Ilya Lichtenstein twierdzi, że taktyka zastosowana we włamaniu do gorącego portfela Binance 29 października 2026 roku przypominała działania kojarzone z hakerami z Korei Północnej. Jego ocena towarzyszy relacji samego Binance o intruzji, która łączyła fałszywe rekrutacje, zainfekowane pobrania i przejęte wewnętrzne narzędzia AI, w ataku obejmującym aktywa o wartości 6,34 miliarda dolarów.

Prezydent USA Donald Trump oświadczył, że śledczy badają możliwe powiązanie z Koreą Północną. Ani to oświadczenie, ani ocena Lichtensteina nie potwierdzają udziału Korei Północnej. Według CNBC współdyrektor Binance Richard Teng nie oskarżył wprost Korei Północnej, ale potwierdził, że FBI powiązało włamanie z północnokoreańskimi hakerami związanymi z grupą TraderTraitor.

Lichtenstein zasugerował, że phishing pracowników mógł stanowić punkt wejścia do giełd kryptowalut, zamiast bezpośredniego ataku na ich strony internetowe. Ta sugestia nie była potwierdzeniem drogi wykorzystanej w tym incydencie. Obserwacja wskazuje, na czym koncentruje się bezpieczeństwo giełd: urządzenia pracowników, narzędzia wewnętrzne i systemy przemieszczające środki.

Wielomiesięczna infiltracja poprzedziła włamanie do gorącego portfela

Relacja Binance opisuje etapowaną intruzję obejmującą inżynierów i systemy autoryzujące transakcje portfela. Teng powiedział, że atakujący zdobywali dostęp przez wiele miesięcy, odrzucając pogląd, że laptop jednego pracownika stanowił pojedynczy punkt awarii.

Raport bezpieczeństwa Binance wywodzi przygotowania od czerwca, kiedy inżynier pobrał zmanipulowaną instalację Homebrew podczas poszukiwania narzędzia AI do kodowania. Giełda wykryła podejrzaną aktywność, wymieniła urządzenie i zmieniła dane uwierzytelniające, ale stwierdziła, że rola inżyniera i jego współpracownicy byli już narażeni. Homebrew to szeroko używany menedżer pakietów, a ten incydent pokazuje, jak rutynowa instalacja staje się punktem wejścia, gdy jej źródło zostanie zmanipulowane.

We wrześniu, jak powiedział Teng, atakujący podszywający się pod rekruterów przeprowadzili innego inżyniera przez rozmowy kwalifikacyjne i zadanie programistyczne zawierające ukryte złośliwe oprogramowanie. Następnie, korzystając z wewnętrznych narzędzi AI, dotarli do systemu autoryzującego transakcje portfela. Ta sekwencja — etapowany proces rekrutacji, ukryte złośliwe oprogramowanie, ruch lateralny przez narzędzia wewnętrzne w kierunku systemu autoryzującego transakcje portfela — odpowiada opisanemu przez Lichtensteina schematowi.

Teng powiedział, że Binance uzupełnił 98% dotkniętych aktywów i dokupuje pozostałe, mniej płynne zasoby. Po wznowieniu działalności giełdy 1 listopada klienci wypłacili 3,6 miliarda dolarów. Binance zobowiązał się pokryć straty klientów i odbudował dotknięty system portfela oraz wewnętrzne narzędzie AI. Te liczby oddają skalę odtwarzania: uzupełnienie wielomiliardowej luki, obsłużenie intensywnych wypłat przy ponownym otwarciu i odbudowa naruszonej infrastruktury.

Lichtenstein podkreślił, że pierwsze 48 godzin po ataku są kluczowe dla śledzenia skradzionych środków. Sztuczna inteligencja może przyspieszać transfery po kradzieży, co zwiększa pilność wczesnego śledzenia.

Jak potoczą się badania śledczych nad możliwym powiązaniem z Koreą Północną i kiedy Binance zakończy skupowanie pozostałych, mniej płynnych zasobów — to kolejne wydarzenia, które warto obserwować.

Ten artykuł powstał przy wsparciu sztucznej inteligencji i został sprawdzony przez zespół redakcyjny.