Попробую угадать. В хроме в адресной/посковой строке писал binance, а потом по выдаче гугла тыкал на первый сайт. В этот раз там скамная реклама оказалась в виде дубликата бинанса. А делал так потому что с другого (левого) устройства заходил. Там не было закладки. А может на устройстве троян, кейлоггер, скринер и т.п. Но тогда это не фишинг. Ну или вирус, который днс-адреса сайтов подменяет на уровне системы (в конфиге).