Binance poinformował, że jego zespół ds. bezpieczeństwa wykrył i zatrzymał w 2026 roku 57 podejrzanych przypadków cyberzagrożeń powiązanych z Koreą Północną, zanim jeden atak się udał — atak, w którym wykorzystano fałszywą rozmowę kwalifikacyjną, a w konsekwencji opróżniono gorące portfele giełdy, czyli portfele połączone z internetem, za pośrednictwem których giełdy przetwarzają wypłaty użytkowników.

W swoim wstępnym raporcie na temat naruszenia, opublikowanym na X, Binance oświadczył, że dotknięte zostało około 6,34 miliarda dolarów w aktywach cyfrowych, a około 2,85 miliarda dolarów zostało zamrożonych lub przechwyconych. Giełda zadeklarowała, że pokryje straty zamiast przenosić je na użytkowników, i że 98% dotkniętych aktywów tokenowych zostało uzupełnionych — według jej zapewnienia figura ta jest możliwa do zweryfikowania na stronie Proof of Reserves.

Dla porównania, największą dotychczas odnotowaną kradzieżą kryptoaktywów było naruszenie z lutego 2025 roku w giełdzie Bybit, o wartości około 1,5 miliarda dolarów, przypisane przez Bybit hakerom powiązanym z Koreą Północną.

Powołując się na najnowsze informacje Federalnego Biura Śledczego (FBI), Binance przypisał incydent Korei Północnej.

Rok Ukierunkowanych Prób Ataku

Według giełdy te 57 przypadków odzwierciedla trwałe zagrożenie ze strony podmiotów sponsorowanych przez państwo, wymierzonych w branżę kryptowalut. Obserwowane techniki obejmowały fałszywe rozmowy kwalifikacyjne, złośliwe oprogramowanie podszywające się pod popularne narzędzia deweloperskie, zhakowane pakiety oprogramowania i rozszerzenia przeglądarki, fałszywe aplikacje do wideokonferencji oraz kampanie inżynierii społecznej mające na celu kradzież poświadczeń lub wdrożenie złośliwego oprogramowania zdalnego dostępu.

Ten schemat oparty na rekrutacji pokrywa się z publicznymi ostrzeżeniami, które amerykańskie agencje wydawały w ostatnich latach, wskazując, że osoby powiązane z Koreą Północną podszywają się pod rekruterów lub pracodawców, aby infekować komputery celów złośliwym oprogramowaniem.

Binance opisał naruszenie jako wieloetapową kampanię, a nie pojedyncze izolowane włamanie czy prostą próbę phishingu. Pierwszy sygnał ostrzegawczy sięga czerwca, kiedy inżynier DevOps zespołu portfeli pobrał zmodyfikowaną instalację Homebrew podczas poszukiwania narzędzia AI do programowania. Binance oświadczył, że wykrył anomalię, wymienił urządzenie i zmienił powiązane poświadczenia — jednak rola inżyniera oraz jego koledzy z zespołu portfeli byli już znani atakującemu.

Jak Przebiegała Rozmowa Kwalifikacyjna

We wrześniu drugi inżynier, którego profil na platformie rekrutacyjnej odwoływał się do jego doświadczenia w Binance, został zaatakowany przez osobę podszywającą się pod dyrektora projektu. Nastąpiła pierwsza runda wideorozmowy z rzekomym przedstawicielem HR, który udostępnił konto w mediach społecznościowych ze zdjęciami i filmami osobistymi, aby zbudować zaufanie. Binance opisał to jako bardziej zwodnicze niż wcześniejsze podejścia inżynierii społecznej.

Druga runda odbyła się na popularnej aplikacji czatowej z osobą podającą się za CEO fikcyjnej firmy. Pod koniec rozmowy inżynier został poproszony o pobranie „zadania” na swój komputer służbowy. Zawarty w nim kod uruchomił się podczas instalacji i otworzył kanał do serwera kontrolowanego przez atakującego. Binance stwierdził, że złośliwe oprogramowanie typu zero-day nie zostało wówczas wykryte przez jego narzędzia bezpieczeństwa punktów końcowych.

Atakujący następnie wykorzystał zhakowany komputer oraz wewnętrzne narzędzie AI, aby przejąć kontrolę nad dwoma innymi inżynierami portfeli. Binance oświadczył, że token uprawnień do wdrażania kontenerów znaleziony na maszynie jednego z inżynierów został użytego w dniu ataku do wdrożenia kontenera i uruchomienia złośliwego skryptu.

Dlaczego Powstrzymanie Ataku Zajęło Czas

Binance oświadczył, że atakujący wykorzystali usługę podpisywania do eksploatacji mechanizmu autoryzacji Ethereum EIP-7702 — funkcji konta wprowadzonej w aktualizacji Pectra z 2025 roku, pozwalającej standardowym kontom użytkowników działać z funkcjonalnością smart kontraktów — która umożliwiała dalsze przemieszczanie aktywów nawet po zawieszeniu wypłat. Ponieważ gorący portfel korzystał z obliczeń wielostronnych (MPC), nie istniał pojedynczy klucz prywatny, który mógłby cofnąć złośliwe autoryzacje, więc zespół opracował specjalną procedurę, która zajęła dodatkowy czas.

Giełda oświadczyła, że od tego czasu odbudowała dotknięty system portfeli oraz wewnętrzne narzędzie AI, wymieniła dotknięte urządzenia, wycofała powiązane poświadczenia i wzmocniła wykrywanie anomalii. Planuje również niezależny przegląd bezpieczeństwa, a niektóre szczegóły techniczne pozostaną poufne.

Binance opisał swój raport jako wstępny, co oznacza, że jego ustalenia są nadal przedmiotem niezależnego przeglądu — a wynik planowanego przeglądu oraz ewentualne zaktualizowane dane o stratach i odzyskanych środkach pozostają szczegółami, którymi warto będzie się zajmować.