Кража $6,3 млрд у Binance началась с поддельного Homebrew на Mac

Фальшивый Homebrew и фальшивое собеседование

Начало атаки относится к июню 2026 года. DevOps-инженер Binance искал инструмент для программирования с помощью ИИ и через поисковую выдачу Google скачал вредоносную копию Homebrew — менеджера пакетов для Mac. По данным Binance, компания рано заметила инцидент и предотвратила прямой ущерб, но не знала, что этот шаг позволил атакующим выяснить, кто из сотрудников работает с кошельками.

Вредоносная программа целилась в путь /opt/homebrew, где Homebrew устанавливается на Mac с процессорами Apple Silicon. Это позволяет предположить, что целью был MacBook с чипом серии M.

Через несколько месяцев, в сентябре 2026 года, хакеры убедили другого инженера, работающего с кошельками Binance, принять участие в фиктивном собеседовании. Ему предложили выполнить программистское задание в рамках отбора на рабочем компьютере. Это распространённый приём: желание получить работу заставляет жертву запустить вредоносные файлы или команды. Системы безопасности Binance этот этап не выявили, а 29 октября стали известны подробности хищения миллиардов долларов.

Подозрения на КНДР

В причастности к атаке широко подозревают хакеров, связанных с Северной Кореей, однако имеющиеся сведения не раскрывают все детали взлома.

Методы не новы: в начале 2025 года в верхних строках выдачи Google замечали поддельную рекламу Homebrew, распространявшую вредонос Atomic Stealer против пользователей Mac. Binance не подтвердила, попал ли сотрудник на поддельную версию через платную рекламу или обычный поиск.

Инцидент вызывает вопросы о безопасности устройств Apple, ведь крупнейшая атака такого рода началась с Mac. При этом защита не может помешать разработчику выполнить команды или скрипты, которые он запускает сам. Предупреждения при вставке команд в Terminal, добавленные Apple в macOS 26.4, возможно, помогли бы, но гарантий не дают: если человек уверен, что проходит тест ради желанной работы, он может выполнить команды вопреки предупреждению.