Если вы уверены, что ни один перевод не уходит со счёта вашей компании без вашей подписи, взлом Binance — хороший повод проверить эту уверенность уже сегодня. Вечером 29 октября 2026 года около 6,3 млрд долларов ушли с кошельков Binance, крупнейшей в мире криптобиржи, через несанкционированные выводы, причём большая часть — примерно за 20 минут. Co-CEO биржи заявил, что часть операции не прошла через обычные процедуры одобрения. Урок для вашего бизнеса не имеет отношения к криптовалюте: составьте список всех путей, по которым можно перевести деньги или изменить счёт получателя, и сделайте так, чтобы каждый из них требовал двух человек, двух устройств и журнала, который никто не может стереть.

Что произошло в Binance: цифры

Согласно второму официальному обновлению, которое Binance опубликовала 30 октября, её горячие кошельки, то есть подключённые к интернету кошельки, через которые проходят выводы клиентов, были скомпрометированы около 20:05 UTC, а убыток составил около 6,3 млрд долларов. Биржа приостановила выводы, сообщила, что около 3 млрд долларов заморожены в блокчейне с помощью партнёров, и выделила более 6,34 млрд долларов собственных средств на покрытие потерь, включая 5 млрд в тех же самых токенах, которые были украдены, то есть около 80% суммы. Целью было начать поэтапное возобновление выводов примерно через 34 часа после этого обновления, а отчёт о подтверждении резервов опубликовать к 2 ноября.

Анализ данных блокчейна, проведённый TRM Labs, добавляет важные детали: средства ушли через 10 сетей, подготовка началась как минимум за 36 часов до кражи, злоумышленник отрепетировал инструмент на другом кошельке перед применением и заранее подготовил 50 подписанных авторизаций, чтобы одна из них оказалась действительной в момент исполнения. TRM оценивает общую сумму в 6,36 млрд долларов — примерно в четыре раза больше, чем при взломе Bybit на 1,5 млрд долларов в феврале 2025 года. TRM и Elliptic приписывают атаку группе TraderTraitor, связанной с Северной Кореей, при этом Elliptic отмечает, что ни одно правительство пока не подтвердило эту атрибуцию.

Что Binance рассказала о том, как это произошло

Первоначальное расследование указало на скомпрометированный ноутбук DevOps-инженера, который позволил злоумышленнику добраться до сервисного контейнера и отправить несанкционированные транзакции на вывод. Позже биржа сообщила, что дальнейшее расследование выявило дополнительные точки проникновения и что она не нашла доказательств утечки приватных ключей своих кошельков. Co-CEO заявил, что атаку провёл не один человек, что злоумышленник использовал механизм самоуничтожения, который удалял инструменты и следы по ходу работы, и что делегирование, использованное в сети Ethereum, не прошло через обычные процедуры одобрения Binance.

Проще говоря, злоумышленник не взламывал сейф. Он заставил собственные системы Binance подписать переводы. По оценке TRM, наиболее вероятное объяснение — возможность заставить систему подписи подписывать выбранные злоумышленником транзакции в разных сетях и разными ключами примерно за полчаса.

Почему это важно для компании, у которой нет ни одной криптомонеты

Потому что в каждой компании работает уменьшенная версия такой системы подписи: корпоративный банковский портал, платёжный файл, который бухгалтер выгружает из учётной системы и загружает в банк, экран, где меняются банковские реквизиты поставщика, право на возврат в вашем платёжном шлюзе, ежемесячный файл зарплаты. Как владелец вы видите официальный маршрут одобрения — заявка, затем руководитель, затем финансы, — но злоумышленник ищет обходной путь: системную учётную запись, которая автоматически загружает файлы, ИТ-администратора, способного поменять IBAN, или ключ интеграции у внешнего поставщика, который может провести перевод.

Есть ещё два урока. Первый — скорость: большая часть денег ушла примерно за 20 минут, и ни один сотрудник не угонится за этим вручную, поэтому защита должна строиться на лимитах и оповещениях, которые срабатывают сами. Второй — подготовка: злоумышленник готовился за 36 часов и проверил инструмент, а значит, ранние признаки были видны тому, кто наблюдал. Мы уже писали о том, как один бесплатный стриминговый сайт на рабочем ноутбуке может отдать пароли вашей компании злоумышленникам, а устройство человека, у которого есть права, — самая ценная цель в компании.

Что проверить в вашей компании на этой неделе

  • Составьте карту всех путей, по которым могут уйти деньги: запишите каждого человека и каждую систему, которые могут инициировать перевод, одобрить его, изменить счёт получателя или оформить возврат, включая системные учётные записи, ключи интеграции и внешних поставщиков.
  • Два человека и два устройства для каждого перевода: тот, кто вводит перевод, не одобряет его, а одобрение выполняется с другого устройства. Это принцип разделения обязанностей из Основных мер кибербезопасности: для выполнения задачи нужен больше чем один человек, и у каждого свои права. Свяжите его с матрицей полномочий, которая определяет, кто что подписывает.
  • Лимиты и мгновенные оповещения: попросите банк установить дневной лимит на переводы и мгновенное уведомление на телефон владельца о каждом крупном переводе и при каждом добавлении или изменении получателя.
  • Административные права по необходимости: включите многофакторную аутентификацию для каждого удалённого входа и каждой привилегированной учётной записи, регулярно пересматривайте список людей с такими правами и удаляйте учётные записи бывших сотрудников и подрядчиков, завершивших работу.
  • Журнал, который злоумышленник не сможет стереть: атакующий в Binance стирал следы прямо во время работы. Включите журналы событий для привилегированных учётных записей и удалённого доступа, храните копию вне самой системы и держите её не менее 12 месяцев, как требуют меры.
  • План на первые минуты: определите, кто звонит в банк, чтобы остановить перевод, кто блокирует подозрительную учётную запись и где лежат номера для экстренной связи. В случае Binance компания Tether заморозила главный кошелёк-получатель злоумышленника через 37 минут после крупнейшего вывода, и именно эта скорость спасла значительную часть денег.

Что говорят саудовские меры?

Основные меры кибербезопасности ECC-2:2024, выпущенные Национальным управлением кибербезопасности (NCA), обязательны для государственных органов и подведомственных им организаций, а также для компаний частного сектора, которые владеют критической национальной инфраструктурой, эксплуатируют или размещают её, а всем остальным организациям Королевства NCA настоятельно рекомендует их использовать. Они напрямую отвечают урокам Binance: многофакторная аутентификация для удалённого доступа и привилегированных учётных записей (2-2-3-2), принципы необходимости знания, минимальных привилегий и разделения обязанностей (2-2-3-3), управление привилегированным доступом (2-2-3-4), периодический пересмотр учётных записей и прав доступа (2-2-3-5), а также журналы событий для привилегированных учётных записей и удалённого доступа, которые постоянно отслеживаются и хранятся не менее 12 месяцев (2-12-3).

Взгляд Origami

Мы видим во взломе Binance урок о маршрутах одобрения, а не о криптовалюте. Большинство компаний выстраивают одобрение для официального маршрута и забывают об обходных путях: системной учётной записи, которая загружает платёжный файл, пользователе, который может изменить IBAN, ключе интеграции, который может провести операцию. Именно эти обходные пути злоумышленник ищет в первую очередь.

Когда мы создаём индивидуальную систему, которая работает с деньгами, например систему цикла закупок или портал оплат поставщикам, мы рекомендуем закладывать одобрение в архитектуру с первого дня: два разных человека для ввода и подтверждения, лимиты сумм и журнал каждого изменения данных получателей. Если вам нужна готовая бухгалтерская система, а не индивидуальная разработка, обратите внимание на Fahim.

Вывод

Чтобы извлечь уроки из крупнейшей зафиксированной кражи криптовалюты, криптокошелёк не нужен. Выделите на этой неделе два часа с бухгалтером и ответственным за ИТ: запишите все пути, по которым могут уйти деньги, разнесите ввод и подтверждение на два устройства, попросите банк о лимитах и оповещениях, проверьте, у кого есть права администратора, и храните журналы вне досягаемости тех, кто управляет системой. Если вам нужна проверка маршрутов одобрения в ваших системах, свяжитесь с нами или посмотрите наши услуги.

Источники