Binance ujawniło szczegóły rekordowego ataku hakerskiego, w którym skradziono kryptowaluty warte około 6,3 mld dol. Do wejścia do systemów giełdy kryptowalut wykorzystano… fałszywą rekrutację na stanowisko programisty.
29 października giełda kryptowalut Binance padła ofiarą największej w historii kradzieży aktywów. Hakerom z Korei Północnej udało się wykraść kryptowaluty o wartości około 6,3 mld dol. – lub jak kto woli, około 24,7 mld zł. Jednak jak mogło dojść do tego typu sytuacji? Czy hakerzy z Korei Północnej posiadają nadzwyczaj zaawansowane maszyny i oprogramowanie pozwalające na przebicie się przez najbardziej zaawansowane zachodnie systemy bezpieczeństwa? Nie, jest znacznie gorzej. Całą sytuację miał spowodować ciąg stosunkowo prostych działań, których początkiem było fałszywe ogłoszenie o pracę i złośliwe oprogramowanie ukryte w zadaniu rekrutacyjnym.
Fałszywa rekrutacja otworzyła hakerom drzwi do Binance
Jak wynika z dość długiego wpisu na profilu Binance na X, atak przygotowywano przez kilka miesięcy. Pierwszy etap rozpoczął się w czerwcu 2026 r., kiedy jeden z pracowników zespołu Wallet DevOps pobrał zmodyfikowaną wersję narzędzia Homebrew dla macOS, aby zainstalować popularne narzędzie AI wspomagające programowanie.
Oprogramowanie zawierało złośliwy kod umożliwiający przejęcie kontroli nad komputerem. Binance wykryło podejrzaną aktywność, wymieniło urządzenie i zmieniło powiązane z nim dane uwierzytelniające. Atakujący zdążyli jednak poznać stanowisko pracownika oraz informacje o innych osobach odpowiedzialnych za infrastrukturę portfeli kryptowalutowych giełdy.
We wrześniu hakerzy zastosowali kolejną metodę. Jeden z inżynierów Binance otrzymał przez legalną platformę rekrutacyjną propozycję udziału w procesie rekrutacyjnym. Rozmówcy przedstawiali się jako pracownicy fikcyjnej firmy, a jeden z nich podawał się choćby za jej prezesa. Całość została przygotowana tak, aby wzbudzić zaufanie kandydata. Oszuści przeprowadzili z nim rozmowy wideo i udostępnili profile w mediach społecznościowych zawierające prywatne zdjęcia oraz nagrania.
Pod koniec drugiej rozmowy inżynier otrzymał zadanie rekrutacyjne wymagające pobrania repozytorium z kodem na komputer służbowy. Pliki zawierały jednak złośliwe oprogramowanie, które uruchamiało się podczas konfiguracji projektu. Zastosowane techniki ukrywania kodu i omijania zabezpieczeń sprawiły, iż malware nie został wykryty przez używane wówczas narzędzia ochronne.
Wewnętrzne narzędzie AI pomogło przejąć kolejne komputery
Przejęcie jednego urządzenia nie zakończyło operacji. 20 października atakujący wykorzystali zainfekowany komputer oraz wewnętrzne narzędzie sztucznej inteligencji Binance, aby uzyskać dostęp do urządzeń dwóch kolejnych programistów odpowiedzialnych za portfele kryptowalutowe. Giełda nie ujawniła nazwy narzędzia ani dokładnego sposobu wykorzystania go przez przestępców.
Hakerzy odkryli również, iż jeden z pracowników miał na swoim komputerze zapisane dane dostępowe pozwalające uruchamiać nowe środowiska programistyczne na serwerach Binance. Dzięki nim mogli uzyskać dostęp do kolejnych elementów infrastruktury giełdy i przygotować następny etap ataku.
29 października przestępcy zalogowali się na komputer trzeciego programisty, wykorzystując dane uwierzytelniające skradzione wcześniej pierwszemu pracownikowi. Następnie wykorzystali przejęty komputer do uruchomienia własnego kodu w systemach Binance. Dzięki temu uzyskali możliwość ingerowania w zatwierdzanie przelewów z portfeli giełdy i mogli wyprowadzić zgromadzone w nich kryptowaluty.
W kilka minut zniknęły miliardy dolarów
Właściwa kradzież rozpoczęła się 29 października. Atakujący uzyskali nieautoryzowany dostęp do wewnętrznej usługi podpisywania transakcji, która pozwalała inicjować transfery kryptowalut poza standardowym procesem wypłat.
Między godziną 20:05 a 20:09 UTC pięć tzw. gorących portfeli Binance, czyli cyfrowych portfeli stale połączonych z internetem i wykorzystywanych do obsługi bieżących transakcji giełdy przesłało na adres kontrolowany przez przestępców łącznie 233,46 mln XRP. Kolejne transfery objęły około 970,5 tys. SOL, 44,2 mln OP oraz 18 270 BTC.
Hakerzy wykorzystali również mechanizm EIP-7702 dostępny w sieci Ethereum. Pozwala on kontom delegować określone uprawnienia do wykonywania operacji inteligentnym kontraktom bez ujawniania klucza prywatnego. W przypadku ataku posłużył do przyznania złośliwemu kontraktowi częściowych uprawnień do wykonywania operacji na gorącym portfelu Binance.
Przestępcy przesłali 50 transakcji podpisujących, aby ustanowić nieautoryzowane uprawnienia. Dzięki temu mogli kontynuować wyprowadzanie środków choćby po wyłączeniu standardowej infrastruktury wypłat. Binance wykryło nietypowe transfery i zawiesiło wypłaty. Firma rozpoczęła również współpracę z partnerami branżowymi w celu zamrożenia skradzionych aktywów. Samo wyłączenie wypłat nie wystarczyło jednak do zatrzymania wszystkich transakcji, ponieważ nieautoryzowane uprawnienia działały niezależnie od standardowej infrastruktury giełdy.
Dodatkowym utrudnieniem była technologia Multi-Party Computation (MPC), wykorzystywana do autoryzacji operacji portfela. Binance musiało opracować specjalną procedurę cofnięcia nieautoryzowanych uprawnień bez dostępu do pojedynczego klucza prywatnego. Ostatni nieautoryzowany transfer, obejmujący 2961,9 ETH, został sfinalizowany o godzinie 23:56 UTC.
Binance pokrywa straty po rekordowym ataku
Według informacji przekazanych przez giełdę w ataku ucierpiały aktywa o wartości około 6,34 mld dol. Binance zapewniło, iż użytkownicy nie poniosą finansowych konsekwencji incydentu, a firma pokryje straty z własnych środków i funduszy zabezpieczających.
Już 31 października przedsiębiorstwo informowało o uzupełnieniu 98 proc. utraconych aktywów. Pozostałą część stanowiły mniej płynne kryptowaluty, których zakup wymagał dodatkowego czasu. Około 2,85 mld dol. zostało natomiast zamrożonych lub przechwyconych dzięki współpracy z innymi podmiotami.
Binance zapowiedziało przebudowę infrastruktury portfeli, wymianę urządzeń dotkniętych atakiem, unieważnienie skradzionych danych uwierzytelniających oraz wzmocnienie kontroli dostępu. Firma zamierza również zwiększyć inwestycje w systemy wykrywania podejrzanych zachowań wykorzystujące sztuczną inteligencję.
Odpowiedzialność za atak przypisano Korei Północnej. Takie ustalenia przedstawiło FBI, a podobne wnioski wcześniej publikowały firmy zajmujące się analizą transakcji kryptowalutowych, w tym Chainalysis i TRM Labs. Pjongjang odrzucił oskarżenia.
Według Binance w samym 2026 r. firma zidentyfikowała i powstrzymała 57 prób cyberataków powiązanych z północnokoreańskimi grupami hakerskimi. Stosowane przez nie metody obejmowały między innymi fałszywe rekrutacje, złośliwe wersje popularnych narzędzi programistycznych i fałszywe aplikacje do wideokonferencji.
Zdjęcie główne: Bangla press / Shutterstock
