Atak na Binance poprzedziły fałszywe rozmowy rekrutacyjne i zainfekowane narzędzia
Atak na Binance, podczas którego skradziono aktywa warte około 6,34 mld dolarów, poprzedzała wielomiesięczna kampania obejmująca fałszywe rozmowy rekrutacyjne i infekcje komputerów.
.Wstępny raport opublikowany 3 listopada 2026 r. opisuje przygotowania do kradzieży z 29 października. Według Binance, przestępcy stopniowo zdobywali informacje o pracownikach, dostęp do komputerów oraz uprawnienia potrzebne do wyprowadzania aktywów.
Jednym z etapów było wykorzystanie wewnętrznego narzędzia sztucznej inteligencji do rozszerzenia dostępu. Giełda zaznacza, że dochodzenie trwa, a ustalenia mają zostać poddane niezależnej ocenie.
Pierwsza infekcja już w czerwcu
.Pierwszy opisany incydent nastąpił w czerwcu. Inżynier pracujący przy infrastrukturze portfeli pobrał zmodyfikowany instalator Homebrew. Zespół bezpieczeństwa wykrył zagrożenie, wymienił urządzenie i zmienił powiązane dane uwierzytelniające. Napastnicy zdążyli jednak uzyskać informacje o roli pracownika oraz jego współpracownikach.
We wrześniu zaatakowano kolejnego inżyniera. Kontakt nawiązano przez legalnie działający portal z ofertami pracy, a rozmówcy podszywali się pod przedstawicieli fikcyjnej firmy. Elementem fałszywej rekrutacji były rozmowy oraz udostępnianie zdjęć i nagrań z mediów społecznościowych, które miały budować zaufanie.
Zadanie rekrutacyjne otworzyło drogę do systemów
.Pod koniec rozmowy pracownik miał pobrać zadanie programistyczne na komputer służbowy. Repozytorium zawierało złośliwy kod uruchamiany podczas przygotowywania środowiska. Według raportu malware podmieniło składnik legalnego narzędzia programistycznego, ukrywało swoją obecność i umożliwiło komunikację z serwerem osób trzecich.
20 października hakerzy wykorzystali przejęty komputer oraz wewnętrzne narzędzie AI, aby dotrzeć do środowisk dwóch kolejnych inżynierów. Znaleźli również cyfrowe poświadczenie umożliwiające wdrażanie oprogramowania.
29 października uruchomili złośliwy skrypt. Raport opisuje uzyskanie dostępu do usługi podpisującej transakcje portfeli, co pozwoliło zainicjować transfery poza standardowym procesem wypłat.
Odtworzone aktywa i zamrożone środki
.Binance deklaruje w raporcie odtworzenie z własnych środków 98 proc. dotkniętych atakiem aktywów tokenowych, według stanu na 31 października. Reuters przytaczał z kolei wypowiedź współszefa giełdy o 95 proc. Nie wyjaśniono rozbieżności. Nadal trwa dokupywanie mniej płynnych tokenów.
Osobno firma informuje o zamrożeniu lub przechwyceniu aktywów o wartości około 2,85 mld dolarów. Zablokowanie skradzionych środków nie jest równoznaczne z ich zwrotem.
FBI przypisało kradzież hakerom powiązanym z Koreą Północną, określając ich aktywność jako TraderTraitor. Władze w Pjongjangu zaprzeczyły oskarżeniom.
Giełda podała, że przebudowała zaatakowane systemy, wymieniła urządzenia i unieważniła powiązane dane dostępowe. Zapowiedziała również zewnętrzny przegląd zabezpieczeń przed cyberatakami. Dalsze ustalenia mają zostać objęte niezależną oceną.
Szymon Ślubowski
