Binance ujawniło kulisy ataku. To była najdroższa rozmowa rekrutacyjna w historii ludzkości

Największa na świecie giełda kryptowalut Binance opublikowała przed momentem pierwsze ustalenia wewnętrznego śledztwa w sprawie pamiętnego ataku hakerskiego z 29 października. Z raportu wynika, że rekordowy skok na kasę był finałem kampanii prowadzonej od wielu miesięcy, a wszystko zaczęło się od podrobionego oprogramowania i fałszywego procesu rekrutacyjnego. Giełda szacuje skalę strat z incydentu na około 6,34 miliarda dolarów. Zamrożono lub przechwycono 2,85 mld USD, czyli na razie mniej niż szacowaliśmy wcześniej. Brakujące tokeny Binance uzupełnia z własnej kieszeni dokupując je na wolnym rynku.

Binance padło ofiarą ulubionej strategii hakerów z Korei Płn

Pierwszy wyłom miał miejsce w czerwcu. Inżynier z zespołu utrzymującego infrastrukturę portfeli szukał w wyszukiwarce popularnego narzędzia AI do programowania po czym pobrał podrobioną wersję Homebrew, menedżera oprogramowania dla komputerów Mac. Działowi bezpieczeństwa udało się wychwycić nieprawidłowości, wymieniono mu komputer i zmieniono dane logowania. Napastnicy wiedzieli natomiast już w tym momencie kto w firmie odpowiada za portfele.

We wrześniu przyszła kolej na programistę, w którego profilu zawodowym (prawdopodobnie chodzi o LinkedIn) widniała praca w Binance. Przez platformę rekrutacyjną odezwał się do niego ktoś podający się za dyrektora projektu. Pierwsza rozmowa, z rzekomym pracownikiem działu kadr, odbyła się na wideo i była podparta materiałami które „miały budzić zaufanie”.

Druga toczyła się już w „popularnym komunikatorze” i zakończyła prośbą o pobranie zadania rekrutacyjnego na służbowy komputer. W repozytorium z kodem siedziało niestety ukryte złośliwe oprogramowanie wykorzystujące nieznaną wcześniej lukę (tzw. zero-day). Podmieniło element narzędzia programistycznego pyenv i połączyło się z serwerem napastników. System ochrony stacji roboczych niczego nie zauważył.

20 października hakerzy użyli zainfekowanego komputera i wewnętrznego narzędzia AI giełdy jako trampoliny. Przejęli komputery dwóch inżynierów od portfeli, w tym tego samego, któremu w czerwcu wymieniono sprzęt. U niego znaleźli token uprawniający do wdrażania kontenerów, czyli wydzielonych środowisk do uruchamiania aplikacji. 29 października między godziną 18:15 a 20:56 czasu polskiego zalogowali się na komputer drugiego inżyniera, posłużyli skradzionymi danymi, postawili kontener po czym uruchomili złośliwy skrypt. Przez wewnętrzną usługę podpisywania transakcji zlecali przelewy z pominięciem normalnej ścieżki wypłat. Binance nadal twierdzi, że klucze prywatne do portfeli nie wyciekły.

Jeden podpis w sieci Ethereum i cztery godziny bezradności

Pierwsze pieniądze wypłynęły z Binance o godzinie 21:05 czasu polskiego. W ciągu czterech minut pięć gorących portfeli giełdy, czyli tych podłączonych do sieci i obsługujących bieżące wypłaty, wysłało napastnikom 233,46 milionów XRP. Następnie wyprowadzono 970,5 tysięcy tokenów kryptowaluty SOL, 44,2 mln OP oraz 18270 sztuk BTC.

W sieci Ethereum hakerzy sięgnęli po mechanizm EIP-7702 (Ethereum Improvement Proposal, czyli propozycja ulepszenia Ethereum). Ten wszedł w życie w maju 2025 roku wraz z aktualizacją Pectra i pozwala zwykłemu portfelowi przekazać prawo wykonywania transakcji kodowi smart kontraktu. Według analizy firmy TRM Labs napastnicy przygotowali w sumie 50 podpisanych autoryzacji żeby trafić w bieżący numer kolejnej transakcji portfela (tzw. nonce). Wystarczyła jedna. Kontrakt hakerów otrzymał częściową władzę nad portfelem Binance14, opróżnił go, po czym zgarniał każdy token, który jeszcze zdążył na niego wpłynąć.

Wewnętrzny alarm o dużych przelewach włączył się szybko i giełda wstrzymała wypłaty. To jednak nie wystarczyło. Autoryzacje EIP-7702 działały w samym blockchainie, niezależnie od infrastruktury Binance, więc wyłączenie usług w niczym im nie zaszkodziło. Gorący portfel działał w technologii MPC (multi-party computation, obliczenia wielostronne), w której nie ma jednego klucza prywatnego, a więc nie było czym od ręki cofnąć uprawnień.

Potrzebna była specjalna procedura. Ostatni nieautoryzowany przelew, 2961,9 ETH, przeszedł tuż po północy, dokładnie o godzinie 0:56 w nocy. Dopiero o 1:10 w nocy czasu polskiego Binance podpisało nową autoryzację na adres zerowy i wyczyściło delegację. Richard Teng, współprezes giełdy, przyznał, że przekazanie uprawnień kontraktowi w ogóle nie przeszło przez standardowe procedury zatwierdzania. Zabezpieczenie, które miało utrudnić życie złodziejom, tym razem utrudniło je samej giełdzie.

Rachunek płaci giełda, klienci i tak wypłacają pieniądze

Binance wzięło straty na siebie. Do 31 października odtworzyli 98% skradzionych tokenów, co można sprawdzić na stronie z dowodem rezerw, i dokupili część z mniej płynnych aktywów (i nadal dokupują). Odłożyli na ten cel ponad 100 proc. potrzebnej kwoty i zapewniają, że klienci nie poniosą żadnych strat. Jak atak odbił się na rezerwach, pokazał dowód rezerw, który Binance opublikowało przed terminem.

Giełda zamknęła tunele którymi przedostali się hakerzy i przebudowała system portfeli w nowym środowisku. Od nowa postawiła też wewnętrzne narzędzie AI wraz z zasadami dostępu do niego, wymieniła zainfekowane urządzenia, unieważniła dane logowania i tokeny inżynierów oraz zaostrzyła kontrolę sprzętu pracowników. Całość prześwietlą niezależni eksperci od cyberbezpieczeństwa. Z raportu wynika też że tylko w tym roku zespół bezpieczeństwa wychwycił aż 57 podejrzanych prób związanych z Koreą Północną, od fałszywych ofert pracy po podrobione rozszerzenia przeglądarek i aplikacje do wideokonferencji. Ta jedna, której nie zatrzymano, kosztowała ponad 6 miliardów dolarów.

W komunikacie opublikowanym na platformie X Binance napisało wprost: do incydentu nie powinno było dojść, przeprosili klientów za niepokój, utrudnienia i niepewność. Zastrzegli zarazem że raport ma charakter wstępny, a część szczegółów technicznych pozostaje poufna.

Mimo zapewnień klienci wyciągnęli z giełdy miliardy dolarów. Według danych, które pokazał Teng, w ciągu 46 godzin do wtorku nad ranem wypłacili aż 10,97 miliardów dolarów, a wpłacili „zaledwie” 5,69 mld. Odpływ netto wyniósł 5,28 mld USD, nieco ponad 3% aktywów, którymi według Binance zarządza giełda (171 mld dolarów). Najgoręcej było 1 listopada; w ciągu tylko jednej godziny wypłaty przewyższyły wpłaty aż o 936 mln USD. 3 listopada o godzinie 4:00 czasu polskiego godzinowy bilans był już dodatni, o mniej więcej 10 mln USD. Założyciel giełdy Changpeng Zhao przyznał, że spodziewał się „ucieczki od 10 do 30 procent środków”.

Federalne Biuro Śledcze (FBI) 31 października przypisało atak północnokoreańskiej grupie TraderTraitor, uznawanej za odłam osławionego Lazarusa. We wtorek Pjongjang odpowiedział ustami Kim Jo Dzong, siostry Kim Dzong Una, która w oświadczeniu państwowej agencji KCNA nazwała oskarżenia polityczną prowokacją. Zhao ostrzega, że to nie koniec. Jego zdaniem sztuczna inteligencja ułatwia przestępcom zadanie, a branża musi się bronić tymi samymi narzędziami. Analitycy firmy Elliptic nie znaleźli jednak dowodów, by praniem skradzionych pieniędzy przez tysiące portfeli kierował agent AI.

Wszystko wskazuje raczej na zwykłe, zautomatyzowane skrypty.

Redakcja BitHub.pl poleca również:

Kolejna giełda kryptowalut okradziona! Atakujący wyprowadzili ogromne kwoty

Ponad pół miliarda mogło zniknąć z kont w Europie. Ktoś ukrywa kradzież?

Kryptowaluty na krawędzi. Dlaczego wybory w USA są tak ważne?