Binance: furtul de 6,3 miliarde de dolari a fost pregătit prin interviuri false și programe malițioase
Hackerii care au furat criptomonede în valoare de aproximativ 6,3 miliarde de dolari de la Binance au folosit interviuri false de angajare, programe malițioase și un instrument intern de inteligență artificială compromis pentru a pătrunde în sistemele companiei. Cea mai mare platformă de tranzacționare a criptomonedelor din lume a prezentat marți concluziile preliminare ale investigației privind atacul din 29 octombrie, considerat cel mai mare furt de criptomonede din istorie.
Potrivit unui comunicat Binance transmis marți pe X, atacul a fost rezultatul unei operațiuni sofisticate, pregătite pe parcursul mai multor luni, în care hackerii au combinat tehnici de inginerie socială cu programe malițioase și exploatarea unor vulnerabilități ale infrastructurii informatice.
Compania a descris incidentul drept unul „grav și extrem de sofisticat” și și-a cerut scuze utilizatorilor, recunoscând că „acest lucru nu ar fi trebuit să se întâmple”.
Interviurile false și accesul la sistemele Binance
Una dintre etapele esențiale ale atacului a avut loc în septembrie, când un inginer software al Binance a fost contactat prin intermediul unei platforme legitime de recrutare de o persoană care pretindea că este director de proiect.
Angajatul, care își menționase experiența la Binance în profilul profesional, a fost invitat la două interviuri pentru un post în cadrul unei companii fictive: primul desfășurat prin apel video cu un presupus reprezentant al departamentului de resurse umane, iar al doilea cu o persoană care se prezenta drept directorul general al firmei.
Pentru a-i câștiga încrederea, falsul recrutor i-a arătat inclusiv un cont de pe rețelele sociale care conținea fotografii și înregistrări video personale. Spre finalul celui de-al doilea interviu, inginerului i s-a cerut să descarce pe calculatorul de serviciu o presupusă probă de lucru, care ascundea însă un program malițios. Acesta s-a executat în timpul instalării, folosind tehnici avansate pentru a evita detectarea și pentru a permite comunicarea cu un server controlat de atacatori.
Investigația a arătat că operațiunea începuse încă din iunie, când un alt inginer al Binance descărcase o versiune compromisă a unui program de instalare, în timp ce încerca să instaleze un instrument de programare bazat pe inteligență artificială.
Deși echipa de securitate detectase atunci activitatea suspectă, înlocuise dispozitivul și schimbase datele de autentificare, atacatorii obținuseră informații despre rolul angajatului și despre colegii săi responsabili de infrastructura portofelelor digitale.
Pe 20 octombrie, hackerii au exploatat calculatorul compromis în urma interviurilor false și au folosit un instrument intern de inteligență artificială pentru a obține acces la dispozitivele altor doi ingineri. Astfel, au descoperit date de autentificare și permisiuni care le-au permis ulterior să pătrundă în infrastructura de autorizare a tranzacțiilor, pregătind atacul propriu-zis din 29 octombrie.
Transferurile de criptomonede din 29 octombrie
În seara zilei de 29 octombrie, hackerii au exploatat accesul neautorizat la un serviciu intern de autorizare a tranzacțiilor și au început să transfere criptomonede din portofelele digitale ale Binance către adrese aflate sub controlul lor.
În numai patru minute, între 20:05 și 20:09 UTC, cinci portofele au transferat 233,46 milioane de unități XRP, în timp ce alte portofele au trimis aproximativ 970.500 SOL și 44,2 milioane OP. Atacatorii au reușit, de asemenea, să transfere 18.270 de bitcoin.
După detectarea transferurilor neobișnuit de mari, Binance a suspendat retragerile și a început să colaboreze cu partenerii săi pentru blocarea activelor, însă măsura nu a oprit imediat toate operațiunile neautorizate.
Hackerii exploataseră și un mecanism de autorizare din rețeaua Ethereum, cunoscut sub numele de EIP-7702, care le permitea să continue anumite transferuri independent de infrastructura obișnuită a platformei. Anularea acestor permisiuni a necesitat o procedură tehnică specială, finalizată în primele minute ale zilei de 30 octombrie.
Compania a anunțat că a reușit să blocheze active în valoare de aproximativ 2,85 miliarde de dolari și că a alocat fonduri suficiente pentru acoperirea pierderilor. Potrivit datelor comunicate de Binance, până sâmbătă fuseseră reconstituite 98% dintre activele în criptomonede afectate de atac.
Suspendarea temporară a retragerilor a provocat îngrijorare în rândul utilizatorilor, care au retras active în valoare de miliarde de dolari după reluarea serviciului.
Atribuirea atacului și măsurile luate de Binance
Autoritățile americane, inclusiv FBI și Secret Service, au sprijinit Binance în identificarea și urmărirea criptomonedelor furate, iar FBI a atribuit atacul Coreei de Nord. Phenianul a respins acuzațiile, susținând că acestea reprezintă o încercare a Statelor Unite de a-i afecta imaginea, menționează BBC.
Binance a precizat că echipa sa de securitate a identificat și împiedicat, pe parcursul anului 2026, 57 de presupuse tentative de atac cibernetic asociate Coreei de Nord, în care au fost folosite inclusiv interviuri fictive de angajare, programe malițioase prezentate drept instrumente pentru dezvoltatori și aplicații false de videoconferință.
Gruparea TraderTraitor, cunoscută și sub numele de Lazarus Group, a fost acuzată anterior de furtul a aproximativ 1,5 miliarde de dolari de la platforma Bybit, în 2025.
În urma incidentului, Binance a reconstruit sistemele afectate, a înlocuit dispozitivele compromise și a anulat datele de autentificare și permisiunile care ar fi putut fi exploatate de atacatori. Compania a anunțat, de asemenea, că va apela la experți independenți pentru o evaluare completă a incidentului și că va crește investițiile în instrumente de inteligență artificială destinate detectării amenințărilor cibernetice, precum și în măsuri suplimentare de protecție a infrastructurii sale.
