Если вы уверены, что ни один перевод не уходит со счёта вашей компании без вашей подписи, взлом Binance — хороший повод проверить эту уверенность уже сегодня. Вечером 29 октября 2026 года около 6,3 млрд долларов ушли с кошельков Binance, крупнейшей в мире криптобиржи, через несанкционированные выводы, причём большая часть — примерно за 20 минут. Co-CEO биржи заявил, что часть операции не прошла через обычные процедуры одобрения. Урок для вашего бизнеса не имеет отношения к криптовалюте: составьте список всех путей, по которым можно перевести деньги или изменить счёт получателя, и сделайте так, чтобы каждый из них требовал двух человек, двух устройств и журнала, который никто не может стереть.
Что произошло в Binance: цифры
Согласно второму официальному обновлению, которое Binance опубликовала 30 октября, её горячие кошельки, то есть подключённые к интернету кошельки, через которые проходят выводы клиентов, были скомпрометированы около 20:05 UTC, а убыток составил около 6,3 млрд долларов. Биржа приостановила выводы, сообщила, что около 3 млрд долларов заморожены в блокчейне с помощью партнёров, и выделила более 6,34 млрд долларов собственных средств на покрытие потерь, включая 5 млрд в тех же самых токенах, которые были украдены, то есть около 80% суммы. Целью было начать поэтапное возобновление выводов примерно через 34 часа после этого обновления, а отчёт о подтверждении резервов опубликовать к 2 ноября.
Анализ данных блокчейна, проведённый TRM Labs, добавляет важные детали: средства ушли через 10 сетей, подготовка началась как минимум за 36 часов до кражи, злоумышленник отрепетировал инструмент на другом кошельке перед применением и заранее подготовил 50 подписанных авторизаций, чтобы одна из них оказалась действительной в момент исполнения. TRM оценивает общую сумму в 6,36 млрд долларов — примерно в четыре раза больше, чем при взломе Bybit на 1,5 млрд долларов в феврале 2025 года. TRM и Elliptic приписывают атаку группе TraderTraitor, связанной с Северной Кореей, при этом Elliptic отмечает, что ни одно правительство пока не подтвердило эту атрибуцию.
Что Binance рассказала о том, как это произошло
Первоначальное расследование указало на скомпрометированный ноутбук DevOps-инженера, который позволил злоумышленнику добраться до сервисного контейнера и отправить несанкционированные транзакции на вывод. Позже биржа сообщила, что дальнейшее расследование выявило дополнительные точки проникновения и что она не нашла доказательств утечки приватных ключей своих кошельков. Co-CEO заявил, что атаку провёл не один человек, что злоумышленник использовал механизм самоуничтожения, который удалял инструменты и следы по ходу работы, и что делегирование, использованное в сети Ethereum, не прошло через обычные процедуры одобрения Binance.
Проще говоря, злоумышленник не взламывал сейф. Он заставил собственные системы Binance подписать переводы. По оценке TRM, наиболее вероятное объяснение — возможность заставить систему подписи подписывать выбранные злоумышленником транзакции в разных сетях и разными ключами примерно за полчаса.
Почему это важно для компании, у которой нет ни одной криптомонеты
Потому что в каждой компании работает уменьшенная версия такой системы подписи: корпоративный банковский портал, платёжный файл, который бухгалтер выгружает из учётной системы и загружает в банк, экран, где меняются банковские реквизиты поставщика, право на возврат в вашем платёжном шлюзе, ежемесячный файл зарплаты. Как владелец вы видите официальный маршрут одобрения — заявка, затем руководитель, затем финансы, — но злоумышленник ищет обходной путь: системную учётную запись, которая автоматически загружает файлы, ИТ-администратора, способного поменять IBAN, или ключ интеграции у внешнего поставщика, который может провести перевод.
Есть ещё два урока. Первый — скорость: большая часть денег ушла примерно за 20 минут, и ни один сотрудник не угонится за этим вручную, поэтому защита должна строиться на лимитах и оповещениях, которые срабатывают сами. Второй — подготовка: злоумышленник готовился за 36 часов и проверил инструмент, а значит, ранние признаки были видны тому, кто наблюдал. Мы уже писали о том, как один бесплатный стриминговый сайт на рабочем ноутбуке может отдать пароли вашей компании злоумышленникам, а устройство человека, у которого есть права, — самая ценная цель в компании.
Что проверить в вашей компании на этой неделе
- Составьте карту всех путей, по которым могут уйти деньги: запишите каждого человека и каждую систему, которые могут инициировать перевод, одобрить его, изменить счёт получателя или оформить возврат, включая системные учётные записи, ключи интеграции и внешних поставщиков.
- Два человека и два устройства для каждого перевода: тот, кто вводит перевод, не одобряет его, а одобрение выполняется с другого устройства. Это принцип разделения обязанностей из Основных мер кибербезопасности: для выполнения задачи нужен больше чем один человек, и у каждого свои права. Свяжите его с матрицей полномочий, которая определяет, кто что подписывает.
- Лимиты и мгновенные оповещения: попросите банк установить дневной лимит на переводы и мгновенное уведомление на телефон владельца о каждом крупном переводе и при каждом добавлении или изменении получателя.
- Административные права по необходимости: включите многофакторную аутентификацию для каждого удалённого входа и каждой привилегированной учётной записи, регулярно пересматривайте список людей с такими правами и удаляйте учётные записи бывших сотрудников и подрядчиков, завершивших работу.
- Журнал, который злоумышленник не сможет стереть: атакующий в Binance стирал следы прямо во время работы. Включите журналы событий для привилегированных учётных записей и удалённого доступа, храните копию вне самой системы и держите её не менее 12 месяцев, как требуют меры.
- План на первые минуты: определите, кто звонит в банк, чтобы остановить перевод, кто блокирует подозрительную учётную запись и где лежат номера для экстренной связи. В случае Binance компания Tether заморозила главный кошелёк-получатель злоумышленника через 37 минут после крупнейшего вывода, и именно эта скорость спасла значительную часть денег.
Что говорят саудовские меры?
Основные меры кибербезопасности ECC-2:2024, выпущенные Национальным управлением кибербезопасности (NCA), обязательны для государственных органов и подведомственных им организаций, а также для компаний частного сектора, которые владеют критической национальной инфраструктурой, эксплуатируют или размещают её, а всем остальным организациям Королевства NCA настоятельно рекомендует их использовать. Они напрямую отвечают урокам Binance: многофакторная аутентификация для удалённого доступа и привилегированных учётных записей (2-2-3-2), принципы необходимости знания, минимальных привилегий и разделения обязанностей (2-2-3-3), управление привилегированным доступом (2-2-3-4), периодический пересмотр учётных записей и прав доступа (2-2-3-5), а также журналы событий для привилегированных учётных записей и удалённого доступа, которые постоянно отслеживаются и хранятся не менее 12 месяцев (2-12-3).
Взгляд Origami
Мы видим во взломе Binance урок о маршрутах одобрения, а не о криптовалюте. Большинство компаний выстраивают одобрение для официального маршрута и забывают об обходных путях: системной учётной записи, которая загружает платёжный файл, пользователе, который может изменить IBAN, ключе интеграции, который может провести операцию. Именно эти обходные пути злоумышленник ищет в первую очередь.
Когда мы создаём индивидуальную систему, которая работает с деньгами, например систему цикла закупок или портал оплат поставщикам, мы рекомендуем закладывать одобрение в архитектуру с первого дня: два разных человека для ввода и подтверждения, лимиты сумм и журнал каждого изменения данных получателей. Если вам нужна готовая бухгалтерская система, а не индивидуальная разработка, обратите внимание на Fahim.
Вывод
Чтобы извлечь уроки из крупнейшей зафиксированной кражи криптовалюты, криптокошелёк не нужен. Выделите на этой неделе два часа с бухгалтером и ответственным за ИТ: запишите все пути, по которым могут уйти деньги, разнесите ввод и подтверждение на два устройства, попросите банк о лимитах и оповещениях, проверьте, у кого есть права администратора, и храните журналы вне досягаемости тех, кто управляет системой. Если вам нужна проверка маршрутов одобрения в ваших системах, свяжитесь с нами или посмотрите наши услуги.
Источники
- Binance — Security Incident Update #2, 30 октября 2026 года: время взлома, сумма, замороженные и выделенные средства, цель по возобновлению выводов и отчёт о подтверждении резервов.
- TRM Labs — North Korea Steals USD 6.36 Billion From Binance in the Largest Hack in History, 29 октября 2026 года: десять сетей, продолжительность кражи, подготовка, 50 авторизаций и заморозка средств компанией Tether.
- Elliptic — The largest theft in history, 30 октября 2026 года, обновлено 31 октября: заявления Binance о процедурах одобрения и механизме самоуничтожения, а также статус атрибуции.
- National Cybersecurity Authority — Essential Cybersecurity Controls ECC-2:2024: сфера применения и меры 2-2-3 и 2-12-3.
- BBC News — Crypto giant Binance attempting to recover $6.3bn stolen in hack linked to North Korea, 30 октября 2026 года: заявления co-CEO о дополнительных точках проникновения.
Частые вопросы
Наша компания не работает с криптовалютой. Почему взлом Binance должен нас волновать?
Потому что злоумышленник не украл ключи от сейфа: собственные системы Binance подписали переводы по пути, который обошёл обычные одобрения. В каждой компании есть похожие пути: банковский портал, платёжный файл, изменение счетов поставщиков, права на возвраты. Урок в том, чтобы закрыть обходные пути, а не в том, чтобы избегать криптовалюты.
Обязательны ли Основные меры кибербезопасности NCA для моей частной компании?
Они обязательны для государственных органов и подведомственных им организаций, а также для компаний частного сектора, которые владеют критической национальной инфраструктурой, эксплуатируют или размещают её. Остальным компаниям Национальное управление кибербезопасности настоятельно рекомендует их использовать, и они служат готовым чек-листом для проверки прав доступа и журналов.
Как применить правило двух человек в небольшой компании с одним бухгалтером?
Пусть бухгалтер вводит перевод, а владелец или руководитель подтверждает его со своего устройства, а не с устройства бухгалтера. Попросите банк настроить в корпоративном портале одного пользователя для ввода и другого для подтверждения, а также дневной лимит и мгновенное уведомление о каждом переводе или новом получателе.
Что делать в первую очередь, если я обнаружил перевод, который не одобрял?
Немедленно позвоните в банк и попросите остановить или отозвать перевод, заблокируйте учётную запись, которая его выполнила, сохраните журналы до любой очистки устройств, а затем смените пароли и ключи интеграции с чистого устройства. Скорость решает: в случае Binance компания Tether заморозила главный кошелёк злоумышленника через 37 минут после крупнейшего вывода.
