Атака на Binance з виведенням $6,34 млрд стала можливою не через уразливість у коді, а через багатомісячну роботу зловмисників із співробітниками біржі. Такий висновок випливає з аналізу звіту платформи, який розібрав Асилбек Айтматов, голова Експертної ради Асоціації учасників ринку віртуальних активів (АУРВА).

Як атакувальники дісталися до біржі

Ланцюжок подій розтягнувся на кілька місяців. Спочатку, у червні, у справу пішов підмінений інсталятор Homebrew — популярного менеджера пакетів для розробників. У вересні зловмисники провели з інженером фальшиву співбесіду щодо роботи. Розв'язка настала 29 жовтня — за один вечір з біржі вивели $6,34 млрд.

«Місяці терплячої роботи з людьми, а не з серверами», — так Айтматов описав підхід атакувальників.

Звідси випливає перший висновок: межа безпеки біржі тепер проходить і через резюме її інженерів. Загрозою стає профіль на сайті вакансій, «тестове завдання» від неіснуючого роботодавця або посилання в пошуковій видачі на заражену програму. Захист тут забезпечують чотири елементи:

  • суворе управління доступом;
  • другий підписант на критичних операціях;
  • навчання співробітників;
  • сегментація систем, щоб зараження одного ноутбука не відкривало шлях до підпису транзакцій.

Друге спостереження стосується штучного інтелекту. ШІ біржу не зламував, і поширювати таку версію не варто. Однак, згідно зі звітом Binance, атакувальники використовували внутрішній ШІ-інструмент компанії, щоб вийти на інших співробітників. Кожен ШІ-агент із доступом до систем — додаткова точка входу. Це стосується всіх компаній, які зараз поспішно впроваджують ШІ.

Що змінилося для клієнтів

Головний наслідок для користувачів — втрачений час. Збитки біржа компенсувала, але виведення коштів були закриті близько 48 годин, а доступ до частини активів досі відкривають поетапно. Для бізнесу, який веде розрахунки через біржу, дві доби без грошей — уже збиток, навіть за повного відшкодування.

Айтматов також звернув увагу на механізм компенсації. Binance покрила втрати з власних коштів і резервного фонду. Цей фонд часто називають страховкою, але це не так. Резерв виплачує гроші за рішенням самої компанії, а страховка — за договором, з винятками та строками. Клієнтам варто заздалегідь з'ясувати, який запас є у платформи і на яких умовах він працює. У більшості бірж такого резерву немає.

Доказів того, що Binance щось приховує, експерт не знайшов. Звіт про атаку вийшов на п'ятий день, біржа оновлює Proof of Reserves — публічне підтвердження того, що активи клієнтів забезпечені, — а відновлення виведень іде відкрито. Засновник Binance Чанпен Чжао (CZ) сам назвав частину деталей незручними. При цьому йдеться про самозвіт. Незалежну перевірку компанія лише обіцяє, і ринку варто чекати саме її, як і ясності з долею $2,85 млрд заморожених активів.

Ризик для інших платформ експерт назвав системним. ФБР пов'язало атаку з тим самим північнокорейським угрупованням, яке стояло за зломом Bybit у 2025 році, а інструменти в індустрії спільні. Але злом — не вирок. За даними Binance, цього року вона відбила 57 схожих спроб.

«Говорять лише про ту, що пройшла», — підсумував Асилбек Айтматов.

Аналіз Cryptalist: Інцидент зміщує фокус оцінки ризиків бірж з технічного аудиту до людського фактора й операційної стійкості. Компенсація збитків не усуває репутаційну та інституційну уразливість: ринку потрібна незалежна верифікація резервів і прозорість щодо заморожених коштів, інакше довіра до централізованих платформ залишатиметься умовною.