Zadanie programistyczne od potencjalnego pracodawcy wyglądało jak zwykły element rozmowy kwalifikacyjnej. W rzeczywistości był to jeden z etapów wielomiesięcznego cyberataku, który zakończył się kradzieżą 6,3 mld USD z Binance — i rodzi nowe pytania o to, jak giełdy kryptowalut bronią się przed zagrożeniami wymierzonymi w ich własnych pracowników.

Według raportu po zdarzeniu opublikowanego przez Binance we wtorek kradzież była częścią skoordynowanej kampanii, która wykorzystała zarówno podatności ludzkie, jak i wewnętrzne systemy bezpieczeństwa. Ustalenia giełdy pokazują, jak hakerzy stopniowo wkradali się do infrastruktury portfeli spółki przed kradzieżą 29 października.

Jak hakerzy wniknęli do Binance

Kampania rozpoczęła się w czerwcu, gdy inżynier pobrał zainfekowany pakiet oprogramowania podczas konfiguracji narzędzia AI do kodowania — zgodnie z raportem bezpieczeństwa Binance. Chociaż giełda wykryła złośliwe oprogramowanie i wymieniła dotknięte urządzenie, atakujący zdążyli już zebrać informacje o zespole portfelowym Binance. Ten epizod pokazuje, jak infekcja może mieć znaczenie nawet po jej wykryciu: wymiana urządzenia usunęła złośliwe oprogramowanie, ale nie rozpoznanie, które atakujący już przeprowadzili.

We wrześniu atakujący podszywający się pod rekruterów zaatakowali innego inżyniera oprogramowania i nakłonili pracownika do pobrania złośliwego pliku przebranego za zadanie programistyczne. Złośliwe oprogramowanie przejęło kontrolę nad służbowym komputerem inżyniera i ominęło zabezpieczenia giełdy.

20 października atakujący wykorzystali zainfekowaną maszynę oraz wewnętrzne narzędzie AI, aby uzyskać dostęp do systemów dwóch kolejnych inżynierów, zdobywając dane uwierzytelniające do wdrożeń, które pozwoliły im 29 października zainstalować złośliwe oprogramowanie w infrastrukturze portfeli Binance.

Napastnicy dotarli następnie do wewnętrznej usługi podpisywania transakcji portfelowych giełdy, która autoryzuje transakcje kryptowalutowe, co umożliwiło im przenoszenie środków poza standardowym procesem wypłat. Dostęp na tym poziomie oznaczał, że środki mogły przemieszczać się przy wyłączonych z obiegu zwykłych kontrolach wypłat giełdy — ta sama dynamika pozwoliła później na kontynuowanie transferów nawet po zawieszeniu wypłat przez Binance.

„To nie był jeden błąd ani jedno włamanie — to była kampania trwająca wiele miesięcy” — powiedział współdyrektor generalny Binance Richard Teng we wtorkowym poście na X.

Źródło: Richard Teng na X

EIP-7702 wykorzystany do utrzymania przepływu transferów

Binance poinformował, że atakujący wykorzystali również mechanizm EIP-7702 Ethereum, który pozwala portfelom delegować uprawnienia do transakcji na smart kontrakty. To pozwoliło na kontynuowanie nieautoryzowanych transferów nawet po zawieszeniu wypłat przez giełdę. System portfeli oparty na obliczeniach wielostronnych (MPC), który rozprasza kontrolę nad podpisywaniem transakcji, utrudnił odwołanie tych uprawnień. Razem te dwa rozwiązania oznaczały, że zatrzymanie nieautoryzowanych transferów wymagało wycofania uprawnień w całym systemie portfeli, a nie odcięcia pojedynczego punktu kontroli.

Włamanie dotknęło aktywa cyfrowe o wartości około 6,3 mld USD, przy czym według najnowszych wyliczeń Binance 2,85 mld USD zostało zamrożone lub przechwycone. Giełda oświadczyła, że pokryje straty we własnym zakresie, zamiast przenosić je na klientów, i że na dzień 31 października uzupełniła 98% dotkniętych aktywów tokenowych. Te liczby stanowią najnowszy migawkowy stan giełdy, a nie ostateczne rozliczenie, więc kolejne aktualizacje dotyczące aktywów poza zamrożonymi lub przechwyconymi 2,85 mld USD — oraz tego, czy uzupełnienie przekroczy 98% — ukształtują ostateczne rozliczenie włamania.

Atak — największe włamanie w historii kryptowalut — został przypisany północnokoreańskim hakerom przez Federalne Biuro Śledcze (FBI). We wtorek Kim Yo Jong, siostra północnokoreańskiego przywódcy Kim Dzong Una, zaprzeczyła udziałowi swojego kraju, twierdząc, że przypisanie ataku przez FBI miało motywację polityczną i miało naruszyć międzynarodową pozycję Korei Północnej. Te oświadczenia pozostawiają obie wersje w publicznym sprzeczności — przypisanie przez FBI i zaprzeczenie z Pjongjangu pozostają nieuzgodnione.

Binance informuje o zablokowaniu 57 zagrożeń cybernetycznych w tym roku

Oddzielnie współzałożycielka Binance Yi He poinformowała we wtorek, że zespół bezpieczeństwa giełdy wykrył i zapobiegł 57 podejrzewanym zagrożeniom cybernetycznym powiązanym z Koreą Północną w 2026 roku, w tym fałszywym rozmowom kwalifikacyjnym, złośliwym pakietom oprogramowania i próbom inżynierii społecznej mającym na celu kradzież danych uwierzytelniających lub instalację złośliwego oprogramowania. Wynik za 2026 rok wskazuje, że metody stojące w centrum tego włamania — fałszywe podejścia rekruterów, zainfekowane pakiety i próby pozyskiwania danych uwierzytelniających — były powtarzającymi się wzorcami w danych o zagrożeniach Binance, a nie zdarzeniami jednorazowymi.

„Przechwyciliśmy wiele z nich, ale koszt niepowstrzymania choć jednego był dotkliwy — a to nigdy nie powinno się wydarzyć” — powiedziała.

Ten artykuł został pierwotnie opublikowany przez Cointelegraph.