Атака на Binance с выводом $6,34 млрд стала возможной не из-за уязвимости в коде, а из-за многомесячной работы злоумышленников с сотрудниками биржи. Такой вывод следует из анализа отчета площадки, который разобрал Асылбек Айтматов, председатель Экспертного совета Ассоциации участников рынка виртуальных активов (АУРВА).

Как атакующие добрались до биржи

Цепочка событий растянулась на несколько месяцев. Сначала, в июне, в дело пошел подмененный установщик Homebrew — популярного менеджера пакетов для разработчиков. В сентябре злоумышленники провели с инженером фальшивое собеседование о работе. Развязка наступила 29 октября — за один вечер с биржи вывели $6,34 млрд.

«Месяцы терпеливой работы с людьми, а не с серверами», — так Айтматов описал подход атакующих.

Отсюда следует первый вывод: граница безопасности биржи теперь проходит и через резюме ее инженеров. Угрозой становится профиль на сайте вакансий, «тестовое задание» от несуществующего работодателя или ссылка в поисковой выдаче на зараженную программу. Защиту здесь обеспечивают четыре элемента:

  • строгое управление доступом;
  • второй подписант на критических операциях;
  • обучение сотрудников;
  • сегментация систем, чтобы заражение одного ноутбука не открывало путь к подписи транзакций.

Второе наблюдение касается искусственного интеллекта. ИИ биржу не взламывал, и распространять такую версию не стоит. Однако, согласно отчету Binance, атакующие использовали внутренний ИИ-инструмент компании, чтобы выйти на других сотрудников. Каждый ИИ-агент с доступом к системам — дополнительная точка входа. Это относится ко всем компаниям, которые сейчас спешно внедряют ИИ.

Что изменилось для клиентов

Главное последствие для пользователей — потерянное время. Убытки биржа компенсировала, но выводы средств были закрыты около 48 часов, а доступ к части активов до сих пор открывают поэтапно. Для бизнеса, который ведет расчеты через биржу, двое суток без денег — уже убыток, даже при полном возмещении.

Айтматов также обратил внимание на механизм компенсации. Binance покрыла потери из собственных средств и резервного фонда. Этот фонд часто называют страховкой, но это не так. Резерв выплачивает деньги по решению самой компании, а страховка — по договору, с исключениями и сроками. Клиентам стоит заранее выяснить, какой запас есть у площадки и на каких условиях он работает. У большинства бирж такого резерва нет.

Доказательств того, что Binance что-то скрывает, эксперт не нашел. Отчет об атаке вышел на пятый день, биржа обновляет Proof of Reserves — публичное подтверждение того, что активы клиентов обеспечены, — а восстановление выводов идет открыто. Основатель Binance Чанпэн Чжао (CZ) сам назвал часть деталей неловкими. При этом речь идет о самоотчете. Независимую проверку компания только обещает, и рынку стоит ждать именно ее, как и ясности с судьбой $2,85 млрд замороженных активов.

Риск для других площадок эксперт назвал системным. ФБР связало атаку с той же северокорейской группировкой, которая стояла за взломом Bybit в 2025 году, а инструменты у индустрии общие. Но взлом — не приговор. По данным Binance, в этом году она отразила 57 похожих попыток.

«Говорят только о той, что прошла», — заключил Асылбек Айтматов.

Анализ Cryptalist: Инцидент смещает фокус оценки рисков бирж с технического аудита к человеческому фактору и операционной устойчивости. Компенсация убытков не устраняет репутационную и институциональную уязвимость: рынку требуется независимая верификация резервов и прозрачность в отношении замороженных средств, иначе доверие к централизованным площадкам будет оставаться условным.