Взлом Binance начался с фальшивого собеседования на рабочем ноутбуке: 6,34 млрд долларов и 6 правил для устройств вашей компании

Если ваши сотрудники ищут работу или пробуют новые программы на рабочем компьютере, это именно тот путь, по которому прошла крупнейшая кража в истории криптовалют. 3 ноября 2026 года Binance опубликовала предварительные выводы: атака, затронувшая около 6,34 млрд долларов 29 октября, началась с двух фальшивых собеседований с инженером и закончилась тестовым заданием, которое он скачал на рабочий ноутбук. Практический вывод для вашей компании: никаких файлов от внешних рекрутеров на рабочих устройствах, никакого ПО вне одобренного списка и никаких прав шире, чем требует должность. 31 октября мы писали о том, кто может перевести деньги вашей компании без вашей подписи; эта статья — о двери, через которую вошел злоумышленник.

Что произошло, шаг за шагом?

По данным Binance о предварительном расследовании, атака прошла четыре этапа:

• Июнь 2026: инженер из команды кошельков искал инструмент для программирования с ИИ и скачал подмененный установщик Homebrew с вредоносной программой. Служба безопасности это обнаружила, заменила устройство и обновила его учетные данные, но сведения о нем и его коллегах уже утекли.
• Сентябрь 2026: человек, выдававший себя за директора проектов, связался со вторым инженером через платформу поиска работы и провел два собеседования: видеозвонок с якобы сотрудницей отдела кадров, а затем разговор с человеком, назвавшимся генеральным директором вымышленной компании. На втором собеседовании инженера попросили скачать тестовое задание на рабочий компьютер; вредоносный код запустился при установке, и средства защиты его не заметили.
• 20 октября 2026: злоумышленник использовал взломанный компьютер и внутренний ИИ-инструмент Binance, чтобы получить контроль над компьютерами еще двух инженеров.
• 29 октября 2026: с 17:15 до 19:56 по UTC злоумышленник вошел в компьютер третьего инженера с учетными данными, украденными у первого, развернул контейнер и запустил вредоносный скрипт; переводы из горячих кошельков прошли с 20:05 до 20:09.

Binance сообщает, что около 2,85 млрд долларов было заморожено или перехвачено, что к 31 октября биржа восполнила 98% затронутых активов и что за 2026 год она выявила и предотвратила 57 случаев угроз, предположительно связанных с Северной Кореей. Иными словами, биржа отбила десятки попыток, а затем пропустила одну.

Почему фальшивое собеседование сработало?

Потому что оно совсем не похоже на фишинговое письмо. Сотрудник не нажимал подозрительную ссылку от неизвестного отправителя; он прошел процесс найма, который выглядел настоящим: известная платформа, видеособеседование, сотрудница отдела кадров, которая делилась материалами из личного аккаунта, чтобы завоевать доверие, а затем генеральный директор. Скачать и запустить проект — обычная часть тестов для разработчиков, поэтому просьба не вызвала подозрений.

Этот прием не нов. TechCrunch напоминает, что отчет CrowdStrike связал примерно половину вторжений в американские технологические компании за прошлый год с северокорейцами, выдававшими себя за удаленных ИТ-специалистов или рекрутеров. Цель — не только криптобиржи, а любой человек с доступом к системам или деньгам.

Вторая брешь: программа из результатов поиска

История началась не с собеседования. За три месяца до него другой инженер установил подмененную программу, когда искал ИИ-инструмент. Это происходит во многих компаниях каждый день: сотрудник слышит о новом инструменте, ищет его, нажимает на первый результат и устанавливает с правами администратора. Главный урок в том, что Binance заменила устройство и сменила пароли, но уже утекшие сведения о команде остались у злоумышленника, и он воспользовался ими через несколько месяцев.

6 правил для устройств ваших сотрудников на этой неделе

• Никаких внешних файлов от рекрутеров на рабочих устройствах: любой тест, проект или файл от третьей стороны открывается на отдельной машине без доступа к системам компании. Это совпадает с советом экспертов, которых цитирует TechTarget: держите код собеседований подальше от любой машины рядом с продуктивной средой.
• ПО только из одобренного списка: отзовите у сотрудников локальные права администратора и проводите установку через ответственного за ИТ, с официального сайта разработчика, а не по рекламе в результатах поиска.
• Минимальные привилегии: тот, кто может переводить деньги или менять чувствительные системы, делает это с отдельной учетной записи и отдельного устройства, а не с машины, на которой он сидит в интернете и тестирует инструменты.
• Узкие права для внутренних ИИ-инструментов: в Binance внутренний ИИ-инструмент стал мостом между устройствами. Любому инструменту, который достает до устройств сотрудников или ваших систем, нужны узкие права и журнал всех его действий.
• Обнаружение — не конец инцидента: если устройство взломано, одной замены мало. Исходите из того, что его содержимое утекло, обновите все пароли, ключи и токены, связанные с ним и его командой, и следите за учетными записями коллег.
• Обучите команду распознавать фишинг через вакансии: заманчивое предложение, требующее скачать файл или запустить код, — это тревожный сигнал, а поиск работы с рабочего устройства подвергает риску всю компанию. Если вы нанимаете удаленно, проверяйте личность кандидата до предоставления любого доступа.

Что говорят базовые меры кибербезопасности?

Базовые меры кибербезопасности ECC-2:2024 Национального управления по кибербезопасности Саудовской Аравии (NCA) обязательны для государственных органов и для организаций, которые владеют, управляют или размещают критическую национальную инфраструктуру, а остальным организациям NCA настоятельно рекомендует их применять. Три из них напрямую касаются этого инцидента:

• Мера 1-10-3: программа повышения осведомленности охватывает безопасную работу с почтой и фишингом, работу в интернете и использование социальных сетей.
• Мера 2-2-3-3: предоставление прав по принципам необходимости знать и использовать, минимальных привилегий и разделения обязанностей.
• Мера 2-3-3-1: защита рабочих станций и серверов от вирусов, подозрительных программ и вредоносного ПО с помощью современных технологий.

Взгляд Origami

В саудовских компаниях мы видим ту же схему, что подвела Binance: одно устройство, которое сотрудник использует для работы, интернета, поиска вакансий и проб каждого нового инструмента, с полными правами администратора, потому что так проще. Злоумышленнику не нужна сложная уязвимость, если сотрудник сам запустит файл.

Решение не в том, чтобы запретить сотрудникам учиться или пробовать ИИ-инструменты, а в том, чтобы они делали это там, откуда нельзя добраться до денег и данных. Когда мы создаем системы для клиентов, мы с самого начала разделяем повседневные и привилегированные учетные записи и записываем каждый доступ к ним.

Вывод

Взлом на 6,34 млрд долларов начался не с уязвимости сервера, а с собеседования и приложения, скачанного из поиска. Выделите на этой неделе час с ответственным за ИТ: отзовите локальные права администратора, составьте список одобренного ПО, отделите устройства с чувствительным доступом и сообщите команде, что ни один файл от рекрутера не открывается на рабочем устройстве. Если вам нужна проверка прав доступа в ваших системах, свяжитесь с нами или ознакомьтесь с нашими услугами.

Источники

• Binance — Security incident investigation update, 3 ноября 2026: хронология июня, сентября, 20 и 29 октября, два собеседования, замороженные и восполненные суммы и 57 случаев угроз.
• Национальное управление по кибербезопасности (NCA) — Essential Cybersecurity Controls ECC-2:2024: сфера применения и меры 1-10-3, 2-2-3-3 и 2-3-3-1.
• TechCrunch — Researchers warned of North Korean hacking tactics years before record $6.3B Binance heist, 3 ноября 2026: данные CrowdStrike и прежние предупреждения.
• TechTarget — Binance details recruiter impersonation behind $6.3B wallet breach, 3 ноября 2026: советы экспертов по устройствам разработчиков.
• Nextgov/FCW — Binance says fake job interview helped North Korean hackers steal $6.3 billion, ноябрь 2026: атрибуция атаки Северной Корее со стороны ФБР.