Fałszywa rozmowa o pracę pozwoliła hakerom ukraść 6,3 mld USD z giełdy Binance. Atakujący miesiącami infiltrowali giełdę, wykorzystując metody, przed którymi inne firmy z branży kryptowalut ostrzegały na długo przed tym incydentem.
3 listopada Binance ujawniło, że atak z 29 października rozpoczął się od dwóch inżynierów, których komputery zostały zainfekowane niezależnie od siebie.
Pierwszy incydent wydarzył się w czerwcu, gdy inżynier pobrał zmodyfikowany pakiet oprogramowania podczas poszukiwań narzędzia AI.
Binance wykryło infekcję, wymieniło komputer i zmieniło dane dostępowe. Jednak atakujący już wtedy zdobyli informacje o pracowniku oraz zespole odpowiedzialnym za portfele.
Wtedy pojawiły się fałszywe rozmowy rekrutacyjne.
Oszustwo rekrutacyjne kosztowało Binance ponad 6 mld USD
We wrześniu kolejnego inżyniera znalazli przez legalną platformę rekrutacyjną. Rzekomy pracodawca zorganizował wideorozmowy z osobą z działu HR i kimś udającym prezesa firmy.
W końcu inżynier otrzymał zadanie programistyczne. Pliki do pobrania zawierały złośliwe oprogramowanie, które ominęło zabezpieczenia komputera.
Do 20 października atakujący użyli zainfekowanego komputera i wewnętrznego narzędzia AI, by dotrzeć do kolejnych inżynierów Binance.
Następnie ukradli dane dostępowe do procesów wdrożeniowych i użyli ich do zainstalowania złośliwego oprogramowania w infrastrukturze portfeli Binance.
29 października pojawiły się fałszywe wypłaty. W ciągu kilku godzin skradziono około 6,3 mld USD.
Binance informuje, że zamroziło około 2,85 mld USD i pokryło 98% brakujących tokenów z własnych środków.
Inne giełdy już wcześniej ostrzegały przed tymi atakami
Metoda rekrutacyjna była już dobrze udokumentowana.
W maju 2025 roku giełda Kraken ujawniła próbę dołączenia podejrzanego północnokoreańskiego operatora do zespołu inżynierów.
Coinbase ujawnił równie podejrzany przypadek w sierpniu 2026 roku, opisując, jak nietypowa aktywność pozwoliła rozpoznać potencjalnie zhakowanego kontraktora.
Jeszcze bardziej wprost, Microsoft ostrzegł w marcu, że hakerzy powiązani z Koreą Północną używają fałszywych rozmów kwalifikacyjnych, by infekować komputery deweloperów.
Dlaczego Binance nie powstrzymało tego ataku?
Trzy kwestie bezpieczeństwa wymagają teraz odpowiedzi.
Po pierwsze, dlaczego pracownik mógł uruchomić niezweryfikowane zadanie programistyczne na komputerze podłączonym do firmowych systemów?
Po drugie, dlaczego infekcja z czerwca wpłynęła na dalszy przebieg sprawy nawet po jej wykryciu i usunięciu przez Binance?
Po trzecie, jak skradzione dane dostępowe do wdrożeń umożliwiły włamywaczom dostęp do systemów autoryzujących miliardowe wypłaty?
Binance nie wyjaśniło, które zabezpieczenia nie zadziałały, ani czy wcześniejsze ostrzeżenia z branży skutkowały dodatkowymi środkami ochrony.
FBI przypisało kradzież grupie TraderTraitor z Korei Północnej.
Dla Binance kluczowe pytanie brzmi: jak znane oszustwo rekrutacyjne doprowadziło do złamania zabezpieczeń chroniących miliardy aktywów klientów?
