 🧠социальную инженерию против инженера-программиста Б, чей профиль с указанием опыта работы в Binance нашли на легитимной платформе поиска работы. Под видом найма в вымышленную компанию с ним провели 2 раунда собеседований, причём на первом этапе подставной HR-специалист общался по видеосвязи и для формирования доверия показал обжитый аккаунт в соцсетях с личными фото и видео, а на втором этапе в мессенджере фальшивый генеральный директор убедил сотрудника скачать на рабочий компьютер репозиторий с тестовым заданием. Классика. 3️⃣ Во время настройки этого репозитория сработало обфусцированное ранее неизвестное 🦠вредоносное ПО (0-day), которое тогда не обнаружили средства защиты конечных устройств. Согласно отчёту Binance, скрипт подменил компонент легитимного инструмента разработки (создал вредоносный файл /opt/homebrew/Cellar/pyenv/2.8.0/libexec/pyenv_ размером 3 414 байт, удалил легитимный .../libexec/pyenv на 3 344 байта, переименовал pyenv_ в pyenv, удалил /opt/homebrew/bin/pyenv, создал новую символическую ссылку командой ln и запустил командную оболочку zsh), после чего связался с внешним командным сервером злоумышленников и зачистил следы компрометации..