Furtul de pe Binance: cum un interviu fals a dus la pierderea a 6 miliarde de dolari

Cum a început totul?

Primul spargere a avut loc în iunie. Un inginer DevOps de la Binance căuta online un instrument AI popular pentru programare.

A descărcat o versiune alterată a Homebrew, managerul de pachete folosit de dezvoltatori pe macOS. Schimbanța a fost detectată, dar măsurile luate — înlocuirea dispozitivului și rotirea credențialelor — s-au dovedit insuficiente. Atacatorii deja cunoșteră rolul angajatului și identificaseră colegii care lucrau la infrastructura de portofeluri a schimbanței.

A doua spargere a vizat un alt inginer de software. În septembrie, un actor malefic, prezentându-se ca director de proiect, l-a contactat printr-o platformă legitimă de joburi.

Trapa interviului fals!

Recrutorul fals a organizat două interviuri.

La primul, o reprezentantă de resurse umane fictivă a apărut pe un apel video, împărtășând un cont de social media cu poze și video personale pentru a-și construi credibilitate.

La al doilea interviu, un personaj care se pretindea a fi CEO-ul companiei a cerut inginerului să descărce o temă de programare. Repozitoriul conținea cod malefic care s-a executat la instalare. Malware-ul a înlocuit o componentă legitimă a managerului de mediu Python, „pvenv”, permițând executarea de comenzi și comunicarea cu un server controlat de atacator.

Exploatarea și furtul!

Instrumentele de securitate la nivel de endpoint nu au detectat malware-ul la momentul respectiv.

Aceste spargeri au început să dă roade pe 20 octombrie.

Attribuția FBI și răspunsul!

Atacatorii au folosit calculatoarele compromise din interviul fals și un instrument AI intern pentru a prelua controlul asupra a două dispozitive ale inginerilor de portofeluri. Au descoperit un token de permisiune pentru deploy de containere pe calculatorul țintei inițiale. Pe 29 octombrie, folosind credențialele furate, au accesat calculatorul unui alt inginer, au deploy-uit un container și au executat un script malefic.

Acest lucru le-a dat acces la serviciul intern de semnare a portofelurilor de la Binance, permițând tranzacții din cinci portofeluri fierbinți în afara procesului normal de retragere.

FBI a atribuit direct furtul Coreei de Nord pe 1 noiembrie.

Campanii similare?

Agenția a publicat informații care indică că Republica Populară Democrată a Coreei (Coreea de Nord) a fost responsabilă pentru furtul a peste 6 miliarde de dolari în active virtuale de pe schimbanța Binance, în jurul datei de 29 octombrie 2026.

FBI a denumit această activitate cibernetică malefică nord-coreeană „TraderTraitor”, a tweet-uit agenția. Pyongyang s-a distanțat de hack, descriind acuzațiile SUA ca „nonsens ridicol”. Binance a declarat că a înghețat sau a interceptat aproximativ 2,85 miliarde de dolari în active compromise. 98% din fondurile afectate au fost reîmbunătățite.

Aceste tactici seamănă cu campanii anterioare legate de Coreea de Nord. Atacatorii WaterPlum au folosit anterior anunțuri de joburi false și teste de programare.

Despre autor!

Au infectat peste 30.000 dispozitive în 100 țări și au compromise peste 7.000 portofeluri crypto în septembrie. O campanie din 2024, care ținta dezvoltatori Python cu oferte de joburi false și malware ascuns, a fost atribuită grupului Lazarus. Acesta a fost legat și de hack-ul din 2025 la Bybit, de 1,5 miliarde de dolari.

Atacatorii s-au prezentat ca angajatori potențiali și au trimis teste de programare care conțineau malware obfuscat în Base64. Executarea testelor putea infecta calculatoarele dezvoltatorilor, dând atacatorilor acces la distanță.

Newton Gitonga este un jurnalist de tehnologie care acoperă gadgeturi, hardware PC, inteligență artificială, centre de date și industria tehnologică în general. Interesul său pentru tehnologie a apărut devreme, desfacând lucruri acasă ca să vadă cum funcționează, adesea la frustrarea tatălui său. Curiozitatea sa s-a plătit, inclusiv câteva încercări eșuate de reparare a laptopurilor, dintre care unul a fost un Dell XPS cadou. A scris anterior pentru Notebookcheck, ZyCrypto, CoinCentral și Crypto News Flash.