Как украсть $6 млрд — пошаговая инструкция

История, которая на первый взгляд выглядит как сценарий голливудского фильма, на самом деле предельно технологична и, к сожалению, закономерна. Крупнейшая в истории кража криптовалюты на $6,34 млрд у Binance — это классическая многоэтапная операция, где главным оружием стали не zero-day-уязвимости, а человеческая психология и доверчивость. И что характерно, это не дело рук гения-одиночки, а работа хорошо организованной государственной структуры.

в предварительном отчете, — это живой учебник по современному кибершпионажу и социальной инженерии. Разберем ее по шагам.

Атака началась задолго до кражи. В июне 2026 года один из инженеров Binance, как сообщается, скачал поддельный установочный файл популярного менеджера пакетов Homebrew, ища инструмент для работы с ИИ. Служба безопасности Binance сработала оперативно — устройство и учетные данные заменили. Но было уже поздно, поскольку хакеры получили информацию о том, кто в компании отвечает за разработку кошельков, и, что важнее, имена и контакты его коллег.

Следующей целью в сентябре 2026 года стал другой инженер Binance, который по иронии судьбы сам искал новую работу. Через легитимную платформу с ним связался «проектный директор» некой компании. Далее — два собеседования. Первое — с «HR-представителем», который для убедительности демонстрировал личные фото и видео из соцсетей. Второе — с «CEO» в популярном мессенджере. И именно на втором собеседовании инженеру, находившемуся за своим рабочим ноутбуком, предложили выполнить «тестовое задание». Вредоносный код запустился прямо в процессе настройки задачи и, что примечательно, не был обнаружен средствами защиты конечных точек (EDR).

Наконец, октябрь 2026 года. Скомпрометированный компьютер инженера становится точкой входа для преступников. 20 октября хакеры использовали его и внутренний ИИ-инструмент самой Binance, чтобы получить доступ к устройствам еще двух инженеров и найти токен развертывания — по сути, ключ к внутренним сервисам компании. А 29 октября, используя украденные учетные данные, они запустили вредоносный скрипт и вывели активы. Примечательно тут то, что хакеры заранее создали в блокчейне разрешения, которые позволяли им перемещать средства даже после того, как биржа заметила подозрительную активность и приостановила стандартные операции.

ФБР официально возложило ответственность за взлом на северокорейскую группировку TraderTraitor, также известную как Lazarus Group или APT38. По версии американских спецслужб, это подразделение, которое действует в интересах государственной разведки КНДР и специализируется на финансовых кражах для пополнения бюджета страны. Данную группу также считают ответственной за кражу $81 млн у Центрального банка Бангладеш в 2016 году (тоже через фиктивное трудоустройство) и за кражу $625 млн у игры Axie Infinity в 2022‑м (через фейковое предложение о работе).

С технической точки зрения атака выявила системную проблему. Дело в том, что разработчики по роду деятельности вынуждены запускать незнакомый код, тестировать сторонние библиотеки и работать с внешними ресурсами. Запретить им это — значит остановить разработку. Но именно эта необходимость и создает «окно возможностей» для злоумышленников. Вопрос оказался не столько в защите конечной точки, сколько в архитектуре прав доступа и в том, какие привилегии имеет скомпрометированная машина внутри сети.

С правовой точки зрения это инцидент, который неизбежно вызовет волну регуляторных требований к криптобиржам по всему миру — от обязательной сертификации их систем информационной безопасности до более жесткого контроля за действиями сотрудников. Нам в России также необходимо развивать собственную нормативную базу и практику аудита киберустойчивости финансовых организаций, не дожидаясь, пока аналогичный сценарий будет реализован против отечественных компаний.

Для отечественного рынка я вижу здесь три практических вывода. Во-первых, тренинги по кибергигиене должны включать сценарии, связанные с фейковыми собеседованиями, фишинговыми «тестовыми заданиями» и социальной инженерией в мессенджерах. Во-вторых, корпоративные политики BYOD («принеси свое устройство») должны быть пересмотрены. Рабочие ноутбуки не должны использоваться для личных целей, особенно для прохождения собеседований в сторонних компаниях. В‑третьих, инцидент показал, насколько критична зависимость от зарубежных инструментов разработки и платформ. Нам нужны собственные, проверенные экосистемы для безопасной разработки и обмена кодом.

Кража у Binance — это не финал, а лишь громкая иллюстрация тренда. Государственные хакерские группировки будут и дальше совершенствовать методы социальной инженерии, делая ставку на человеческий фактор. Атаки через фиктивное трудоустройство и «тестовые задания» станут еще более изощренными. А использование ИИ-моделей для поиска уязвимостей и автоматизации атак ставит вопрос о кардинальном пересмотре подхода к обеспечению информационной безопасности всех мировых держав.

Игорь Бедеров