# Първоначалният анализ показва, че хакери от Северна Корея са използвали мнимо интервю за работа, компрометиран pyenv и EIP-7702
Целият свят разбра, че хакнаха Binance, някой като зрители - а други като потърпевши от най-големия обир в историята.
29 октомври 2026 г. ще е дата, за която ще се говори дълго, защото това е денят, в който бяха източени крипто активи на стойност около 6.34 млрд. долара, от които 2.85 млрд. долара вече са замразени или прихванати съвместно с партньори. Според информация на Федералното бюро за разследване (ФБР) зад нападението стои Демократична народна република Корея (Северна Корея).
От Binance съобщават, че потребителите няма да понесат финансови щети, като платформата покрива изцяло загубите и вече е възстановила 98% от засегнатите токени в своите резерви.
Атаката започва след неоторизиран достъп до вътрешната услуга за подписване на трансакции (wallet signing service). В рамките на броени минути между 20:05 и 20:09 UTC от пет „горещи“ портфейла на платформата са прехвърлени 233.46 милиона XRP, последвани от приблизително 970 500 SOL и 44.2 милиона OP в мрежите Solana и Optimism. Малко след това нападателите пренасочват и 18 270 BTC.
Въпреки че вътрешните системи на борсата засичат необичайно големите трансфери и тегленията са временно преустановени, нападателите успяват да заобиколят защитната реакция в мрежата на Ethereum.
Ключовият технически елемент в атаката е използването на EIP-7702: стандарт в Ethereum, позволяващ на акаунт да делегира права за изпълнение на смарт договор без разкриване на частния ключ. Нападателите използват компрометираната услуга за подписване, за да изпратят 50 трансакции, да манипулират номера на трансакцията (nonce) и да делегират частични права за изпълнение върху портфейла Binance14 към контролиран от тях смарт договор.
Тъй като делегацията съществува на ниво блокчейн, тя продължава да оперира независимо от спирането на уеб инфраструктурата за теглене. Овладяването на процеса се усложнява допълнително от факта, че Binance използва Multi-Party Computation (MPC) архитектура. Липсата на единичен частен ключ налага разработването на специализирана трансакционна процедура за отмяна. Окончателното прекратяване на делегацията към нулевия адрес е осъществено в 00:10 UTC на 30 октомври, след като в 23:56 UTC финализира последен неразрешен трансфер от 2961.9 ETH.
Разследването разкрива, че пробивът не е единичен инцидент, а продължителна кампания, подготвяна с месеци:
Първоначален вектор (юни 2026 г.): Инженер от DevOps екипа по поддръжка на портфейлите търси AI инструмент за разработка и сваля подправен инсталатор на Homebrew. Макар че инцидентът е засечен своевременно и идентификационните данни са сменени, нападателите идентифицират ключови лица в екипа.
Социално инженерство и 0-day зловреен код (септември 2026 г.): Друг софтуерен инженер е атакуван чрез платформа за търсене на работа. След предварително видео интервю с фалшив HR профил и следващ разговор в чат приложение, служителят получава „практическа задача“ с код за тестване на служебния си компютър. Зловредният код е обфускиран брутално и успява да замени системния компонент pyenv (версия 2.8.0 в Homebrew) с манипулиран бинарен файл, създава симлинк и отваря команден шел към външен контролен сървър.
Ескалация през вътрешен AI инструмент (20 октомври 2026 г.): Използвайки компрометирания компютър, нападателите се насочват към вътрешен AI инструмент, чрез който успяват да достигнат до работните станции на още двама инженери и да откраднат токен за деплойване на контейнери.
Финално изпълнение (29 октомври 2026 г.): Между 17:15 и 19:56 UTC хакерите се логват в системата през компютъра на третия засегнат служител, задействат контейнер с откраднатите права и стартират зловредния скрипт за подписване.
От Binance съобщават, че са изградили наново засегнатата портфейлна система и вътрешния AI инструмент в напълно изолирана среда, сменили са устройствата и ключовете на замесените кадри и са внедрили строг поведенчески анализ с изкуствен интелект. Борсата инициира независим международен одит на инцидента и фонд за изследвания в областта на AI сигурността в блокчейн средите.
Ние ще продължим да следим темата, защото в нея има много уроци, които могат да бъдат научени.
