Hack na 6,3 miliarda dolarów w Binance z 29 października rozpoczął się od fałszywego instalatora oprogramowania pobranego pięć miesięcy wcześniej — wynika to z raportu o incydencie opublikowanego przez samą giełdę. Raport, opublikowany 3 listopada, odtwarza wielomiesięczną kampanię łączącą złośliwe oprogramowanie, fałszywą ofertę pracy i skradzione poświadczenia — sekwencję, która zdaniem założyciela konkurencyjnej giełdy mogła zostać zapobieżona dzięki podstawowej dyscyplinie w miejscu pracy.

Jak atak rozwijał się od czerwca do października

Kampania rozpoczęła się w czerwcu, gdy inżynier ds. operacji portfeli w Binance pobrał zmodyfikowany instalator Homebrew, próbując zainstalować narzędzie do kodowania z wykorzystaniem AI. Według giełdy jej zespół bezpieczeństwa zidentyfikował podejrzaną aktywność, wymienił dotknięty komputer i zmienił powiązane poświadczenia.

Mimo tej reakcji incydent z czerwca ujawnił informacje o pracownikach zajmujących się infrastrukturą portfeli giełdy — szczegóły, których atakujący użyli w kolejnym etapie.

We wrześniu atakujący namierzyli drugiego inżyniera poprzez fałszywy proces rekrutacyjny i ostatecznie przekonali go do pobrania złośliwego oprogramowania. Do 20 października wykorzystali zhakowane urządzenia oraz wewnętrzne narzędzie AI, aby dotrzeć do kolejnych systemów inżynieryjnych. Dziewięć dni później skradzione poświadczenia pozwoliły im wdrożyć złośliwy kod powiązany z nieautoryzowanymi wypłatami.

Śledczy powiązali atak z TraderTraitor — jednostką hakerską związaną z Koreą Północną, którą amerykańskie władze wcześniej łączyły z kradzieżami kryptowalut z użyciem zainfekowanego oprogramowania i fałszywych ofert pracy. FBI później przypisało kradzież atakującym wspieranym przez państwo północnokoreańskie, podczas gdy Korea Północna odrzuciła te zarzuty.

Założyciel CoinEx wskazuje na trzy uniknione luki w zabezpieczeniach

Po publikacji raportu przez Binance założyciel CoinEx, Haipo Yang, stwierdził w poście na X, że naruszenie odzwierciedlało błędy w dyscyplinie operacyjnej, a nie brak technologii bezpieczeństwa.

"Incydent w Binance ujawnił co najmniej trzy błędy, które były całkowicie do uniknięcia: 1. Środowiska deweloperskie i operacyjne nie były w pełni odizolowane. Każdy z dostępem do produkcji powinien pracować na dedykowanej maszynie, nieużywanej do niczego innego, bez oprogramowania zewnętrznego…"

— Haipo Yang (@yhaiyang) 3 listopada 2026

"Żadne z tych wymagań nie wymaga zaawansowanej technologii. Brakowało dyscypliny" — napisał Yang.

Jego pierwszy punkt dotyczył oddzielania środowisk pracy: pracownicy z dostępem do działających systemów finansowych powinni korzystać z dedykowanych komputerów, a kodowanie, czat i przeglądanie internetu odbywać się na osobnych urządzeniach.

Drugi punkt dotyczył uwierzytelniania. Yang twierdził, że pojedyncze skradzione poświadczenie mogło otworzyć dostęp do usług produkcyjnych bez silnych dodatkowych weryfikacji, i zalecał sprzętowe klucze bezpieczeństwa — fizyczne urządzenia zaprojektowane tak, aby opierały się phishingowi — oraz narzędzia takie jak AWS Session Manager.

Trzeci punkt dotyczył obliczeń wielopartyjnych — rozwiązania dzielącego podpisywanie transakcji między wielu uczestników. Według Yanga podpisujący w Binance nie weryfikowali niezależnie tego, co zatwierdzali, co sprawiało, że system funkcjonował jak pojedynczy podpis. "Multisig działa tylko wtedy, gdy podpisujący są wzajemnie nieufni" — napisał.

Te twierdzenia są osobistą oceną Yanga. Binance nie potwierdziła publicznie wszystkich opisanych przez niego słabości.

Binance informuje, że zablokowała 57 zagrożeń powiązanych z Koreą Północną w 2026 roku

Współprezes Binance Yi He poinformowała, że zespół bezpieczeństwa giełdy wykrył i powstrzymał 57 podejrzanych przypadków zagrożeń cybernetycznych powiązanych z Koreą Północną w trakcie 2026 roku. Według niej techniki obejmowały fałszywe rozmowy kwalifikacyjne, złośliwe narzędzia deweloperskie, zainfekowane pakiety oprogramowania i fałszywe aplikacje do wideorozmów. Te kategorie bezpośrednio pokrywają się z kampanią trwającą od czerwca do października — od zmodyfikowanego instalatora, który ją rozpoczął, po późniejszą fałszywą rekrutację.

"W całym 2026 roku zespół bezpieczeństwa Binance wykrył i powstrzymał 57 podejrzanych przypadków zagrożeń cybernetycznych powiązanych z Koreą Północną. Te próby odzwierciedlają trwałe zagrożenie ze strony aktorów wspieranych przez państwo, celujących w branżę kryptowalut. Techniki obejmują fałszywe oferty pracy… "

— Yi He (@heyibinance) 3 listopada 2026

"Przechwyciliśmy wiele z nich, ale koszt niepowstrzymania nawet jednego był dotkliwy" — napisała.

Odzyskiwanie aktywów i kolejne kroki

Współprezes Richard Teng poinformował, że Binance uzupełniła 98% dotkniętych aktywów. Około 2,85 miliarda dolarów zostało zamrożonych lub przechwyconych, a firma zobowiązała się pokryć całą stratę z funduszy korporacyjnych i rezerw.

Binance przeprowadziła również weryfikację Proof of Reserves obejmującą dziesięć głównych kryptowalut, w tym Bitcoin, Ethereum, BNB i XRP. Weryfikacja potwierdza pokrycie aktywów dla tych tokenów, ale nie pokazuje, czy luki opisane przez Yanga zostały usunięte.

Giełda poinformowała, że odbudowała dotknięte systemy portfeli, wymieniła zhakowane urządzenia i wyłączyła powiązane poświadczenia. Przywróciła również wypłaty dla większej liczby aktywów Ethereum i Solana.

Binance planuje niezależny audyt bezpieczeństwa cybernetycznego oraz zwiększenie wydatków na ochronę urządzeń i wykrywanie zagrożeń. Firma poinformowała, że niektóre środki bezpieczeństwa pozostaną poufne, aby atakujący nie mogli zidentyfikować słabych punktów. Przy w dużej mierze załatwionej stronie finansowej naruszenia planowany niezależny audyt bezpieczeństwa cybernetycznego stanowi następny publiczny punkt odniesienia wobec kwestii operacyjnych, które podniósł Yang.

Niniejszy artykuł opiera się na oryginalnym raporcie Blockonomi.