Взлом Binance на $6,3 млрд начался с установки поддельного Homebrew

Стали известны новые обстоятельства одной из крупнейших финансовых краж в истории. Хакерская атака на криптовалютную биржу Binance, повлекшая потерю около 6,3 миллиарда долларов, стартовала с социальной инженерии против сотрудника компании. Злоумышленники использовали поддельную версию менеджера пакетов Homebrew для компьютеров Mac.

Начало атаки через ложное ПО

Согласно данным издания 9to5Mac, киберпреступники получили доступ к устройствам персонала, обслуживающего цифровые кошельки платформы, не применяя сложные эксплойты или специализированные инструменты взлома. Ключевым методом стала манипуляция людьми.

Инцидент произошел в июне 2026 года. Инженер направления DevOps искал программные средства для работы с искусственным интеллектом и скачал вредоносный клон Homebrew через результаты поиска Google. Компания Binance обнаружила попытку вторжения на ранней стадии и предотвратила прямой ущерб, однако не знала, что этот шаг позволил хакерам идентифицировать сотрудников, ответственных за криптокошельки.

Homebrew является системой управления пакетами для операционной системы macOS, используемой разработчиками для установки необходимых инструментов. Вредоносная программа была нацелена на путь /opt/homebrew, характерный для устройств Apple Silicon. Это указывает на то, что жертвой стал владелец MacBook на базе процессоров серии M.

Фейковая собеседование как этап проникновения

Через несколько месяцев, в сентябре 2026 года, злоумышленники вышли на другого инженера, работающего с кошельками Binance. Его убедили принять участие в фиктивном собеседовании при приеме на работу.

Кандидату поручили выполнить тестовое задание по программированию на рабочем компьютере. Эта тактика часто применяется в атаках социальной инженерии: мошенники эксплуатируют желание жертвы получить должность, вынуждая ее запускать опасные файлы или команды. Системы безопасности биржи не зафиксировали данный этап вторжения.

Информация о хищении миллиардов долларов из криптовалютных активов платформы стала публичной 29 октября. Существует широкое подозрение в причастности к атаке группировок из Северной Кореи, однако полная картина методов реализации взлома пока не раскрыта.

Уязвимость экосистемы Apple

Использованные методы не являются новинкой. В начале 2025 года уже фиксировались случаи размещения фальшивых объявлений Homebrew на верхних позициях выдачи Google. Эти ссылки вели на вредоносное ПО Atomic Stealer, предназначенное для пользователей Mac.

Binance не подтвердила, был ли сотрудник перенаправлен на поддельный сайт через платную рекламу или обычный поиск. Тем не менее, инцидент актуализирует риски загрузки программного обеспечения из непроверенных источников.

Случай ставит под вопрос безопасность устройств Apple, учитывая, что крупнейшая в истории кража началась именно с компьютера Mac. Эксперты отмечают, что защитные механизмы ОС не могут блокировать выполнение команд, которые пользователь инициирует добровольно.

Предупреждения о вставке команд в терминал Terminal, внедренные Apple в обновлении macOS 26.4, могли бы затруднить атаку, но не гарантируют ее остановку. Даже при наличии системного алерта сотрудник может продолжить выполнение скриптов, если считает, что проходит техническое испытание для получения желаемой работы.