Atacul Binance, explicat: un interviu de angajare fals, un instrument AI și 6,3 miliarde de dolari

Săptămâna trecută vă scriam despre atacul de 6,3 miliarde de dolari asupra Binance, cel mai mare furt de criptomonede din istorie. Atunci, singura explicație oficială era „laptopul compromis al unui inginer DevOps”. Pe 3 noiembrie, Binance a publicat primele concluzii ale investigației, iar povestea reală este mult mai lungă și mai instructivă: nu a fost o singură greșeală, ci o campanie care a durat cinci luni, începută cu o unealtă descărcată de pe un site fals și continuată cu un interviu de angajare inventat.

Mai jos este ce a confirmat Binance, ce a confirmat FBI și în ce stadiu este recuperarea banilor.

#Pe scurt: ce s-a schimbat față de primele informații

• Cauza nu a fost un singur laptop. Atacatorii au compromis, pe rând, calculatoarele a trei ingineri, iar unul dintre pași a trecut printr-un instrument AI intern al Binance.
• Punctul de pornire a fost un interviu de angajare fals, cu o „temă de programare” care conținea malware.
• FBI a confirmat atribuirea: atacul aparține grupării nord-coreene TraderTraitor. Coreea de Nord neagă.
• Retragerile au fost reluate pe 1 noiembrie, treptat, începând cu Bitcoin, Ethereum și BNB Smart Chain.
• Binance spune că a acoperit din banii proprii 98% din activele furate (situația la 31 octombrie). Aproximativ 2,85 miliarde de dolari au fost înghețate sau interceptate.

#Cum au intrat, pas cu pas

Reconstituirea de mai jos este cea publicată de Binance în raportul preliminar din 3 noiembrie. Binance a precizat că raportul tehnic complet urmează.

#Iunie: o unealtă descărcată de pe un site fals

Un inginer din echipa care administrează portofelele Binance căuta un instrument popular de programare asistată de AI. A ajuns la o versiune falsificată a programului de instalare Homebrew (un utilitar foarte folosit pe Mac) și a instalat-o.

Binance a detectat infecția, a înlocuit laptopul și a schimbat parolele. Era însă prea târziu pentru un lucru: atacatorii aflaseră deja ce rol avea inginerul și cine mai lucra în echipa de portofele. Atacul propriu-zis abia începea.

#Septembrie: interviul de angajare fals

Folosind informațiile adunate, atacatorii au contactat un alt inginer software al Binance, printr-o platformă legitimă de recrutare. Au urmat două interviuri: unul cu o falsă persoană de la resurse umane, care avea chiar un cont de social media cu fotografii și filme personale ca să pară credibilă, și unul cu „directorul general” al unei firme inexistente.

La final, inginerul a primit o temă de programare de descărcat și rulat. Codul malițios se executa chiar în timpul instalării proiectului, înlocuia o componentă a unui instrument de dezvoltare cu o versiune modificată și comunica cu un server controlat de atacatori. Binance recunoaște că, la acel moment, soluțiile sale de protecție a calculatoarelor nu l-au detectat.

#20 octombrie: instrumentul AI intern devine „trambulină”

De pe calculatorul infectat, atacatorii au folosit un instrument AI intern al Binance pentru a ajunge la calculatoarele altor doi ingineri din echipa de portofele, inclusiv al inginerului infectat în iunie, care primise între timp un laptop nou.

Este important de înțeles ce înseamnă asta: raportul nu descrie o vulnerabilitate a modelului AI. Instrumentul a făcut exact ce i se permitea utilizatorului care îl folosea. Problema a fost că avea acces larg, iar atacatorul controla acel utilizator. Pe unul dintre calculatoare, atacatorii au găsit un jeton de acces cu drept de a publica (deploy) containere în infrastructura Binance.

#29 octombrie: atacul

Cu acel jeton, atacatorii au pornit un container și au rulat un script malițios. Așa au obținut acces la serviciul intern care semnează tranzacțiile portofelelor Binance și au putut lansa transferuri pe lângă procesul normal de retragere, adică fără verificările prin care trece o retragere obișnuită a unui client.

Transferurile au început în jurul orei 22:05, ora României. Printre altele, au plecat 18.270 BTC, aproximativ 233 de milioane XRP, circa 970.000 SOL și peste 44 de milioane de tokenuri OP.

#De ce banii au continuat să plece după suspendarea retragerilor

Aici este unul dintre cele mai interesante detalii tehnice. Pe Ethereum, atacatorii au folosit EIP-7702, o funcție care permite unui portofel să delege anumite drepturi de execuție unui contract inteligent, fără să expună cheia privată.

Odată ce delegarea a fost înregistrată pe blockchain, contractul atacatorilor putea muta fondurile independent de sistemele Binance. Oprirea retragerilor de pe platformă nu avea niciun efect asupra ei. În plus, Binance folosește portofele MPC (semnătura este împărțită între mai mulți participanți, nu există o singură cheie), așa că nu exista o „cheie” cu care delegarea să fie anulată imediat. Echipa a trebuit să construiască pe loc o procedură de revocare.

Ultimul transfer de pe Ethereum a fost confirmat la 01:56, ora României, iar delegarea malițioasă a fost anulată abia la 02:10, pe 30 octombrie.

#Cine a fost: confirmarea FBI

Pe 31 octombrie, FBI a anunțat oficial că Coreea de Nord este responsabilă pentru furt și că operațiunea aparține grupării TraderTraitor, aceeași care a furat 1,5 miliarde de dolari de la Bybit în 2025. FBI, Secret Service și IRS au cerut platformelor crypto să blocheze tranzacțiile cu adresele folosite la spălarea banilor, convertiți în principal în Ethereum. Kim Yo Jong, sora liderului nord-coreean, a negat implicarea și a numit acuzația „motivată politic”.

Binance spune că a detectat și oprit, doar în 2026, 57 de tentative atribuite unor grupări nord-coreene.

#Banii: ce s-a recuperat și ce s-a acoperit

Aici trebuie făcută o distincție importantă, pe care multe titluri o amestecă.

„Acoperit” nu înseamnă „recuperat de la hackeri”. Binance a cumpărat tokenuri de pe piață ca să reîntregească soldurile clienților, folosind fondul de protecție SAFU, o parte din fondul de asigurare pentru contractele futures și trezoreria companiei. Pentru tokenurile mai puțin lichide, cumpărarea durează mai mult. Banii aflați efectiv la atacatori sunt în continuare urmăriți, dar Bitcoin și Ether nu pot fi înghețate de nimeni.

Pentru clienți, concluzia practică este liniștitoare: soldurile au fost reîntregite, iar pierderea o suportă Binance. Rămâne valabil ce scriam data trecută: depozitele de pe o platformă crypto nu sunt garantate ca într-o bancă, iar despăgubirea a depins exclusiv de puterea financiară a Binance.

#Ce a schimbat Binance

Conform raportului, Binance a:

• reconstruit într-un mediu nou infrastructura de portofele afectată și instrumentul AI intern;
• înlocuit dispozitivele compromise și anulat toate parolele și jetoanele de acces asociate;
• scanat suplimentar calculatoarele tuturor angajaților;
• întărit monitorizarea calculatoarelor și controalele din jurul serviciului de semnare;
• angajat firme independente de securitate pentru o analiză externă.

#Lecțiile pentru orice firmă, nu doar pentru Binance

Partea cea mai valoroasă a acestui raport nu ține de criptomonede. Fiecare pas al atacului folosește o tehnică pe care o vedem și la firmele obișnuite:

1. Programele se descarcă doar de pe site-ul oficial. Primul pas a fost un program de instalare falsificat, găsit printr-o căutare. Rezultatele sponsorizate din motoarele de căutare duc des la copii infectate ale unor programe populare. Scrieți adresa oficială direct sau folosiți un link verificat.
2. „Temele de angajare” și fișierele primite de la necunoscuți se deschid doar izolat. Un interviu fals, cu persoane și profiluri credibile, nu mai este un scenariu exotic. Orice cod sau document primit într-un proces de recrutare se rulează pe o mașină virtuală separată, niciodată pe calculatorul de serviciu.
3. Instrumentele AI moștenesc drepturile utilizatorului. Un asistent AI conectat la sistemele firmei poate fi folosit de un atacator exact cum îl folosește angajatul. Dați-i doar accesul strict necesar, nu acces la tot.
4. Jetoanele și parolele de acces trebuie să expire repede. Un jeton de publicare uitat pe un laptop a fost cheia finală. Accesele privilegiate se acordă temporar, pentru o sarcină anume, și se retrag apoi.
5. O infecție detectată nu înseamnă un incident închis. În iunie, Binance a găsit malware-ul și a înlocuit laptopul, dar atacatorii păstraseră informațiile adunate. După orice incident, întrebarea corectă este „ce au aflat?”, nu doar „am curățat calculatorul?”.
6. Operațiunile critice au nevoie de un control independent. Faptul că transferurile au putut ocoli procesul normal de retragere arată cât de important este ca o plată mare să fie aprobată separat, pe un canal pe care un singur calculator compromis nu îl poate controla.

Primele două puncte sunt și cele mai ieftine de aplicat: o regulă internă scrisă și un instructaj scurt pentru angajați, mai ales pentru cei din IT și contabilitate. Restul țin de administrarea IT obișnuită: drepturi minime, accese temporare și aprobări separate pentru operațiunile critice.

Binance a anunțat că raportul tehnic complet va urma. Vom reveni dacă aduce informații noi.

Surse: Binance, raport preliminar din 3 noiembrie (X), Security Affairs, Cointelegraph, CNBC, Korea Times (declarația FBI), TRM Labs.