За даними Binance, атака являла собою багатоетапну операцію, яка тривала кілька місяців. Зловмисники використовували методи соціальної інженерії, шкідливе програмне забезпечення, викрадені облікові дані та скомпрометовані внутрішні інструменти компанії.
Перші ознаки підготовки були виявлені ще в червні 2026 року. Один з інженерів підрозділу, що відповідає за інфраструктуру криптогаманців, завантажив модифікований інсталяційний пакет Homebrew, намагаючись встановити популярний інструмент для програмування з використанням ШІ.
Служба безпеки Binance виявила підозрілу активність, замінила пристрій співробітника та оновила пов'язані з ним облікові дані. Однак зловмисники встигли отримати інформацію про його посаду та колег, які мали доступ до інфраструктури криптогаманців.
Наступний етап розпочався у вересні. Хакери зв'язалися з іншим інженером через справжню платформу пошуку роботи, представившись представниками вигаданої компанії.
Співробітник пройшов два етапи співбесіди. Спочатку з ним по відеозв'язку спілкувалася людина, яка видавала себе за фахівця з підбору персоналу. Потім відбулося інтерв'ю з гаданим керівником компанії.
Наприкінці другої співбесіди інженеру запропонували завантажити на робочий комп'ютер тестове завдання з програмним кодом. Файл містив шкідливе ПЗ, яке запустилося під час налаштування проєкту та надало зловмисникам доступ до пристрою.
За інформацією Binance, програма використовувала раніше невідому вразливість і методи маскування, тому встановлені засоби захисту не виявили зараження.
20 жовтня хакери задіяли скомпрометований комп'ютер та внутрішній ШІ-інструмент Binance, щоб отримати контроль над пристроями ще двох інженерів. На одному з комп'ютерів вони виявили токен доступу, що дозволяв розгортати програмні контейнери.
29 жовтня зловмисники скористалися викраденими обліковими даними та запустили шкідливий код, отримавши несанкціонований доступ до внутрішнього сервісу підтвердження операцій з криптогаманцями.
Після цього розпочався вивід цифрових активів. Зокрема, з гарячих гаманців біржі було переведено 233,46 млн XRP, близько 970,5 тис. SOL, 44,2 млн OP та 18 270 BTC.
Крім того, атакуючі використали механізм авторизації Ethereum EIP-7702, надавши підконтрольному їм смарт-контракту можливість виконувати операції з одним із гаманців біржі.
Через це проста зупинка виведення коштів не дозволила негайно припинити всі несанкціоновані перекази. Компанії знадобилися додаткові технічні дії для скасування наданих зловмисниками дозволів.
Остання незаконна транзакція була остаточно підтверджена в блокчейні о 23:56 за всесвітнім часом 29 жовтня. Після цього нових несанкціонованих переказів компанія не зафіксувала.