Binance ujawniło, jak doszło do kradzieży kryptoaktywów o wartości 6,34 mld USD. Według giełdy napastnicy wykorzystali m.in. fałszywą rekrutację, by uzyskać dostęp do systemu podpisywania transakcji. Zamrożono lub przechwycono aktywa warte około 2,85 mld USD. Binance deklaruje, że w całości pokryje straty z własnych środków.
Atak nastąpił 29 października 2026 r. We wstępnym raporcie opublikowanym 3 listopada Binance podało, że do 31 października uzupełniło 98 proc. aktywów objętych atakiem. Giełda wskazuje, że stan środków można sprawdzić w jej zestawieniu rezerw (Proof of Reserves). Jak zapewnia, odłożyła więcej środków, niż potrzeba na pokrycie strat, i nadal kupuje brakujące tokeny o niższej płynności.
Zamrożone lub przechwycone aktywa odpowiadają około 45 proc. szacowanej wartości kradzieży. Binance zastrzega, że kwota może się zmienić po rozliczeniu operacji i wraz ze zmianami kursów tokenów. Zamrożenie ogranicza możliwość dalszego przesyłania środków, a ich odzyskanie wymaga odrębnych działań.
Fałszywa rekrutacja i złośliwy kod na służbowym komputerze
Według Binance pierwsze ślady ataku pochodzą z czerwca. Jeden z inżynierów odpowiedzialnych za obsługę portfeli pobrał spreparowany instalator Homebrew, gdy szukał narzędzia AI do programowania. Zespół bezpieczeństwa wykrył podejrzaną aktywność, wymienił komputer i zmienił dane dostępowe. Napastnicy zdążyli jednak ustalić, za co odpowiadał pracownik i z kim współpracował.
We wrześniu napastnicy skontaktowali się z innym inżynierem za pośrednictwem serwisu z ofertami pracy. Po dwóch rozmowach z rzekomymi przedstawicielami firmy poprosili go o pobranie zadania rekrutacyjnego na służbowy komputer. Podczas uruchamiania projektu złośliwy kod podmienił część narzędzia programistycznego i nawiązał połączenie z serwerem napastników. Zabezpieczenia komputera nie wykryły wtedy infekcji.
20 października napastnicy użyli przejętego komputera oraz wewnętrznego narzędzia AI Binance, by uzyskać dostęp do środowisk dwóch kolejnych pracowników. Znaleźli poświadczenie pozwalające wdrażać oprogramowanie w infrastrukturze giełdy. Dziewięć dni później użyli tych uprawnień do uruchomienia skryptu, który pozwolił im zlecać transfery z pominięciem standardowej procedury wypłat.
Wstrzymanie wypłat nie zatrzymało wszystkich transferów
29 października między 20.05 a 20.09 UTC napastnicy przesłali 233,46 mln XRP z pięciu podłączonych do internetu portfeli Binance na kontrolowany przez siebie adres. Giełda odnotowała również nieautoryzowane transfery około 970,5 tys. SOL, 44,2 mln OP i 18 270 BTC. Po wykryciu dużych transferów Binance rozpoczęło dochodzenie i wstrzymało wypłaty.
W sieci Ethereum napastnicy wykorzystali mechanizm EIP-7702, który pozwala upoważnić smart kontrakt do wykonywania operacji w imieniu konta. Za pomocą systemu podpisywania transakcji Binance nadali takie uprawnienie kontraktowi, który sami kontrolowali. Uprawnienie zapisano w blockchainie Ethereum, więc pozostało ważne po wstrzymaniu wypłat przez giełdę.
Cofnięcie uprawnienia wymagało kolejnej operacji w sieci Ethereum. Portfel korzystał z mechanizmu MPC, w którym do złożenia podpisu potrzebna jest współpraca kilku komponentów systemu. Giełda podała, że musiała opracować specjalną procedurę. Ostatni nieautoryzowany transfer, na 2 961,9 ETH, został ostatecznie potwierdzony o 23.56 UTC. Binance cofnęło uprawnienie smart kontraktu o 00.10 UTC 30 października.
FBI przypisuje atak grupie TraderTraitor
FBI przypisało kradzież północnokoreańskiej grupie TraderTraitor. Biuro opublikowało listę adresów używanych do przesyłania skradzionych środków i wezwało firmy z branży do blokowania powiązanych transakcji. Władze Korei Północnej zaprzeczyły udziałowi w ataku.
Binance poinformowało, że odbudowało system obsługi portfeli w nowym środowisku, przebudowało wewnętrzne narzędzie AI, zmieniło zasady dostępu do niego i unieważniło poświadczenia powiązane z przejętymi komputerami. Giełda zapowiedziała, że zewnętrzni eksperci sprawdzą przebieg ataku i ocenią, które zabezpieczenia wymagają dalszych zmian.
Źródła: Binance, FBI, Associated Press, dokumentacja Ethereum EIP-7702.
