Binance opublikowała 3 listopada wstępny raport o ataku z 29 października, w którym szacuje skutki na ok. 6,34 mld dolarów. Według giełdy jednym z etapów przygotowań była fałszywa rekrutacja, podczas której programista pobrał złośliwy kod na służbowy komputer.
Dokument, zatytułowany „Initial Findings and Response Update”, jest dostępny na blogu Binance. Giełda zastrzega, że to raport wstępny: dochodzenie trwa, a ustalenia mają przejść niezależny przegląd zewnętrznych firm. Część szczegółów technicznych pozostaje tajna. Binance powołuje się też na komunikat FBI, według którego za atak odpowiada Korea Północna. Wcześniej pisaliśmy o wskazaniu sprawców przez FBI.
Miesiące przygotowań
Według Binance nie był to pojedynczy włam ani zwykły phishing, lecz wieloetapowa kampania. W czerwcu inżynier zespołu infrastruktury portfeli pobrał zmanipulowaną instalację Homebrew, szukając narzędzia AI do kodowania. Zespół bezpieczeństwa wykrył anomalię, wymienił urządzenie i zmienił poświadczenia, ale atakujący poznali już rolę tego pracownika i jego współpracowników.
We wrześniu inny programista został zagadnięty na portalu z ofertami pracy przez osobę podającą się za dyrektora projektu. Odbył rozmowę wideo z rzekomą przedstawicielką HR, która pokazała mu swoje konto w mediach społecznościowych, by zbudować zaufanie. Druga rozmowa, z fałszywym prezesem nieistniejącej firmy, odbyła się w popularnym komunikatorze. Pod jej koniec programista dostał „zadanie” – repozytorium z kodem – które uruchomił na służbowym komputerze. Skrypt podmienił element narzędzia deweloperskiego na złośliwy. Według Binance oprogramowanie zabezpieczające nie wykryło tego malware’u.
20 października napastnicy użyli przejętego komputera i wewnętrznego narzędzia AI, by zdobyć kontrolę nad komputerami kolejnych dwóch inżynierów, a na jednym znaleźli token uprawniający do uruchamiania kontenerów. 29 października między 17:15 a 19:56 czasu UTC wykorzystali go do uruchomienia złośliwego skryptu.
Wypłaty i trudności z zatrzymaniem ataku
Pierwsze transfery ruszyły o 20:05 UTC. W ciągu czterech minut pięć gorących portfeli wysłało 233,46 mln XRP, potem wypłynęło ok. 970,5 tys. SOL, 44,2 mln OP i 18 270 BTC. Ostatni transfer, 2961,9 ETH, zatwierdzono o 23:56 UTC.
Wstrzymanie wypłat nie zakończyło ataku. Napastnicy użyli mechanizmu EIP-7702, nadając własnemu smart kontraktowi częściowe uprawnienia do gorącego portfela. Ponieważ portfel działał w technologii MPC, nie było jednego klucza prywatnego do natychmiastowego cofnięcia uprawnień – zespół musiał opracować osobną procedurę. Delegację usunięto o 00:10 UTC 30 października. Przebieg wydarzeń opisywaliśmy wcześniej, gdy giełda przyznała, że atak był bardziej złożony.
Z 6,34 mld dol. ok. 2,85 mld dol. zamrożono lub przechwycono – kwota wymaga jeszcze uzgodnień i zmienia się wraz z cenami aktywów. Binance deklaruje, że straty pokryje sama, a według stanu z 31 października uzupełniła 98 proc. brakujących aktywów. Nadal kupuje mniej płynne tokeny.
Reakcje i dalsze kroki
Binance zapowiada niezależny audyt, większe wydatki na zabezpieczenia oparte na AI oraz fundusz badań nad bezpieczeństwem. Odbudowano zaatakowany system portfeli i wewnętrzne narzędzie AI, wymieniono urządzenia i unieważniono dane dostępowe. Do 3 listopada przeskanowano wszystkie urządzenia pracowników.
Współzałożyciel giełdy Changpeng Zhao napisał we wtorek rano na X, że atak takiej skali oznacza poważne zaniedbania w zabezpieczeniach. Dodał, że żadna platforma nie jest niezniszczalna, ale nie może to być wymówką.
O skali wypłat klientów po ataku pisaliśmy w tekście o odpływie netto 5,3 mld dolarów.
Co to oznacza dla użytkowników w Polsce
Raport nie wskazuje, by klienci mieli ponieść stratę – Binance zapewnia, że pokryje ją z własnego bilansu, a stan rezerw można sprawdzić na stronie Proof of Reserves. Raport nie opisuje jednak osobno sytuacji polskich kont. Dostępność wypłat konkretnego aktywa i sieci należy sprawdzać w panelu giełdy. Binance ostrzegała też na X, że przy wznawianiu wypłat nasilają się oszustwa podszywające się pod giełdę (wiadomości prywatne, e-maile, drobne przelewy z dołączonym komunikatem) – informacji warto szukać tylko w oficjalnych kanałach.
Dla osób szukających pracy w IT lub krypto wniosek jest praktyczny: kodu z „zadania rekrutacyjnego” nie uruchamia się na komputerze służbowym ani na urządzeniu z dostępem do firmowych kont. Firmę i rekrutera trzeba zweryfikować niezależnym kanałem.
