Фейковое собеседование обошлось Binance в $6,3 млрд: как это произошло

В ночь с 29 на 30 октября Binance потеряла около $6,3 млрд из-за взлома горячих кошельков. Атака началась не с подбора паролей, а с поддельного собеседования: сотруднику биржи предложили пройти два онлайн-интервью и скачать тестовое задание с вредоносным кодом. В результате хакеры получили доступ к его рабочему компьютеру и вывели средства в сетях XRP, Solana и Optimism, а также 18 270 BTC. Это один из крупнейших ущербов в истории криптобирж, и он показывает, что слабое звено — не блокчейн, а люди.

Как устроена атака через фейковое собеседование

Схема рассчитана на психологию разработчиков. Хакеры выдают себя за рекрутеров и предлагают высокооплачиваемую работу. Чтобы «пройти отбор», кандидату нужно выполнить тестовое задание — скачать файл и запустить его. В случае с Binance в сентябре сотруднику провели два онлайн-интервью, а затем прислали задание с вредоносным кодом. После запуска файла злоумышленники получили контроль над компьютером.

Похожий эпизод был в июне: сотрудник Binance скачал поддельный установочный файл Homebrew — инструмента для управления программами в macOS. Служба безопасности заметила подозрительную активность и заменила устройство, но было поздно: атакующие уже знали, кто отвечает за разработку и обслуживание кошельков. Это позволило им целенаправленно подготовить фиктивное собеседование именно с этим человеком.

Затем 29 октября сработал вредоносный скрипт, который выводил активы из горячих кошельков. Средства перевели в нескольких сетях, включая XRP, Solana и Optimism, а также 18 270 BTC. Такой разброс затрудняет отслеживание и заморозку. ФБР связывает атаку с северокорейской группировкой TraderTraitor. О похожих схемах мы рассказывали в материале о взломе сайта Keystone.

Кого касается угроза и почему биржи уязвимы

Прежде всего рискуют сотрудники криптокомпаний, особенно разработчики и DevOps-инженеры с доступом к инфраструктуре. Но косвенно проблема затрагивает и клиентов: если биржа теряет активы, она может ограничить вывод средств или ввести дополнительные проверки. Крупные биржи хранят часть криптовалюты в горячих кошельках для быстрых операций — это удобно, но делает их привлекательной целью.

По данным Binance, ущерб составил $6,34 млрд, в сообщении MarketTwits указано $6,3 млрд, Банкста со ссылкой на CoinDesk пишет о примерно $6,3 млрд. Расхождение в оценках может быть связано с курсовой разницей на момент подсчёта. Для сравнения: в 2013 году фейковый твит о взрывах в Белом доме обрушил индекс Доу-Джонса на $136 млрд (по данным Минюста США), но там речь о рыночной панике, а не о краже активов.

Отдельный сюжет — северокорейские специалисты, которые устраиваются в зарубежные компании под чужими именами. По оценке старшего исследователя Flare Эдриана Чика, опубликованной The Telegraph 1 ноября 2026 года, под удар могут попасть сотни британских компаний. Это показывает, что вербовка через фейковые вакансии — не разовая тактика, а отработанная модель.

Где можно было остановить атаку и какие есть исключения

В случае Binance первый сигнал появился ещё в июне, когда служба безопасности заметила подозрительную активность и заменила устройство. Однако, судя по хронологии, полностью устранить угрозу не удалось: хакеры уже собрали информацию о сотруднике. Это типичная ситуация: даже замена оборудования не помогает, если злоумышленник успел закрепиться в системе или получить данные для дальнейшей атаки.

Исключение — компании с жёсткой политикой «нулевого доверия», где тестовые задания проверяются в изолированной среде, а доступ к критическим системам требует многофакторной аутентификации и постоянного мониторинга. Но такие меры дороги и замедляют работу, поэтому многие биржи ими пренебрегают. Кроме того, горячие кошельки по определению подключены к интернету, что увеличивает риск. Холодные кошельки (офлайн-хранение) снижают вероятность кражи, но неудобны для ежедневных операций.

Ещё один нюанс: атака затронула несколько блокчейнов. Перевод в XRP, Solana и Optimism мог быть попыткой запутать следы и избежать заморозки. Но поскольку сети публичные, транзакции видны, и биржи могут отслеживать движение средств. Однако вернуть активы удаётся редко.

Как снизить риск: проверка контрагентов и гигиена устройств

Для сотрудников криптокомпаний главное правило — не запускать файлы от неизвестных отправителей, даже если они выглядят как тестовое задание. Настоящие работодатели используют защищённые платформы для обмена документами. Если вам предлагают скачать исполняемый файл или архив с кодом, стоит перепроверить отправителя через официальные каналы связи.

Компаниям стоит ограничить доступ к горячим кошелькам: чем меньше людей имеют к ним прямой доступ, тем ниже риск. Также помогает сегментация сети и регулярные аудиты безопасности. Клиентам бирж можно посоветовать хранить крупные суммы в холодных кошельках и включать двухфакторную аутентификацию. О том, как регулируется крипторынок в России, мы писали в материале о запуске торгов криптовалютой на Мосбирже.

Пока же случай Binance показывает: даже крупные игроки с продвинутой службой безопасности уязвимы перед социальной инженерией. И хотя ФБР уже назвало вероятного исполнителя — группировку TraderTraitor, — возврат средств остаётся под вопросом. Биржа не раскрывает, будет ли она компенсировать потери клиентам, но такие инциденты обычно приводят к ужесточению проверок и замедлению вывода средств.