Cel mai mare furt de criptomonede din istorie, cele aproximativ 6,3 miliarde de dolari luate de la Binance pe 29 octombrie, nu a pornit de la o vulnerabilitate tehnică spectaculoasă, ci de la un interviu de angajare fals. În raportul inițial publicat pe 3 noiembrie, Binance povestește cum unul dintre inginerii săi a fost contactat de un „recrutor”, a trecut prin două interviuri cu persoane inventate și, la final, a descărcat pe calculatorul de serviciu o „temă de programare” care conținea un program rău-intenționat.
De acolo, atacatorii au mai avut nevoie de câteva săptămâni ca să ajungă la sistemul care semnează tranzacțiile portofelelor Binance. FBI a atribuit atacul grupului nord-coreean TraderTraitor, cunoscut și ca parte din Lazarus. Binance îl descrie ca „o campanie sofisticată, în mai multe etape”, care „nu a fost o breșă izolată sau un simplu incident de phishing”.
Actualizare, 8 noiembrie: directorul financiar pleacă
Directorul financiar al Binance, Kaiser Ng, părăsește compania la nouă zile după atac. Anunțul a fost făcut pe 7 noiembrie de Yi He, unul dintre directorii generali ai Binance, care a spus că Ng „a decis să înceapă o nouă afacere după mai bine de cinci ani la Binance” și că predarea funcției fusese pregătită „în ultimele șase luni”, nu ca reacție la atac. Locul lui este luat de Justin Yek. Nu există informații că Ng ar fi avut vreo legătură cu atacul.
Din cele 6,3 miliarde de dolari furate, alte companii au înghețat sau interceptat circa 2,85 miliarde. Potrivit lui Matt Levine, comentator la Bloomberg, aproximativ 3,3 miliarde nu au fost încă găsite. Pentru că hackerii au spălat rapid banii, o mare parte ar putea să nu mai fie recuperată. Binance spune că acoperă integral pierderea din fonduri proprii, deci utilizatorii nu pierd bani.
Cum s-a desfășurat atacul, pas cu pas
| Când | Ce s-a întâmplat |
|---|---|
| iunie | un inginer DevOps din echipa de portofele (inginerul A) caută pe internet un instrument AI popular și instalează o versiune falsificată a Homebrew, un program folosit pe Mac pentru instalarea uneltelor de dezvoltare; Binance detectează atacul, înlocuiește calculatorul și schimbă datele de acces, dar atacatorii află deja ce rol are inginerul și cine îi sunt colegii |
| septembrie | un alt inginer, care avea experiența de la Binance trecută în profil, e contactat pe o platformă legitimă de căutare a unui loc de muncă de un fals „director de proiect” al unei companii inexistente; urmează două interviuri, iar la final primește o temă de rezolvat |
| septembrie–octombrie | codul din temă rulează pe calculatorul de serviciu al inginerului și instalează un program rău-intenționat nou, pe care protecția antivirus a companiei nu îl recunoaște |
| 20 octombrie | prin calculatorul compromis și printr-un instrument AI intern, atacatorii preiau controlul calculatoarelor inginerului A și ale unui dezvoltator de portofele (inginerul C) |
| 29 octombrie | de pe calculatorul inginerului C, cu un token de acces găsit pe calculatorul inginerului A, atacatorii lansează un program pe serverele companiei, ajung la serviciul intern care semnează tranzacțiile și trimit retrageri în afara fluxului normal |
Interviurile false
Partea cea mai neobișnuită e cât de credibil a fost totul. Primul interviu a fost un apel video live cu o persoană care se dădea drept reprezentant de resurse umane și care i-a arătat candidatului un cont de rețea socială cu fotografii și filmări personale, ca să pară o persoană reală. Binance spune că metoda a fost „mai avansată și mai înșelătoare” decât alte tentative de inginerie socială văzute până acum.
Al doilea interviu a avut loc într-o aplicație de chat, cu cineva care se prezenta drept directorul general al companiei. Spre final, „directorul” i-a cerut inginerului să descarce dintr-un depozit de cod online o temă de programare. Codul a rulat pe calculatorul de serviciu când inginerul a pregătit proiectul.
Programul ascuns înlocuia o componentă a pyenv, o unealtă obișnuită pentru gestionarea versiunilor de Python, cu una falsă, cu același nume, în directorul Homebrew. Versiunea falsă primea comenzi de la un server controlat de atacatori și își ștergea urmele. „Programul nu a fost detectat la acel moment de uneltele de protecție a calculatoarelor”, scrie Binance.
Binance nu leagă oficial atacul de o anumită campanie, dar metoda seamănă foarte mult cu operațiunile nord-coreene cunoscute sub numele de Contagious Interview și Operation Dream Job: recrutori falși, mai multe runde de interviu și o temă de programare infectată.
Rolul instrumentului AI intern
Pasul care a făcut legătura între calculatorul compromis și infrastructura portofelelor a fost un instrument AI intern al Binance. Compania nu a explicat cum anume l-au folosit atacatorii, ci doar că prin el au ajuns la calculatoarele altor doi ingineri. Pe unul dintre ele au găsit un token care permitea lansarea de programe pe serverele companiei. Pe Ethereum, atacatorii au folosit și un mecanism de autorizare introdus în 2025, EIP-7702, ca să continue furtul chiar după ce Binance suspendase retragerile.
Ce a făcut Binance și unde au ajuns banii
- Fonduri înghețate: circa 2,85 miliarde de dolari din sumele furate fuseseră înghețate sau interceptate până pe 3 noiembrie, potrivit raportului.
- Pagubă acoperită: Binance spune că a înlocuit din banii proprii circa 95% din monedele furate. Restul sunt monede mai puțin lichide, pe care încă încearcă să le cumpere.
- Dovada rezervelor: pe 2 noiembrie, Binance a terminat verificarea criptografică a rezervelor pentru o situație făcută după atac. Cine are BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD sau ZEC pe platformă poate verifica faptul că soldul îi este acoperit cel puțin 1 la 1. O nouă situație, pentru mai multe monede, era programată pentru 4 noiembrie. Dovada rezervelor nu e un audit financiar complet, dar arată că monedele din conturi există.
- Sisteme refăcute: compania a reconstruit sistemul de portofele și instrumentul AI intern, a înlocuit calculatoarele afectate, a anulat toate datele de acces ale inginerilor compromiși și a adăugat detecție de comportament neobișnuit bazată pe AI.
Binance spune că a dejucat de la începutul anului 57 de tentative suspectate a fi legate de Coreea de Nord. Detaliile despre cum s-a petrecut furtul propriu-zis și ce faci dacă ai cont pe platformă sunt în articolul nostru despre atac.
Îți cauți un job în IT? Cum recunoști capcana
Binance a enumerat metodele pe care le vede tot mai des: interviuri de angajare false, programe rău-intenționate deghizate în unelte pentru programatori, pachete și extensii de browser compromise și aplicații false de videoconferință. Ținta nu sunt doar angajații marilor platforme crypto. Oricine are în profil experiență la o firmă interesantă pentru atacatori poate primi un astfel de mesaj. Câteva reguli simple:
- Nu rula niciodată codul primit la un interviu pe calculatorul de serviciu. Folosește un calculator separat sau o mașină virtuală fără acces la conturile tale, la rețeaua firmei sau la chei și parole salvate.
- Citește codul înainte să-l rulezi. Uită-te mai ales la scripturile care se execută automat la instalare, de exemplu cele din
package.jsonsau din fișierele de configurare. Un test tehnic legitim nu are nevoie să-ți modifice unelte de sistem. - Verifică firma și oamenii. Caută compania independent, nu doar din linkurile primite, și verifică dacă recrutorul apare pe site-ul oficial. Un cont cu poze și filmări personale nu dovedește că persoana există.
- Fii atent când interviul se mută în aplicații de chat sau când „directorul general” în persoană îți dă tema, mai ales pentru un post obișnuit.
- Descarcă unelte doar din surse oficiale. Homebrew se instalează de pe brew.sh, nu dintr-un link găsit într-o reclamă sau într-un rezultat de căutare. Inginerul A a ajuns la instalatorul falsificat chiar căutând pe internet.
- Anunță echipa de securitate a firmei la care lucrezi dacă ai rulat ceva suspect, chiar dacă ți-e jenă. Cu cât o infectare e descoperită mai repede, cu atât atacatorii au mai puțin timp să ajungă mai departe.
Pentru partea legitimă a procesului de angajare, vezi cum arată un interviu tehnic real, iar pentru mesajele care încearcă să te păcălească, ghidul nostru despre phishing și inginerie socială. Despre pachetele de cod infectate am scris și în cazul viermelui care a infectat sute de pachete npm.
De ce contează
Cel mai mare furt de criptomonede din istorie a avut nevoie de un singur om păcălit într-un interviu și de câteva unelte de lucru obișnuite: un manager de pachete, o unealtă pentru Python, un asistent AI intern. Nimic din toate acestea nu ține de criptomonede. Aceeași rețetă poate funcționa la o bancă, la un spital sau la o firmă de software din România. Pentru companii, lecția e că accesul la sistemele critice nu ar trebui să depindă de calculatoarele personale ale câtorva ingineri. Pentru programatori, e că o ofertă de muncă prea bună poate fi chiar atacul.
Surse: raportul inițial Binance din 3 noiembrie, așa cum l-au relatat BleepingComputer (cronologia, interviurile, programul care înlocuia pyenv, folosirea EIP-7702, cele 2,85 miliarde de dolari înghețate, asemănarea cu Contagious Interview și Operation Dream Job, atribuirea FBI), The Register (prima infectare din iunie, citatele din raport, măsurile luate de Binance) și The Hacker News (căutarea instrumentului AI, inginerii A și C, rolul instrumentului AI intern, cele 57 de tentative dejucate, lista metodelor de atac), The Block (2 noiembrie: dovada rezervelor, acoperirea de 95%, următoarea situație a rezervelor). Suma totală diferă ușor între surse, de la 6,3 la 6,4 miliarde de dolari. Recomandările pentru candidați sunt ale redacției. Actualizarea din 8 noiembrie folosește Gizmodo (7 noiembrie, citând Bloomberg: plecarea lui Kaiser Ng, succesorul, declarația lui Yi He, fondurile înghețate, estimarea lui Matt Levine).
Fii primul care comentează acest articol!