В конце октября 2026 года произошли два крупных инцидента в сфере информационной безопасности, затронувшие криптовалютные платформы Binance и Polymarket.
О том, как могли произойти эти атаки, какие уязвимости использовали злоумышленники и может ли за ними стоять APT-группировка Lazarus, рассказал Георгий Кучерин, старший эксперт Kaspersky GReAT.
«Точкой входа для хакеров
могут стать даже устройства опытных технических специалистов», — Георгий Кучерин,
Kaspersky GReAT.
30 октября криптобиржа Binance сообщила о возможном взломе. Предварительный анализ показал, что злоумышленники могли получить доступ к контейнеру сервиса через скомпрометированный ноутбук DevOps-инженера и подтвердить несанкционированные транзакции по выводу средств.
Представители биржи заявили, что пока не нашли подтверждений утечки закрытого ключа криптокошелька. Компания временно приостановила операции по внесению и снятию средств, а также пообещала компенсировать ущерб пользователям.
Днём ранее, 29 октября, с кибератакой столкнулись пользователи криптовалютной платформы Polymarket. Инцидент был связан с компрометацией стороннего скрипта сервиса DebugBear, предназначенного для мониторинга активности реальных пользователей и встроенного в сайт платформы.
Эти два случая демонстрируют принципиально разные способы проникновения: в одном точкой входа стало рабочее устройство сотрудника, в другом — сторонний веб-компонент. Дальнейший анализ должен установить, как именно были скомпрометированы ноутбук DevOps-инженера Binance и сервис DebugBear.
При этом нельзя исключать, что злоумышленники воспользовались уязвимостями. Оба инцидента показывают, что криптовалютные биржи подвержены кибератакам наравне с другими компаниями. Точками входа могут стать как внутренние системы организаций, так и внешние сервисы и компоненты, от которых зависит их работа.
Как показывает практика «Лаборатории Касперского», сотрудники криптовалютных бирж, особенно технические специалисты, остаются одним из уязвимых звеньев в атаках, направленных на хищение криптовалюты. Даже опытные инженеры и разработчики могут стать жертвами злоумышленников и непреднамеренно загрузить вредоносное ПО.
Ранее в «Лаборатории Касперского» рассказывали о случае, когда разработчик из криптовалютной отрасли скачал вредоносное расширение для среды разработки. В результате с его криптокошельков похитили $500 тысяч.
Кибератака на Binance может стать крупнейшим хищением криптовалюты за всю историю. Провести операцию такого масштаба крайне сложно, поэтому нельзя исключать, что за некоторыми взломами криптовалютных бирж могут стоять APT-группы.
В первых сообщениях об инциденте с Binance упоминалась возможная причастность различных группировок, в том числе Lazarus. Эта APT-группа известна финансово мотивированными кибератаками, включая операции против криптовалютной отрасли, и обладает значительным опытом в этой сфере.
В 2016 году группу обвинили во взломе центрального банка Бангладеш с целью похищения $1 млрд. Этот случай не был единичным: на протяжении текущего десятилетия Lazarus продолжала активно атаковать криптовалютные биржи. Например, ущерб от взлома Bybit в 2025 году составил около $1,5 млрд.
Однако возможная причастность Lazarus к атакам на Binance и Polymarket пока не подтверждена. Окончательные выводы можно будет сделать только после завершения расследования.
В последние годы владельцы криптовалютных активов всё чаще становятся целями злоумышленников. Особый интерес для них представляют устройства, на которых не установлены защитные решения. Практика показывает, что жертвами подобных атак могут стать даже технически подкованные пользователи.
Поэтому специалисты Kaspersky рекомендуют устанавливать надёжные защитные решения как на личные, так и на корпоративные устройства.