Співголова Binance Річард Тенг розповів, що за найбільшою в історії криптобірж крадіжкою на $6,3 млрд стояла операція, яка тривала щонайменше п’ять місяців. Версію про «один зламаний ноутбук» він відкидає. Про це Тенг сказав в інтерв’ю CNBC.

Хронологія, яку він описує, виглядає як посібник з соціальної інженерії. У червні інженер, який відповідав за DevOps гаманців, шукав в інтернеті популярний інструмент для написання коду зі штучним інтелектом. Натрапив на підроблену версію Homebrew — пакетного менеджера для macOS — і встановив її. Binance помітила підозрілу активність і замінила пристрій. Але команда інженера на той момент уже була скомпрометована.

Далі атака перейшла в іншу площину. У вересні зловмисники видали себе за рекрутерів і надіслали іншому інженеру тестове завдання з кодом. Усередині завдання ховався шкідливий код. Зламавши цей акаунт, хакери рушили внутрішніми AI-інструментами біржі до системи, яка затверджує транзакції гаманців. Саме там вони й отримали доступ до коштів.

Що кажуть цифри

Із $6,34 млрд, за словами Тенга, уже відшкодовано 98%. Частину активів вдалося заморозити: близько $3 млрд — за сприяння Tether, Circle і Ripple. Раніше ми писали, як Binance відшкодовувала 95% втрат після злому, і тоді йшлося про проміжний етап компенсацій.

ФБР пов’язує інцидент із північнокорейським угрупованням TraderTraitor. Це не перший випадок, коли північнокорейські хакери фігурують у справах про крадіжки з криптобірж, але масштаб цього разу інший — сума в кілька разів перевищує попередні великі зломи.

Чому це важливо

Історія Тенга ламає зручне уявлення, ніби достатньо замінити скомпрометований пристрій — і проблема вирішена. Тут заміна ноутбука не зупинила атаку: зловмисники вже мали foothold у команді й далі працювали через людей, а не через залізо.

Другий висновок стосується внутрішніх AI-інструментів. Біржі дедалі активніше впроваджують їх для автоматизації, і саме вони стають проміжною ланкою між зламаним акаунтом і критичною системою. Якщо інструмент має надто широкі права, він перетворюється на зручний місток для атаки.

Третій — швидкість реакції поза межами біржі. Майже половину викраденого вдалося заморозити завдяки взаємодії з емітентами стейблкоїнів. Це показує, наскільки важливим став контроль над стейблкоїнами як інструмент протидії відмиванню. Водночас це ілюструє залежність: заморозити активи можна лише тоді, коли вони ще не розійшлися через міксери та децентралізовані протоколи.

Контекст варто тримати в голові й інвесторам. На тлі цих подій OKX залучила $445 млн чистих надходжень, тоді як відтік із Binance перевищив $7 млрд — про перерозподіл коштів між біржами ми писали окремо. Довіра до майданчика після такого злому стає таким самим активом, як і резерви.

Що це означає для користувачів

Компенсація 98% — сильний сигнал, але вона не скасовує питання, як саме біржа захищає ключі до гаманців. Для користувача практичний висновок простий: зберігайте великі суми поза біржею, вмикайте апаратні гаманці та апаратні ключі, перевіряйте, хто має доступ до підтвердження транзакцій.

Для індустрії ж історія з Homebrew і фейковим тестовим завданням — нагадування, що найслабша ланка часто не код, а людина, яка шукає інструмент у пошуковику або відкриває файл від «рекрутера». Технічні засоби захисту тут працюють лише в комплексі з навчанням персоналу та сегментацією доступу.

Розслідування триває, і частина коштів досі не повернута. Оцінки щодо того, чи вдасться стягнути решту, поки що залишаються припущеннями — підтверджених даних про це немає.