Kradzież 6,34 miliarda dolarów z Binance rozpoczęła się od sfingowanej rozmowy o pracę i trwała pięć miesięcy, zanim przeniesiono choćby jedną monetę — wynika z pierwszego publicznego opisu ataku z 29 października, opublikowanego we wtorek.

Wstępny raport z incydentu, opublikowany przez Binance na X i zaprezentowany podczas briefingu medialnego z udziałem współdyrektora generalnego Richarda Tenga oraz szefa działu bezpieczeństwa Jimmy'ego Su, opisuje operację łączącą zatrute oprogramowanie, sfingowany proces rekrutacji, malware wymykający się wykrywaniu w punktach końcowych oraz wewnętrzne narzędzie AI, które atakujący obrócili przeciwko własnym inżynierom obsługi portfeli firmy.

Binance poinformowało, że zamroziło lub przechwyciło około 2,85 miliarda dolarów skradzionych aktywów i pokryło z własnych środków 98% dotkniętych tokenów, a resztę kupuje na otwartym rynku. Jeśli ta kwota zostanie w pełni potwierdzona, będzie to największa dotychczas odnotowana kradzież w branży kryptowalut, przewyższająca około 1,5 miliarda dolarów skradzionych z Bybita w lutym 2025 roku — atak, który śledczy również powiązali z północnokoreańskimi sprawcami.

„To nie był jeden błąd ani jedno naruszenie — to była operacja trwająca wiele miesięcy” — napisał Teng na X. „Publikujemy pełny raport, ponieważ wnioski wykraczają daleko poza Binance.”

FBI przypisało atak Korei Północnej — ustalenie, do którego raport Binance się odwołuje, nie formułując własnej atrybucji. Pyongyang odrzucił te zarzuty w poniedziałek, a Kim Yo Jong, siostra przywódcy Kim Jong Una, nazwała je poprzez państwowe media „poważną prowokacją polityczną”. Panele ONZ oraz firmy zajmujące się analizą blockchainów od lat wiążą północnokoreańskie jednostki hakerskie z miliardami dolarów w kryptowalutach skradzionymi z giełd i protokołów na całym świecie.

Pięć miesięcy przygotowań

Według Binance atakujący zdobyli pierwszy dostęp w czerwcu, gdy inżynier DevOps zajmujący się portfelami, szukając popularnego narzędzia AI do programowania, pobrał zmanipulowany instalator Homebrew. Zespół bezpieczeństwa wychwycił anomalię, wymienił urządzenie i zrotował poświadczenia, ale incydent ujawnił rolę inżyniera oraz nazwiska jego kolegów z zespołu infrastruktury portfeli.

We wrześniu drugiego inżyniera skontaktował się — na legalnej platformie rekrutacyjnej — ktoś podający się za dyrektora projektu. Nastąpiła rozmowa wideo z rzekomym przedstawicielem działu HR, podczas której rozmówca udostępnił osobiste konto w mediach społecznościowych, by zbudować zaufanie. Druga rozmowa z rzekomym CEO zakończyła się „zadaniem”: repozytorium kodu, które inżynier miał zainstalować na swoim służbowym komputerze.

Repozytorium zastąpiło legalny komponent pyenv złośliwą wersją i otworzyło kanał do serwera kontrolowanego przez atakujących. Binance poinformowało, że zero-day malware nie został wówczas oznaczony przez jego narzędzia ochrony punktów końcowych.

20 października atakujący użyli tego komputera oraz wewnętrznego narzędzia AI, by dotrzeć do dwóch kolejnych inżynierów portfeli, z których jeden posiadał token wdrożenia kontenerów. 29 października, między 17:15 a 19:56 UTC, zalogowali się na komputer trzeciego inżyniera, wdrożyli kontener z wykradzionymi poświadczeniami i uruchomili opróżnianie środków. Binance podało, że zablokowało w tym roku 57 innych podejrzewanych prób powiązanych z Koreą Północną wykorzystujących podobne przynęty. Amerykańskie władze od lat ostrzegają przed takimi kampaniami fałszywych rekruterów, mającymi na celu instalację malware w firmach technologicznych i krypto za pośrednictwem ich własnych pracowników.

Cztery godziny, by opanować sytuację

Pieniądze wypłynęły szybko. Między 20:05 a 20:09 UTC pięć gorących portfeli wysłało 233,46 miliona XRP na adres atakujących. Następnie portfele na Solanie i Optimism przelały około 970 500 SOL i 44,2 miliona OP, a gorący portfel Binance przesłał 18 270 BTC.

Atakujący wykorzystali także skompromitowaną usługę podpisywania, by wywołać standard Ethereum EIP-7702 — wprowadzony w aktualizacji sieci Pectra w 2025 roku, pozwalający kontu delegować prawa wykonania do smart kontraktu bez ujawniania klucza — i przekazali kontraktowi kontrolowanemu przez atakujących częściową kontrolę nad gorącym portfelem Binance.

Zawieszenie wypłat nie zatrzymało tego ostatniego kanału. Atakujący złożyli wcześniej 50 transakcji podpisywania, aby ustanowić delegacje on-chain działające poza infrastrukturą wypłat Binance. Ponieważ portfel korzystał z obliczeń wielostronnych (multi-party computation), nie istniał pojedynczy klucz, którym można je cofnąć, i zespół musiał stworzyć procedurę na miejscu. Ostateczny nieautoryzowany transfer, 2 961,9 ETH, został rozliczony o 23:56 UTC, a Binance cofnęło delegację o 00:10 UTC 30 października.

Raport przyznaje się do tej luki. „Te wyzwania wydłużyły czas potrzebny na pełne zatrzymanie nieautoryzowanych transferów aktywów” — czytamy w nim, a firma dodaje, że przegląda zakres swojej polityki podpisywania oraz kontrole gorących portfeli.

Odpływy, a potem sygnały stabilizacji

Klienci wycofali 10,97 miliarda dolarów w ciągu 46 godzin od ponownego otwarcia wypłat w niedzielę, co dało netto odpływ 5,28 miliarda dolarów — wynika z danych, które Teng udostępnił we wtorek. O 03:00 UTC godztowe wpłaty przewyższyły wypłaty — zmiana, którą Teng nazwał znakiem stabilizacji. We wtorek Binance otworzyło ponownie wypłaty dla dziesiątek kolejnych aktywów w dziewięciu sieciach.

Naruszenie stało się także tematem dyskusji w Waszyngtonie. Przewodniczący CFTC Michael Selig stwierdził, że skok „potwierdza dokładnie nasz punkt” dotyczący potrzeby federalnej ścieżki rejestracji dla giełd offshore, a we wtorek agencja dopuściła permutyfuty na akcje na rynkach regulowanych w USA, kontynuując zapoczątkowany w maju od pippermufutem bitcoinowym Kalshi proces „onshoringu”.

Binance poinformowało, że odbudowało system portfeli oraz wewnętrzne narzędzie AI w nowych środowiskach, wymieniło dotknięte urządzenia, cofnęło poświadczenia inżynierów i rozszerzyło wykrywanie anomalii behawioralnych. Zleciło niezależny przegląd, zwiększa wydatki na bezpieczeństwo punktów końcowych i środowisk deweloperskich oraz planuje — we współpracy z firmami zewnętrznymi — fundusz badawczy poświęcony bezpieczeństwu AI. Jak szybko pozostałe skradzione tokeny zostaną wykupione, czy zamrożone aktywa uda się odzyskać i jakie wnioski przyniesie niezależny przegląd — to bezpośrednie kwestie do obserwowania. Niektóre szczegóły techniczne, jak zaznaczono w raporcie, pozostaną niejawne.

Ten artykuł pierwotnie ukazał się w Bitcoin Magazine, autorem jest Micah Zimmerman.