Binance opisuje kradzież 6,34 mld dol. Zaczęło się od fałszywej rozmowy kwalifikacyjnej

Co według Binance się stało

Binance opublikowała raport z incydentu 3 listopada. Relacja zaczyna się w czerwcu 2026 r., kiedy inżynier DevOps ds. portfela, którego firma nazywa Inżynierem A, pobrał zmodyfikowaną instalację Homebrew popularnego narzędzia AI do kodowania. Znalazł ją przez wyszukiwarkę. Binance podała, że wykryła anomalię, wymieniła urządzenie i unieważniła dane dostępowe. Podała też, że informacje o roli Inżyniera A i o jego kolegach z zespołu infrastruktury portfela trafiły do atakującego.

We wrześniu 2026 r. ktoś podający się za dyrektora projektu w fikcyjnej firmie skontaktował się z drugim inżynierem, Inżynierem B, na legalnej platformie do szukania pracy. Potem odbyły się dwie rozmowy. Pierwsza to wideorozmowa z rzekomą przedstawicielką działu HR, która udostępniła prywatne konto w mediach społecznościowych, żeby zbudować zaufanie. Druga odbyła się przez komunikator z osobą podającą się za prezesa firmy. Pod koniec kazał Inżynierowi B pobrać zadanie z repozytorium kodu.

Repozytorium zawierało złośliwe oprogramowanie, które uruchomiło się w trakcie instalacji. Binance określiła je jako własne i wówczas niewykrywane przez narzędzia chroniące stacje robocze. Zastąpił legalny komponent narzędzia deweloperskiego złośliwą wersją, a w trakcie działania usuwał po sobie ślady.

„To nie było pojedyncze, odosobnione włamanie ani zwykły atak phishingowy”, napisała firma w raporcie.

20 października atakujący użyli zainfekowanego komputera Inżyniera B i wewnętrznego narzędzia AI, żeby przejąć kontrolę nad komputerami Inżyniera A i jeszcze jednego inżyniera portfela, Inżyniera C, podał The Hacker News. 29 października między 17:15 a 19:56 atakujący zalogował się na komputer Inżyniera C, użył danych dostępowych ukradzionych Inżynierowi A, uruchomił kontener i wywołał złośliwy skrypt. Wired podał, że hakerzy przelali miliardy w około 20 minut.

Dlaczego usługa podpisywania miała znaczenie

Skrypt dotarł do wewnętrznej usługi podpisywania transakcji w portfelu, czyli systemu, który autoryzuje przelewy. Dzięki temu atakujący mogli inicjować przelewy poza normalną procedurą wypłat. Richard Teng, współprezes Binance, odrzucił tezę, że laptop jednego pracownika był jedynym punktem awarii. Teng powiedział CNBC, że atakujący „spędzili miesiące, budując sobie drogę do środka”.

BleepingComputer opisał drugi mechanizm. Atakujący wykorzystali funkcję autoryzacji EIP-7702 w Ethereum. To pozwoliło im dalej przenosić środki po tym, jak Binance zawiesiła wypłaty. Binance przyznała, że autoryzowane transakcje trwały po zamrożeniu.

Binance podała, że nie znalazła dowodów na wyciek klucza prywatnego portfela. Zapowiedziała pokrycie strat z funduszu Secure Asset Fund for Users i z własnych środków.

Atakujący zabrali środki z 11 łańcuchów bloków, a 82% z nich znajdowało się w Ethereum i Bitcoinie, podał The Hacker News. Z 6,34 mld dol. objętych atakiem 2,85 mld dol., czyli około 45%, zamrożono lub przechwycono. Tether, Circle, Ripple, Arbitrum i Optimism zamroziły te 2,85 mld dol., podał The Hacker News. Same Tether i Circle zamroziły ponad 1,567 mld USDT i 800 mln USDC, a Rada Bezpieczeństwa Arbitrum około 30,5 mln dol.

Sprzątanie i pieniądze

Do 31 października Binance uzupełniła 98% objętych atakiem aktywów wartych 6,34 mld dol., podał BleepingComputer. Teng powiedział CNBC 3 listopada, że giełda wciąż kupuje brakujące, mniej płynne aktywa.

Do 3 listopada giełda odbudowała dotknięty atakiem system portfela i wewnętrzne narzędzia AI. Wymieniła urządzenia i unieważniła przejęte dane dostępowe. Zakończyła też rozszerzone skanowanie komputerów pracowników. Wypłaty wracały etapami. Binance podała, że zaczęła je przywracać etapami o 6:00 czasu UTC 1 listopada, podał The Hacker News. Teng powiedział CNBC, że niezależny ekspert przejrzy „wszystko, co zrobiliśmy”.

Korea Północna i sumy

31 października FBI przypisało kradzież powiązanej z Koreą Północną grupie TraderTraitor. Binance sama nie wymienia TraderTraitor, powołując się na ustalenia FBI. Twierdzi, że jej zespół bezpieczeństwa wykrył i udaremnił 57 podejrzanych przypadków powiązanych z Koreą Północną w 2026 r. Elliptic podała, że ten jeden incydent niemal podwaja łączną sumę kryptoaktywów skradzionych przez Koreę Północną, którą szacuje na ponad 6,5 mld dol. w ostatnich latach. Zgadza się to z liczbami: łup wart 6,34 mld dol. jest bliski wcześniejszej sumie, więc łączna wartość byłaby mniej więcej dwukrotnie wyższa.

Łup przyćmiewa kradzież z Bybit z lutego 2025 r., którą The Hacker News wycenił na 1,46 mld dol. Wired podał, że TraderTraitor ukradła wcześniej ponad 1,5 mld dol. w osobnym ataku w zeszłym roku.

Binance i CNBC podają stratę na 6,34 mld dol. i tę liczbę stosuje ten tekst. The Hacker News podał 6,43 mld dol. Chainalysis szacowała około 5,912 mld dol. na moment kradzieży i nazwała ją niemal czterokrotnie większą od kolejnego największego napadu.

Co dalej

Binance twierdzi, że pracuje bez przerwy z organami ścigania i partnerami z branży nad wyśledzeniem i zamrożeniem pozostałych środków. FBI podało, że spodziewa się, iż atakujący zamienią skradzione aktywa głównie na Ethereum. Potem mieliby je prać przez DeFi i usługi natychmiastowej wymiany.

Wypłaty będą wracać stopniowo, w miarę kończenia kontroli.