Глава Binance описал схему взлома на $6,3 млрд до атаки

За несколько месяцев до атаки на Binance директор по безопасности биржи Джимми Су описал схему с поддельным собеседованием и вредоносным тестовым заданием. В сентябре инженер-программист Binance скачал такое задание на рабочий компьютер. По данным предварительного расследования компании, это стало частью многоэтапной атаки, завершившейся кражей в октябре.

В июльском интервью Су рассказал, что злоумышленники могут подготовить предложение о работе под конкретного сотрудника, а затем убедить его запустить код в рамках технического задания. После этого устройство может быть скомпрометировано, а атакующие получат учетные данные для дальнейшего проникновения во внутреннюю сеть.

В случае с Binance процесс настройки задания запустил вредоносную программу. Она обходила защиту конечного устройства с помощью обфускации и других методов сокрытия.

Су объяснял, почему такая атака может остаться незамеченной. Техническое задание способно включать внешне законные действия, например загрузку репозитория с кодом из GitHub. «Каждый шаг сам по себе вполне легитимен. Поэтому многие антивирусные инструменты могут не обнаружить его и не пометить как угрозу», — говорил он.

По словам Су, Binance должна контролировать риски, связанные с использованием корпоративных устройств при поиске работы за пределами компании. «Конечно, сотрудники могут искать возможности за пределами компании. Нас беспокоит то, что они делают это на устройстве компании», — отмечал он. Если сотрудник становится жертвой такой схемы, компания отвечает за обнаружение угрозы и остановку выполнения вредоносного кода.

На протяжении трех-четырех лет внутренняя команда Binance, отвечающая за имитацию атак, ежемесячно проводила фишинговые проверки сотрудников. Тех, кто не проходил тестирование, направляли на дополнительное обучение. Су отмечал, что уровень кибергигиены сотрудников за это время вырос.

Рекрутинговая компания Proof of Search сообщила, что некоторые криптовалютные работодатели стали чаще уточнять, встречался ли рекрутер с кандидатом лично. По словам ее представителя Кевина Гибсона, такая встреча может служить дополнительным подтверждением личности кандидата. «В криптовалютной сфере сомнительное предложение о работе или короткий созвон может стать первым шагом к многомиллионной атаке», — заявил он.

Binance сообщила, что с начала года заблокировала 57 киберугроз, предположительно связанных с Северной Кореей. Это составляет примерно одну атаку каждые пять дней.

После октябрьского инцидента биржа усилила контроль над устройствами, перестроила затронутые системы кошельков и внутренние инструменты искусственного интеллекта, расширила контроль доступа и отозвала скомпрометированные учетные данные.

Компания также увеличила инвестиции в защиту конечных устройств и безопасность сред разработки. Для проверки инцидента Binance привлекла независимых специалистов по кибербезопасности. Часть технических деталей и защитных мер, по данным компании, останется конфиденциальной.

Редакционная проверка и фактчекинг: Алексей Панасенко, 12 ноября 2026 года.