«Не запускайте код, присланный незнакомцами»: взломщик Bitfinex объяснил, как взломали Binance

Илья Лихтенштейн (Ilya Lichtenstein), осуждённый за отмывание средств после взлома Bitfinex, в соцсети X отметил ключевую деталь отчёта Binance о краже: инженера биржи заманили на фейковое собеседование и убедили запустить вредоносный код под видом тестового задания. «Не запускайте произвольный код, который вам присылают!» — написал он.

Комиссия ФБР 31 октября 2026 года заявила, что за кражей виртуальных активов на сумму более $6 млрд с Binance около 29 октября стоит Северная Корея. Операцию приписали группе TraderTraitor.

Как развивалась атака

В отчёте от 3 ноября Binance описала инцидент как многомесячную кампанию. По данным биржи, схема выглядела так:

Будьте в курсе
движения ваших монет

Алерты, котировки в реальном времени и новости рынка — в одном приложении

Наведите камеру телефона, чтобы установить

4,8 на основе 40 К оценок в App Store и Google Play

• инженера вовлекли в серию фейковых собеседований;
• под видом задания он загрузил вредоносный код;
• через скомпрометированные устройства и внутренний ИИ-инструмент злоумышленники получили доступ к системам подписания транзакций.

Биржа сообщила, что заморозила или перехватила около $2,85 млрд из примерно $6,34 млрд. Остальные потери Binance покрыла за свой счёт.

Почерк северокорейских хакеров

В интервью CNN Лихтенштейн заявил, что взлом соответствует тактике северокорейских группировок: они бьют по самому слабому звену. Прямая атака на сайт биржи с сильной защитой — не их путь. Проще направить фишинг на сотрудников и добиться, чтобы те сами загрузили вредоносное ПО.

Он подчеркнул, что первые 48 часов после кражи критически важны для отслеживания средств. ИИ-агенты ускоряют перемещение и дробление активов, поэтому у тех, кто ищет следы, остаётся мало времени. При этом записи в блокчейне остаются прослеживаемыми даже спустя годы.

Отмывание сложнее самого взлома

По словам Лихтенштейна, украденная криптовалюта для хакеров — токсичный актив. Пока средства не заморожены, им приходится как можно быстрее запутывать следы: смешивать активы и перемещать их между адресами. После взлома отмывание оказывается сложнее самой кражи из-за публичности блокчейна и развитых инструментов анализа.

Кто такой Лихтенштейн

Имя Лихтенштейна связано со взломом Bitfinex 2016 года, когда было похищено около 120 000 BTC. В 2023 году он и его жена признали вину в сговоре с целью отмывания денег. В 2024 году Лихтенштейна приговорили к пяти годам, а в январе 2026 года он вышел на свободу досрочно по закону First Step Act. По его словам, сейчас он работает как white-hat хакер, то есть специалист по защите, который ищет уязвимости легально.

Комментарии Лихтенштейна показывают, как атаку видит человек, знакомый с отмыванием крупных сумм изнутри. Скорость перемещения активов и прослеживаемость блокчейна остаются двумя главными факторами в таких историях.

Мнение ИИ

Анализ исторических паттернов показывает: фальшивый «рекрутёр» — давний приём северокорейских группировок. Исследователи ESET описали серию кампаний Lazarus, где «рекрутёр» связывался с сотрудником через LinkedIn и в итоге присылал вредоносные файлы под видом описания вакансии. Вредоносное ПО в этих кампаниях менялось, а сценарий оставался прежним.

Для атакующего собеседование — удобный канал: переписка с кандидатом, как правило, идёт вне корпоративного периметра, и межсетевой экран здесь бессилен. Ситуация напоминает троянского коня: ворота крепости целы, а подводит сама гостеприимность. Оружием служит не уязвимость кода, а профессиональное любопытство. Граница между кадровым процессом и информационной безопасностью давно стёрлась.

Источник