В конце октября 2026 года произошли два крупных ИБ-инцидента в сфере криптовалюты, затронувшие Binance и Polymarket. 30 октября криптобиржа Binance сообщила о возможном взломе — предварительный анализ показал, злоумышленники могли получить доступ к контейнеру сервиса через скомпрометированный ноутбук DevOps-инженера и подтвердить несанкционированные транзакции по выводу средств. Представители биржи заявили, что пока не нашли подтверждений утечки закрытого ключа для криптокошелька. Компания временно приостановила операции по внесению и снятию средств, а также пообещала компенсировать ущерб пользователям. Днём ранее, 29 октября, с кибератакой столкнулись пользователи криптовалютной платформы Polymarket. Инцидент был связан с компрометацией стороннего скрипта сервиса DebugBear, предназначенного для мониторинга активности реальных пользователей, который был встроен в веб-сайт платформы.
Эти два случая демонстрируют принципиально разные способы проникновения: в одном точкой входа стало рабочее устройство сотрудника, в другом — сторонний веб-компонент. Дальнейший анализ должен установить, как именно были скомпрометированы ноутбук DevOps-инженера Binance и сервис DebugBear. При этом нельзя исключать вероятность, что злоумышленники воспользовались уязвимостями. Оба инцидента показывают, что криптовалютные биржи также подвержены кибератакам, как и другие компании, причём для этого могут использоваться самые разные векторы проникновения — точками входа могут стать как внутренние системы организаций, так и внешние сервисы или компоненты, от которых зависит их работа.
Как показывает наша практика, сотрудники криптовалютных бирж, особенно технические специалисты, остаются одним из слабых звеньев в атаках, направленных на хищение криптовалюты. Даже опытные инженеры и разработчики могут стать жертвами злоумышленников и, в том числе, непреднамеренно загрузить вредоносное ПО. Ранее мы рассказывали о случае, когда разработчик из криптовалютной отрасли скачал вредоносное расширение для среды разработки, в результате чего с его криптокошельков похитили 500 тысяч долларов США.
Кибератка на Binance может стать крупнейшим хищением криптовалюты за всю историю. Провести операцию такого масштаба крайне сложно, поэтому нельзя исключать, что за некоторыми взломами криптовалютных бирж могут стоять APT-группы. В первых сообщениях, которые поступают об инциденте с Binance упоминается возможная причастность различных группировок, в том числе Lazarus. Эта APT-группа известна финансово мотивированными кибератаками, включая операции, нацеленные на криптовалютную отрасль, и обладает значительным опытом в этой сфере. В 2016 году группу обвинили во взломе центрального банка Бангладеш с целью похищения 1 миллиарда долларов США. Этот случай не был единичным: на протяжении текущего десятилетия Lazarus продолжала активно атаковать криптовалютные биржи. Например, ущерб от взлома Bybit в 2025 году составил около 1,5 миллиарда долларов США. Однако возможная причастность Lazarus к атакам на Binance и Polymarket пока не подтверждена — окончательные выводы можно будет сделать только после завершения расследования.
В последние годы владельцы криптовалютных активов всё чаще становятся целями злоумышленников. Причём особый интерес для них представляют устройства, на которых нет защитных решений. Практика показывает, что жертвами подобных атак могут стать даже технически подкованные пользователи. Поэтому мы настоятельно рекомендуем устанавливать надёжные защитные решения как на личные, так и на корпоративные устройства.
