Инженер-программист получил, казалось бы, обычное предложение от рекрутера. Рекрутер имел правдоподобную личность, провел видеоинтервью и предложил техническое задание на следующем этапе.
Задание содержало вредоносное ПО.
Binance заявляет, что процесс поддельного найма был одним из нескольких предполагаемых точек входа, использованных до того, как 29 октября 2026 года злоумышленники вывели примерно 6,36 миллиарда долларов из ее кошельков. С тех пор ФБР приписало кражу Северной Корее и определило соответствующую деятельность как TraderTraitor.
Этот инцидент описывается как крупнейшая кража криптовалюты в истории. Ее важность выходит за рамки украденной суммы. Она показывает, что северокорейские операторы используют обе стороны рынка труда: выдают себя за разработчиков, чтобы проникнуть в технологические компании, и за рекрутеров, чтобы скомпрометировать людей, уже работающих внутри них.
Что произошло при взломе Binance?
По данным блокчейн-аналитической фирмы TRM Labs, злоумышленники перевели примерно 6,36 миллиарда долларов из кошельков Binance в 10 блокчейнах. Большая часть средств была переведена примерно за 20 минут.
Сообщается, что затронутые активы включали токены в сетях Bitcoin, Ethereum, Solana, XRP, Arbitrum и других. Binance подтвердила, что был задействован один из ее подключенных горячих кошельков, заявив при этом, что большая часть активов клиентов осталась в автономном холодном хранилище.
Binance заявила, что зарезервировала более 6,34 миллиарда долларов из средств компании для покрытия убытков. Биржа и ее блокчейн-партнеры также заморозили примерно 3 миллиарда долларов в затронутых активах.
Заморозка предотвращает перемещение некоторых активов через участвующие сети, эмитентов или сервисы. Это не обязательно означает, что средства были восстановлены и возвращены. Злоумышленники все еще могут контролировать активы, которые уже были обменены, переведены через мосты или перемещены за пределы досягаемости участвующих организаций.
Почему ФБР обвинило Северную Корею
ФБР приписало атаку Северной Корее и связало ее с TraderTraitor — меткой, используемой для обозначения вредоносной деятельности, связанной с кибероперациями страны.
Бюро предупредило, что ожидается, что злоумышленники продолжат отмывать украденные активы через протоколы децентрализованных финансов и сервисы мгновенного обмена. Эти инструменты позволяют пользователям обменивать активы между токенами или сетями, потенциально усложняя финансовый след.
Транзакции в блокчейне остаются видимыми, но видимость не гарантирует восстановления. Следователям необходимо связывать кошельки в разных сетях, определять, какие сервисы использовались, и идентифицировать людей, контролирующих адреса. Как только активы достигают платформ, которые не сотрудничают с правоприменением санкций или запросами личности, восстановление становится более сложным.
TRM Labs заявила, что особенности атаки напоминали предыдущие кражи, связанные с Северной Кореей. Chainalysis также оценила, что TraderTraitor, вероятно, несет ответственность. Приписывание ФБР придает заявлению официальный вес, хотя полная криминалистическая запись не была обнародована.
Поддельное собеседование было одной из точек входа
Binance сообщила, что с одним из ее инженеров в сентябре связался через легитимную платформу поиска работы человек, выдававший себя за представителя вымышленной компании.
Во время первого собеседования человек, выдававший себя за представителя отдела кадров, появился на видеозвонке. Профиль содержал достаточно личной информации и профессиональной истории, чтобы выглядеть достоверно.
Второй этап включал техническое задание. Инженеру было предложено скачать репозиторий кода, который был модифицирован для доставки вредоносного ПО.
Binance также обнаружила отдельный инцидент, когда другой инженер скачал поддельный установщик программного обеспечения при попытке настроить инструмент для кодирования с помощью ИИ. Команда безопасности обнаружила эту установку, заменила устройство и сменила учетные данные. Позже компания заявила, что сотрудник и его коллеги могли все еще подвергаться риску.
Binance выявила несколько предполагаемых точек компрометации. Поэтому доказательства не позволяют свести всю кражу к одному собеседованию или одному сотруднику. Подход к найму, по-видимому, был частью более широкой кампании, которая месяцами нацеливалась на людей с доступом к ценным системам.
Почему собеседования работают как метод атаки
Техническое собеседование дает злоумышленнику то, чего нет в обычной фишинговой электронной почте: правдоподобную причину попросить цель выполнить код.
Инженеры-программисты обычно клонируют репозитории, проверяют пакеты и устанавливают инструменты разработки. Задание для собеседования, построенное вокруг этих действий, может выглядеть как обычная практика найма. Злоумышленнику не нужно создавать панику или обещать неправдоподобное вознаграждение. Запрос соответствует контексту.
Соискатели работы также могут быть более восприимчивы к новым контактам во время сложного рынка труда. Убедительный рекрутер, реалистичный профиль компании и несколько раундов общения могут снизить подозрительность до загрузки какого-либо файла.
Это социальная инженерия, адаптированная для разработчиков. Вместо того чтобы напрямую запрашивать учетные данные, злоумышленник создает ситуацию, в которой цель добровольно вводит вредоносное программное обеспечение в доверенную среду.
Северная Корея использует обе стороны удаленного найма
Поддельный найм — лишь часть операции.
ИТ-специалисты из Северной Кореи также использовали украденные личности и поддельные трудовые истории, чтобы получить реальную работу в технологических и финансовых компаниях. Их зарплата затем может переводиться через счета, криптовалютные кошельки и посредников, прежде чем попасть в организации, связанные с правительством Северной Кореи.
28 октября Министерство финансов США ввело санкции против 10 физических лиц и одной организации, связанных с этими схемами. Двое российских граждан были обвинены в конвертации примерно 5,5 миллионов долларов в криптовалюте для северокорейских сетей ИТ-специалистов.
Chainalysis отследила один поток из кошелька, отображающий платежи в стейблкоинах, похожие на зарплату, до санкционированных консолидационных адресов, а затем до российского посредника. Средства в конечном итоге были отправлены на Garantex, находящуюся под санкциями российскую биржу, для конвертации.
Расследование Chainalysis показало, что более широкая сеть ИТ-специалистов может приносить Северной Корее от 250 до 600 миллионов долларов годового дохода, ссылаясь на оценки группы экспертов ООН.
Нет никаких публичных доказательств того, что россияне, попавшие под санкции 28 октября, участвовали во взломе Binance. Эти случаи раскрывают разные части одной и той же более широкой стратегии, а не одну доказанную группу обвиняемых.
ИИ делает фальшивые личности более убедительными
По сообщениям, северокорейские операторы использовали генеративный ИИ для подготовки резюме, написания сопроводительных писем и практики технических собеседований. Сгенерированные ИИ изображения профилей и манипулированные видео могут помочь кандидатам скрыть свои реальные личности во время удаленных звонков.
Те же инструменты могут поддерживать фальшивых рекрутеров. Злоумышленник может создать личность компании, создать профессионально выглядящие профили и поддерживать убедительные письменные беседы без языковых ошибок, которые когда-то облегчали обнаружение мошенничества.
Дипфейк-видео не обязательно должно быть идеальным. В коротком интервью, проводимом через сжатый видеопоток, незначительные визуальные проблемы могут выглядеть как обычные сетевые проблемы. Кандидат или рекрутер также могут ссылаться на качество камеры, пропускную способность или проблемы конфиденциальности, чтобы фон оставался размытым.
ИИ не создал основную схему. Он снизил стоимость поддержания нескольких фальшивых личностей и сделал базовую проверку менее надежной.
Предыдущее дело о санкциях объясняет финансовый поток
Санкции от 28 октября дают полезный контекст того, что происходит после того, как северокорейские операторы получают криптоплатежи.
Казначейство США обвинило российского гражданина Илью Александровича Бойкова в конвертации примерно 3,5 миллионов долларов в криптовалюте для Alis, компании под санкциями, связанной с северокорейскими ИТ-специалистами. Витольд Викторович Обертас обвинялся в конвертации почти 2 миллионов долларов в криптовалюте и обработке не менее 1,25 миллиона долларов в других валютных операциях для северокорейских чиновников.
Казначейство также ввело санкции против First Financial and Technical Development Center, организации под контролем Северной Кореи, действующей в России. Шесть работников, связанных с организацией, предположительно получили более 750 000 долларов с 2025 года.
Эти обозначения показывают, что операция требует больше, чем просто людей, которые могут пройти технические собеседования. Она также требует менеджеров, поставщиков удостоверений личности, операторов ноутбуков, контролеров кошельков и посредников, способных превращать цифровые активы в используемые средства.
Санкции против кошелька могут нарушить один маршрут. Сеть может отреагировать, изменив адреса, цепочки, посредников или сервисы обналичивания. Вот почему мониторинг транзакций должен анализировать отношения и поведение, а не полагаться только на статический черный список.
Почему криптокомпании являются привлекательными целями
Криптокомпании сочетают удаленную работу с прямым доступом к передаваемой стоимости.
Разработчики могут иметь доступ к исходному коду, инструментам развертывания, облачной инфраструктуре или внутренним системам кошельков. Инженеры по безопасности могут работать с учетными данными, защищающими несколько сетей. Злоумышленник, скомпрометировавший одну конечную точку, может искать путь к системам, хранящим активы, которые могут перемещаться в любое время.
Традиционные финансовые переводы часто проходят через клиринговые системы, банки и контроль в рабочее время. Криптовалютная транзакция может быть урегулирована между странами в течение нескольких минут. Эта скорость выгодна законным пользователям, но она также сокращает время, доступное для предотвращения кражи.
Инцидент с Binance демонстрирует масштаб этой проблемы. Несмотря на то, что блокчейн-партнеры, по сообщениям, заморозили почти половину украденных активов, миллиарды долларов были перемещены до того, как скоординированный ответ вступил в силу.
Горячие кошельки остаются критически важным рубежом безопасности
Горячие кошельки подключены к онлайн-системам, чтобы биржи могли обрабатывать снятие средств. Эта доступность делает их более уязвимыми, чем холодные кошельки, которые хранят учетные данные для подписи в автономном режиме.
В отчете AP цитировался внешний эксперт по безопасности, который поставил под сомнение, не предоставило ли скомпрометированное разрешение чрезмерно широкий или длительный доступ к затронутому кошельку. Binance не опубликовала полный технический отчет, и ее расследование продолжается.
Суть вопроса не в том, использует ли биржа горячие кошельки. Каждая активная торговая платформа нуждается в способе обработки снятия средств клиентами. Вопросы заключаются в том, сколько стоимости хранится онлайн, как применяются лимиты транзакций и сколько независимых одобрений требуется для необычных переводов.
Безопасная система холодного хранения может ограничить общий убыток, но она не может защитить активы, которые уже были перемещены в операционный кошелек. Обнаружение и контроль транзакций по-прежнему важны на этом рубеже.
Заморозка 3 миллиардов долларов не означает конец восстановления
Заявленная заморозка примерно 3 миллиардов долларов является значительной. Она также оставляет существенную сумму нерешенной.
Некоторые эмитенты блокчейнов могут замораживать токены на уровне контракта. Биржи могут блокировать депозиты, связанные с идентифицированными адресами. Валидаторы, мосты и аналитические фирмы могут быстро распространять оповещения, когда украденные активы начинают перемещаться.
Другие активы труднее остановить. Злоумышленники могут обменивать токены через децентрализованные пулы, перемещаться между цепочками, использовать инструменты конфиденциальности или направлять средства через сервисы, расположенные в юрисдикциях, которые не сотрудничают с властями США.
ФБР конкретно предупредило, что DeFi и сервисы мгновенного обмена могут появиться в процессе отмывания денег. Это предупреждение не означает, что эти сервисы участвовали сознательно. Разрешенные инструменты могут использоваться как законными клиентами, так и лицами под санкциями.
Восстановление будет зависеть от того, как быстро следователи идентифицируют новые адреса и сколько из оставшихся денег достигнет сервисов, способных их заблокировать.
Чему компании должны научиться из атаки
Дело Binance показывает, почему безопасность найма не может быть только в ведении отдела кадров.
Правдоподобный контакт по поводу работы может стать путем к производственным системам. Код, полученный во время собеседования, следует рассматривать как недоверенное программное обеспечение, даже если он получен через признанную платформу трудоустройства. Тестирование его на изолированном устройстве или во временной среде может предотвратить превращение обычного карьерного разговора в доступ к корпоративным учетным данным.
Проверка личности также должна продолжаться после найма. Компания, которая проверяет документы в первый день, но игнорирует необычный удаленный доступ, местоположение устройства или изменения в платежах, может упустить признаки того, что кто-то другой взял на себя управление учетной записью.
Рекомендации ФБР по северокорейским ИТ-специалистам включают независимую проверку трудовой истории, изучение несоответствий в личных данных и уделение пристального внимания корпоративным устройствам, отправленным на сторонние адреса. Они также предупреждают о несанкционированном программном обеспечении для удаленного доступа и американских «фермах ноутбуков», используемых для сокрытия реального местоположения работника.
Для криптокомпаний контроль найма, безопасность устройств, разрешения кошельков и проверка на соответствие санкциям должны работать как единая система. Злоумышленники уже относятся к ним именно так.
Tapbit публикует рыночный анализ и образовательный контент по криптовалютам для читателей, следящих за силами, формирующими рынки цифровых активов. Ознакомьтесь с последними материалами на Tapbit, получите доступ к существующей учетной записи через Tapbit Login или зарегистрируйтесь на Tapbit, чтобы узнать больше о платформе.
Часто задаваемые вопросы
Кто взломал Binance в октябре 2026 года?
ФБР приписало кражу Северной Корее и связало ее с TraderTraitor. TRM Labs и Chainalysis пришли к аналогичным выводам, основанным на поведении атаки и связях с предыдущими инцидентами.
Сколько было украдено у Binance?
Примерно 6,36 миллиарда долларов в виде криптоактивов было переведено из кошельков Binance в 10 блокчейнах. Это было описано как крупнейшая кража криптовалюты в истории.
Потеряла ли Binance средства клиентов?
Binance заявила, что зарезервировала более 6,34 миллиарда долларов из средств компании для покрытия убытков и пообещала защитить пользователей. Компания сообщила, что большая часть активов клиентов осталась в автономном холодном хранилище.
