В отчёте SEAL окно около восьми недель приходится на период с сентября до взлома 29 октября 2026 года. Точная дата сентябрьского заражения не указана. Это оценка аналитиков, а не признание Binance; она относится к периоду от заражения устройства до кражи, а не ко всей инфраструктуре биржи.
Binance в первичном отчёте описывает цепочку с июня. Тогда инженер подразделения Wallet DevOps скачал поддельный установщик Homebrew, чтобы поставить популярный ИИ-инструмент для программирования. Служба безопасности заменила устройство и сменила связанные с ним учётные данные, но роль этого инженера и его коллег по кошельковой инфраструктуре оказалась известна атакующим.
В сентябре другой инженер прошёл два этапа фейкового собеседования и загрузил на рабочий компьютер «тестовое задание» с вредоносным репозиторием. Средства защиты конечных устройств на тот момент вредонос не обнаружили. 20 октября атакующие через его компьютер и внутренний ИИ-инструмент получили контроль над двумя инженерами кошельковой команды. 29 октября они использовали украденные учётные данные одного из них, развернули контейнер и запустили вредоносный скрипт.
Binance оценивает затронутые цифровые активы примерно в $6,34 млрд; в отчёте SEAL сумма округлена до $6,4 млрд. На момент публикации отчёта Binance около $2,85 млрд было заморожено или перехвачено; биржа указывает, что эта сумма зависит от сверки и колебаний рыночных цен. Заморозка или перехват не означают, что эти средства уже вернули.
Binance заявляет, что покроет финансовые потери пользователей за счёт собственных средств. По её словам, она выделила более 100% необходимой суммы, а к 31 октября восполнила 98% затронутых токенов. Оставшиеся менее ликвидные активы компания ещё докупает.
В отчёте SEAL атаку приписывают группе TraderTraitor, которую связывают с КНДР. Binance ссылается на последние данные ФБР, согласно которым ответственность несёт КНДР. Биржа пишет, что часть технических деталей останется закрытой, а выводы пройдут независимую проверку.
