Binance 3 ноября опубликовала первичный технический отчёт о краже 29 октября. По версии биржи, злоумышленники несколько месяцев собирали доступ через заражённые инструменты разработчиков, фиктивное собеседование и внутренний ИИ-сервис, а затем добрались до сервиса подписи горячих кошельков. Расследование не завершено, а выводы ещё должны пройти независимую проверку.

В июне один из инженеров скачал подменённый установщик Homebrew, когда настраивал популярный инструмент для программирования с ИИ. Binance заметила аномалию, заменила устройство и отозвала учётные данные, но атакующие успели изучить роль сотрудника и его коллег. В сентябре другой инженер прошёл поддельное собеседование на легальной площадке и запустил вредоносное тестовое задание: по данным биржи, неизвестная прежде программа обошла защиту устройства и подменила компонент pyenv. 20 октября злоумышленники использовали уже заражённый компьютер и внутренний ИИ-инструмент, чтобы добраться до систем ещё двух инженеров и токена развёртывания контейнеров.

29 октября атакующие вошли с компьютера одного сотрудника, применили похищенные у другого данные и развернули вредоносный контейнер в инфраструктуре кошельков. Через внутренний сервис подписи они начали переводы из горячих кошельков. В Ethereum 50 служебных транзакций изменили nonce и по EIP-7702 делегировали часть полномочий контракту атакующего. Поэтому пауза обычного вывода средств не отменила уже записанное в блокчейне разрешение. Многосторонняя схема подписи также не оставляла одного приватного ключа, которым делегирование можно было бы мгновенно снять: последняя несанкционированная операция на 2 961,9 ETH завершилась в 23:56 UTC, а разрешение отозвали в 00:10 UTC 30 октября.

По данным Binance на 3 ноября, инцидент затронул цифровые активы примерно на $6,34 млрд. К 31 октября компания своими средствами восполнила 98% затронутых токенов. Около $2,85 млрд она называет замороженными или перехваченными — это не то же самое, что окончательно возвращённые средства, а сверка продолжается.

Ранее DOK писал, что атака могла начаться с ноутбука инженера. Новый отчёт превращает эту предварительную версию в многоэтапную цепочку и объясняет, почему остановка вывода не остановила все переводы. При этом Binance пока не опубликовала результаты независимой проверки и оставила часть технических деталей закрытой.