Илья Лихтенштейн (Ilya Lichtenstein), осуждённый за отмывание средств после взлома Bitfinex, в соцсети X отметил ключевую деталь отчёта Binance о краже: инженера биржи заманили на фейковое собеседование и убедили запустить вредоносный код под видом тестового задания. «Не запускайте произвольный код, который вам присылают!» — написал он.
Комиссия ФБР 31 октября 2026 года заявила, что за кражей виртуальных активов на сумму более $6 млрд с Binance около 29 октября стоит Северная Корея. Операцию приписали группе TraderTraitor.
Как развивалась атака
В отчёте от 3 ноября Binance описала инцидент как многомесячную кампанию. По данным биржи, схема выглядела так:
- инженера вовлекли в серию фейковых собеседований;
- под видом задания он загрузил вредоносный код;
- через скомпрометированные устройства и внутренний ИИ-инструмент злоумышленники получили доступ к системам подписания транзакций.
Биржа сообщила, что заморозила или перехватила около $2,85 млрд из примерно $6,34 млрд. Остальные потери Binance покрыла за свой счёт.
Почерк северокорейских хакеров
В интервью CNN Лихтенштейн заявил, что взлом соответствует тактике северокорейских группировок: они бьют по самому слабому звену. Прямая атака на сайт биржи с сильной защитой — не их путь. Проще направить фишинг на сотрудников и добиться, чтобы те сами загрузили вредоносное ПО.
Он подчеркнул, что первые 48 часов после кражи критически важны для отслеживания средств. ИИ-агенты ускоряют перемещение и дробление активов, поэтому у тех, кто ищет следы, остаётся мало времени. При этом записи в блокчейне остаются прослеживаемыми даже спустя годы.
Отмывание сложнее самого взлома
По словам Лихтенштейна, украденная криптовалюта для хакеров — токсичный актив. Пока средства не заморожены, им приходится как можно быстрее запутывать следы: смешивать активы и перемещать их между адресами. После взлома отмывание оказывается сложнее самой кражи из-за публичности блокчейна и развитых инструментов анализа.
Кто такой Лихтенштейн
Имя Лихтенштейна связано со взломом Bitfinex 2016 года, когда было похищено около 120 000 BTC. В 2023 году он и его жена признали вину в сговоре с целью отмывания денег. В 2024 году Лихтенштейна приговорили к пяти годам, а в январе 2026 года он вышел на свободу досрочно по закону First Step Act. По его словам, сейчас он работает как white-hat хакер, то есть специалист по защите, который ищет уязвимости легально.
Комментарии Лихтенштейна показывают, как атаку видит человек, знакомый с отмыванием крупных сумм изнутри. Скорость перемещения активов и прослеживаемость блокчейна остаются двумя главными факторами в таких историях.
Мнение ИИ
Анализ исторических паттернов показывает: фальшивый «рекрутёр» — давний приём северокорейских группировок. Исследователи ESET описали серию кампаний Lazarus, где «рекрутёр» связывался с сотрудником через LinkedIn и в итоге присылал вредоносные файлы под видом описания вакансии. Вредоносное ПО в этих кампаниях менялось, а сценарий оставался прежним.
Для атакующего собеседование — удобный канал: переписка с кандидатом, как правило, идёт вне корпоративного периметра, и межсетевой экран здесь бессилен. Ситуация напоминает троянского коня: ворота крепости целы, а подводит сама гостеприимность. Оружием служит не уязвимость кода, а профессиональное любопытство. Граница между кадровым процессом и информационной безопасностью давно стёрлась.
▼
Самые интересные и важные новости на нашем канале в Telegram