Binance пов’язує атаку на гаманці з фальшивою співбесідою: що перевірити майнерам
Публікація джерела: 2026-11-03 · Редакційний аналіз опубліковано: 2026-11-04
Попередній звіт від 3 листопада пояснює, чому зупинка виведення не скасувала шкідливі дозволи в блокчейні. Поповнене забезпечення, повернуті активи та доступні виплати майнера — різні показники.
Нові подробиці доступу до операцій із гаманцями
Binance 3 листопада опублікувала попереднє розслідування інциденту 29 жовтня. Звіт описує шлях від фальшивого найму й заражених інструментів розробника до несанкціонованого доступу до внутрішнього сервісу підписання гаманців. Для майнерів, які отримують виплати пулу на біржу, це прояснює практичну різницю: видобути монети, побачити зарахування та мати гроші для рахунків — окремі етапи.
Біржа оцінює постраждалі активи приблизно в 6,34 млрд доларів, заморожені або перехоплені — у 2,85 млрд. Це її дані, що залежать від звірки та зміни ринкових цін. Компанія заявляє, що бере збитки на себе, відклала понад необхідну суму і станом на 31 жовтня поповнила 98% постраждалих токенових активів, продовжуючи купувати менш ліквідні.
Поповнення забезпечення коштами компанії відрізняється від повернення викрадених монет. Відсоток поповнення також не показує поточну доступність виведення кожному клієнту в кожній мережі. Звіт попередній, незалежна перевірка ще запланована. Тут розглядається нове розслідування, окреме від попередніх повідомлень про зупинку й поетапне відновлення виведення.
Від правдоподібної співбесіди до привілейованого доступу
За даними Binance, у червні інженер завантажив підмінений інсталятор Homebrew, шукаючи інструмент ШІ для програмування. Компанія повідомляє про заміну пристрою й зміну пов’язаних облікових даних, але відомості про ролі команди гаманців стали відомі нападникам. Це частина хронології, а не твердження, що всі подальші етапи сталися на одному комп’ютері чи того самого дня.
У вересні з іншим інженером зв’язалися через справжню платформу найму. Інсценовані співбесіди створили довіру, після чого нібито тестове завдання вимагало завантажити шкідливий репозиторій на робочий комп’ютер. Binance каже, що код виконався вже під час налаштування. Для власника ферми важливо: проєкт може запустити код ще до відкриття своєї заявленої програми.
Звіт стверджує, що заражений комп’ютер і внутрішній інструмент ШІ 20 жовтня використали для доступу до інших інженерів. Викрадений дозвіл на розгортання контейнерів потім допоміг дістатися операцій підписання 29 жовтня. Це опис переходу доступу між системами, а не доказ того, що модель ШІ самостійно вирішила красти гроші чи причиною стала звичайна GPU-робота майнера.
Чому вимикач виведення не скасував усі дозволи
Binance повідомляє, що доступ до сервісу підписання дозволив перекази поза звичайною процедурою виведення, зокрема 18 270 BTC. В Ethereum нападник використав EIP-7702 — механізм делегування виконання коду від імені акаунта. Цей механізм Ethereum не слід плутати з протоколом Bitcoin чи називати вадою майнінгу SHA-256.
Побутова аналогія — постійний дозвіл службового акаунта: закриття вікна приймання заявок не анулює дозвіл, уже наданий в іншій системі. За словами Binance, шкідливі делегування існували в блокчейні незалежно від звичайної інфраструктури виведення. Зупинка біржового сервісу та скасування дозволу в мережі були різними завданнями стримування.
Компанія пояснює, що гаманець із багатосторонніми обчисленнями, або MPC, не мав одного доступного приватного ключа для миттєвого скасування, тому знадобилася спеціальна процедура. Останній несанкціонований переказ ETH, раніше переданий у мережу, за її даними завершився о 23:56 UTC; делегування Binance14 очистили новою авторизацією о 00:10 UTC 30 жовтня. Передання транзакції та її завершення — не одна мить; це хронологія компанії.
Що це змінює для обліку виплат майнера
Невиплачений баланс пулу, переданий у мережу платіж, зарахування на біржі та кошти, якими вже можна оплатити електроенергію, варто обліковувати окремо. Пул може виконати свою частину, поки біржа ще обмежує конкретну пару актив–мережа. Це впливає на графік грошей оператора, навіть якщо ASIC без технічних збоїв продовжує надсилати прийняту роботу.
Перевірте поточну адресу виплат у пулі та монету й мережу, які справді підтримує одержувач. Однаковий тикер не робить різні мережі взаємозамінними. Адреса, показана в пулі, також відрізняється від доступу, який може її змінити. Права перегляду, редагування виплат і виведення потребують окремої уваги.
Оператор може переглянути, як довго дохід залишається у третьої сторони та яка частина потрібна для найближчих витрат. Самостійне зберігання змінює відповідальність, а не прибирає її: резервні копії, контроль ключів і правильні реквізити залишаються важливими. Звіт не встановлює універсального балансу, розміру переказу чи способу зберігання для кожного дому й хостингу.
Перегляньте також системи навколо гаманця
Binance заявляє про перебудову постраждалих середовищ гаманців і внутрішнього ШІ, заміну пристроїв, анулювання доступів інженерів та посилення моніторингу й контролю операцій. Компанія залучає незалежних фахівців. Це її повідомлення про заходи, а не завершений незалежний аудит чи гарантія від майбутніх інцидентів.
Для меншої ферми доречне питання: який повсякденний комп’ютер має доступ до налаштувань пулу, сесій біржі, віддаленого керування чи секретів гаманця? Тестове завдання, неофіційний пакет майнера або скопійована команда встановлення можуть мати наслідки, якщо виконуються саме там. Походження ПЗ і обсяг доступу потрібно перевіряти до запуску; знайомий профіль у чаті чи робоча утиліта не доводять надійність усього інсталятора.
Для матеріалу не знадобилися доступ до акаунтів, перекази чи запуск майнінгового ПЗ. Джерела — первинний звіт Binance від 3 листопада та відкрита специфікація Ethereum. Рішення варто пов’язувати з поточним статусом конкретного активу й мережі та власними перевіреними записами платежів. Пояснений шлях атаки допомагає переглянути доступи, але не доводить, що всі маршрути виплат відкриті чи всі викрадені активи повернулися.
Джерело: Binance ↗ · Ethereum EIP-7702 specification ↗
Калькулятор майнінгу ↗
