Ukradli 6,3 mld dol. w kryptowalutach. Zaczęło się od fałszywej rekrutacji

Wstępne ustalenia spółki wskazują, że cyberprzestępcy weszli do systemów największej giełdy kryptowalut poprzez złożoną operację, w której kluczowe okazało się nakłonienie pracowników technicznych do uruchomienia złośliwego oprogramowania. Po uzyskaniu dostępu napastnicy przejęli narzędzia umożliwiające opróżnienie firmowego portfela z aktywów wycenianych na miliardy dolarów.

Binance zakwalifikował zdarzenie jako poważny incydent bezpieczeństwa. "To nie powinno się wydarzyć" – przyznała spółka.

Firma wyjaśniła, że pierwsza faza ataku miała charakter socjotechniczny. Jeden z inżynierów został znaleziony za pomocą legalnej platformy rekrutacyjnej i zaproszony na rozmowy kwalifikacyjne prowadzone przez osoby podszywające się pod przedstawicieli nieistniejącej firmy.

Aby uwiarygodnić kontakt, sprawcy wykorzystali m.in. profile w mediach społecznościowych, na których opublikowano prywatne zdjęcia. Podczas drugiego spotkania rekrutacyjnego pracownik otrzymał do pobrania plik przedstawiony jako zadanie dla kandydata. W rzeczywistości był to malware ukryty technikami utrudniającymi wykrycie.

Binance przekazał, że zainfekowany komputer pracownika oraz naruszone wewnętrzne narzędzie AI zostały w październiku wykorzystane do przejęcia kontroli nad laptopami dwóch kolejnych inżynierów. To umożliwiło przejście do kolejnych etapów operacji prowadzącej do kradzieży.

Po wykryciu włamania giełda zdecydowała się na czasowe zawieszenie wypłat dla użytkowników na całym świecie. Klienci nie mogli wypłacać kryptowalut do momentu przywrócenia działania usługi w niedzielę. Po wznowieniu wypłat użytkownicy wycofali aktywa warte miliardy dolarów. Spółka poinformowała również o współpracy z organami ścigania w celu namierzania i zamrażania przejętych środków. Do soboty udało się odtworzyć 98 proc. aktywów tokenowych dotkniętych atakiem.

Kradzież o wartości 6,3 mld dolarów jest uznawana za największe włamanie w historii rynku kryptowalut. W analizie przepływu skradzionych środków Binance wspierają amerykańskie służby, w tym FBI oraz Secret Service. Te instytucje, podobnie jak część ekspertów od cyberbezpieczeństwa, wskazują, że sposób działania przypomina wcześniejsze operacje przypisywane Korei Północnej.

Pjongjang zaprzeczył tym oskarżeniom. Kim Yo Jong, siostra Kim Jong Una i wysoka rangą przedstawicielka Koreańskiej Republiki Ludowo-Demokratycznej, oceniła, że zarzuty są kolejną próbą uderzenia w wizerunek Korei Północnej.

We wtorek Binance przekazał w serwisie X, że najnowsze informacje opublikowane przez Federalne Biuro Śledcze wskazują na odpowiedzialność Koreańskiej Republiki Ludowo-Demokratycznej za ten incydent. Po ataku firma zapowiedziała też m.in. zwiększenie inwestycji w rozwiązania AI do wykrywania zagrożeń, zlecenie zewnętrznego przeglądu incydentu oraz utworzenie funduszu badań nad bezpieczeństwem.