Binance заявила, что в 2026 году выявила и остановила 57 предполагаемых кибератак, связанных с Северной Кореей. Однако мошенническое собеседование всё же позволило злоумышленникам заразить компьютер инженера, получить доступ к инфраструктуре подписания транзакций и провести несанкционированные переводы. Подробности инцидента компания изложила в отчёте о безопасности, опубликованном 3 ноября. 31 октября ФБР связало кражу криптоактивов примерно на $6,34 млрд, произошедшую 29 октября, с северокорейской группировкой TraderTraitor. Этот случай показывает, как найм сотрудников и рабочие инструменты разработчиков могут стать точкой входа в криптоплатформу, несмотря на блокировку других угроз.
От заражённого установщика до инфраструктуры подписания транзакций
По данным Binance, первые связанные с атакой действия были зафиксированы в июне. Инженер, отвечавший за инфраструктуру кошельков, скачал изменённый установщик Homebrew при настройке популярного инструмента для программирования с применением ИИ. После того как специалисты по безопасности заметили подозрительную активность, компания заменила устройство сотрудника и обновила затронутые учётные данные. К тому времени злоумышленники уже получили сведения о его должности и коллегах.
В сентябре атакующие связались с другим инженером-программистом через легитимную платформу для поиска работы. Они представились руководителем проекта вымышленной компании. Затем человек, назвавшийся сотрудником отдела кадров, провёл видеоинтервью в прямом эфире и показал аккаунты в соцсетях с личными фотографиями и видео, чтобы выглядеть убедительно. На втором собеседовании другой участник представился генеральным директором компании.
Под конец отбора инженеру предложили скачать тестовое задание по программированию на рабочий компьютер. Репозиторий выглядел как обычный проект, однако во время установки запускалось вредоносное ПО. Оно подменяло компоненты легитимных инструментов разработки и связывалось с сервером под контролем злоумышленников. Binance сообщила, что ранее неизвестная вредоносная программа обходила защитное ПО на конечных устройствах и скрывала признаки проникновения.
К 20 октября атакующие использовали заражённый компьютер и внутренний ИИ-инструмент, чтобы получить дополнительный контроль над устройствами двух инженеров, включая компьютер сотрудника, которого атаковали в июне. Затем они завладели токеном для развёртывания контейнеров. Девять дней спустя злоумышленники применили украденные учётные данные, развернули вредоносный контейнер и проникли в инфраструктуру подписания транзакций Binance.
По заявлению компании, атакующие обошли стандартные процедуры вывода средств и инициировали несанкционированные переводы активов в нескольких блокчейн-сетях. Binance не уточнила, сколько из 57 отражённых угроз были связаны с фальшивыми собеседованиями и были ли другие случаи напрямую связаны с участниками октябрьской атаки.
Как Binance отреагировала на инцидент
Содиректор Binance Хэ И заявила, что в 2026 году службы безопасности компании выявили и остановили 57 предполагаемых киберугроз, связанных с Северной Кореей. Среди использовавшихся методов она назвала поддельные собеседования, вредоносное ПО под видом популярных инструментов для разработчиков, изменённые программные пакеты и расширения для браузеров, фальшивые приложения для видеоконференций, а также социальную инженерию для кражи учётных данных или установки программ удалённого доступа. Хэ И признала, что, хотя многие атаки удалось пресечь, пропуск одной из них повлёк серьёзные последствия, и этого не должно было произойти.
После инцидента Binance заменила устройства затронутых сотрудников, отозвала скомпрометированные учётные данные и перестроила пострадавшую инфраструктуру кошельков. Компания также заявила о планах усилить защиту сред разработки и расширить поведенческий мониторинг с помощью ИИ. В отчёте не поясняется, как именно эти меры помогут пресекать атаки на этапе собеседований.
Схема с собеседованиями уже применялась в атаках, связанных с КНДР
Этот подход напоминает методы, которые исследователи кибербезопасности и американские правоохранительные органы отслеживают уже несколько лет. В сентябре 2024 года ФБР предупредило, что северокорейские хакеры используют тщательно подготовленные предложения о работе, вымышленные личности и длительное общение, чтобы проникать в криптовалютные компании. Даже технически опытные сотрудники могут становиться целью мошеннических схем, подстроенных под их профессиональный профиль.
В июне 2026 года исследователи Kudelski Security описали операцию «Contagious Interview». Злоумышленники выдавали себя за рекрутеров в LinkedIn, WhatsApp и Discord, а затем убеждали разработчиков запускать вредоносный код. В сентябре исследователи Atlassian обнаружили поддельные технические задания на известных платформах для разработки: вредоносные инструкции скрывались в проектах, которые выглядели легитимно.
Эти случаи показывают, как злоумышленники используют процесс найма и инструменты разработчиков, чтобы завоевать доверие, а затем расширить доступ к корпоративным системам. Рассказ Binance также указывает, что заражение устройства в июне не помешало атакующим позднее использовать связи между сотрудниками и внутренние инструменты для расширения доступа. Компания не раскрыла разбивку 57 отражённых угроз и не уточнила, какие именно защитные меры не сработали в этом случае. При этом Binance подтвердила, что злоумышленники добрались до инфраструктуры подписания транзакций и провели несанкционированные переводы в нескольких блокчейн-сетях.