Według organizacji non-profit zajmującej się cyberbezpieczeństwem Security Alliance (SEAL) hakerzy powiązani z Koreą Północną utrzymywali dostęp do systemów Binance przez około osiem tygodni przed przeprowadzeniem 29 października exploitu o wartości 6,3 mld dolarów. Binance twierdzi jednak, że szersza kampania ataków rozpoczęła się w czerwcu, a hakerzy uzyskali dostęp do dodatkowych urządzeń infrastruktury portfelowej dopiero 20 października.

W raporcie z czwartku SEAL napisała, że grupa hakerska przejęła we wrześniu urządzenie inżyniera oprogramowania Binance za pośrednictwem fałszywej kampanii rekrutacyjnej, dodając, że aktorzy zagrożeń mogą poruszać się po skompromitowanych systemach z „wysokim stopniem skrytości przez dłuższe okresy czasu” po początkowym włamaniu. Ośmiotygodniowe szacunki SEAL odnoszą się do okna włamania od września do października, a nie do początku szerszej kampanii opisanej przez Binance.

Cointelegraph skontaktowało się z Binance w celu wyjaśnienia chronologii wydarzeń. Rzecznik powiedział, że początkowe przejęcia urządzeń nastąpiły w czerwcu i wrześniu, ale atakujący uzyskali dostęp potrzebny do dotarcia do operacji portfelowych dopiero 20 października.

„Jak opisano w naszym komunikacie, początkowe przejęcia urządzeń nastąpiły w czerwcu i wrześniu, ale atakujący uzyskali dostęp potrzebny do dotarcia do operacji portfelowych dopiero 20 października, gdy wykorzystali tę pozycję do poruszania się w poprzek systemu i uzyskania dostępu do dodatkowych urządzeń oraz poświadczeń” — powiedział rzecznik.

SEAL zidentyfikowała co najmniej cztery „przykrywkowe firmy” powiązane z fałszywymi kampaniami rekrutacyjnymi TraderTraitor w 2026 roku, w tym citalab.net, citalab.com, bitfit.io i oddium.io — domeny, które przedstawiały te podmioty jako legalnych pracodawców wobec ich celów.

Binance prześledziło kampanię ataków do czerwca, gdy urządzenie innego pracownika zostało skompromitowane po tym, jak pracownik pobrał zmanipulowaną instalację Homebrew (otwartego menedżera pakietów służącego do instalacji oprogramowania na macOS i Linux), próbując zainstalować narzędzie AI do kodowania, jak wcześniej informowano. Giełda wykryła incydent, wymieniła urządzenie i dokonała rotacji powiązanych poświadczeń. Jednak atakujący zdobyli już informacje o pracownikach zajmujących się infrastrukturą portelową Binance, zgodnie z wtorkowym postem na X.

20 października atakujący wykorzystali skompromitowany komputer inżyniera, którego celem ataku był we wrześniu, oraz wewnętrzne narzędzie AI, aby przejąć kontrolę nad urządzeniami dwóch inżynierów infrastruktury portfelowej, zgodnie z informacjami od Binance. Następnie odkryli token uprawnień wdrożeniowych, który został wykorzystany podczas exploitu 29 października.

Analiza SEAL wskazała na podobne wieloetapowe wzorce włamań w innych głośnych atakach na kryptowaluty. Organizacja oszacowała, że atakujący mieli około sześciu tygodni dostępu przed hakiem Bitget o wartości 388 mln dolarów, sześć tygodni dostępu do LayerZero przed podatnością, która doprowadziła do exploitu Kelp DAO o wartości 293 mln dolarów, oraz około trzech tygodni przed przeprowadzeniem exploitu AFX o wartości 24 mln dolarów. Łącznie te przypadki pokazują, że długi czas przebywania w systemie między początkowym dostępem a wykonaniem ataku jest powtarzającą się cechą poważnych włamań na rynku kryptowalut, a nie anomalją wyjątkową dla Binance.

Amerykańskie Federalne Biuro Śledcze przypisało atak północnokoreańskiemu TraderTraitor w raporcie z soboty. Kim Yo Jong, siostra północnokoreańskiego przywódcy Kim Dzong Una, odrzuciła te zarzuty, pozostawiając kwestię odpowiedzialności za exploit publicznie sporną między Waszyngtonem a Pjongjangiem. Przy całkowicie sprzecznych relacjach obu rządów dalsze ujawnienia ze strony Binance, SEAL lub amerykańskich agencji mogą dodać szczegółów na temat przebiegu włamania między czerwcem a październikiem.

Powiązane: Hak Binance może być „tymczasowym niepowodzeniem” dla kryptowalut, mówi Pandl z Grayscale