Binance popisuje falešné pracovní pohovory a zneužití nástroje AI při hackerském útoku

Binance ve svých předběžných zjištěních zveřejněných 3. listopadu 2026 uvedla, že krádeži digitálních aktiv v hodnotě přibližně 6,34 miliardy dolarů, k níž došlo 29. října 2026, předcházely falešné náborové pohovory, škodlivý software pro vývojáře a kompromitovaný interní nástroj AI.

Burza ponese finanční dopady sama, místo aby je přenesla na uživatele. Binance uvedla, že vyčlenila více než 100 % prostředků potřebných k pokrytí ztráty, k 31. říjnu 2026 doplnila 98 % zasažených tokenových aktiv a zmrazila nebo zadržela aktiva v hodnotě přibližně 2,85 miliardy dolarů, přičemž konečná částka závisí na následném odsouhlasení a volatilitě tržních cen. Zbývající, méně likvidní aktiva nakupuje.

Stránka Důkaz rezerv, na kterou se Binance při doplnění aktiv odvolala, popisuje krytí svěřených uživatelských aktiv v poměru 1:1. Využívá záznamy založené na Merkleových stromech a důkazy zk-SNARK, díky nimž si uživatelé mohou ověřit, že jsou jejich zůstatky zahrnuty do výkazu závazků.

Zjištění jsou nadále předběžná. Vyšetřování pokračuje, nezávislé posouzení teprve proběhne a Binance zadržuje některé technické podrobnosti, aby útočníkům neusnadnila plánování útoků.

Měsíce přístupu před útokem na peněženky

V červnu 2026 si inženýr DevOps odpovědný za peněženky stáhl pozměněnou instalaci Homebrew, když se prostřednictvím internetového vyhledávače pokoušel najít oblíbený nástroj AI pro programování. Binance tuto anomálii odhalila, zařízení vyměnila a související přihlašovací údaje změnila, avšak útočník se již dostal k informacím o roli tohoto inženýra i o jeho kolezích z týmu infrastruktury peněženek.

V září 2026 kontaktoval jiného softwarového inženýra prostřednictvím legitimní platformy pro hledání práce někdo, kdo se vydával za projektového ředitele. Po živém videopohovoru s osobou, která se představila jako pracovník personálního oddělení, následoval druhý pohovor v populární aplikaci pro sociální komunikaci s někým, kdo tvrdil, že je generálním ředitelem fiktivní společnosti. Ke konci pohovoru dostal inženýr pokyn stáhnout si na pracovní počítač zadání obsahující škodlivý repozitář s kódem. Jeho kód se spustil během instalace.

Škodlivý software nahradil legitimní součást pyenv její škodlivou verzí a komunikoval se serverem ovládaným útočníkem. Binance uvedla, že ochrana koncových zařízení v té době malware využívající zranitelnost nultého dne neodhalila, zatímco útočník podnikal kroky k utajení své činnosti a odstranění stop po napadení.

Dne 20. října 2026 útočník využil kompromitovaný počítač druhého inženýra a interní nástroj AI, aby rozšířil kontrolu na původního inženýra DevOps a dalšího softwarového inženýra z týmu peněženek. Na počítači inženýra DevOps pak byl nalezen token s oprávněním nasazovat kontejnery. Mezi 17:15 a 19:56 UTC dne 29. října se útočník přihlásil k počítači třetího inženýra, použil přihlašovací údaje odcizené inženýrovi DevOps, nasadil kontejner a spustil škodlivý skript, který zahájil útok na peněženky.

Autorizace přímo na blockchainu zkomplikovaly omezení incidentu

Útočník zneužil neoprávněný přístup k interní službě pro podepisování transakcí peněženek a zahájil transakce mimo běžný proces výběrů Binance. Mezi 20:05 a 20:09 UTC odeslalo pět online peněženek Binance 233,46 milionu XRP na adresu ovládanou útočníkem. Následné odtoky prostředků pocházely z online peněženek v sítích Solana a Optimism a jedna online peněženka Binance odeslala 18 270 bitcoinů na adresu ovládanou útočníkem.

Útočník zneužil také autorizační mechanismus Ethereum EIP-7702, který účtu umožňuje delegovat určitá práva k provádění operací na chytrý kontrakt, aniž by odhalil svůj soukromý klíč. Padesát podpisových transakcí pozměnilo nonce účtu a vytvořilo škodlivá oprávnění k delegování, čímž kontrakt ovládaný útočníkem získal částečná práva k provádění operací s online peněženkou Binance. Tato oprávnění umožňovala, aby se aktiva dál přesouvala nezávisle na infrastruktuře burzy pro výběry.

Pozastavení výběrů a vypnutí služeb online peněženek proto nezneplatnilo již existující oprávnění na blockchainu. Protože peněženka využívala výpočet více stran, nebyl k dispozici jediný soukromý klíč, který by bylo možné okamžitě zneplatnit, a bylo nutné použít specializovaný postup, jenž zabral další čas. Poslední neoprávněný převod, 2 961,9 Etheru, byl na blockchainu potvrzen ve 23:56 UTC poté, co předtím zůstával nevyřízený; žádné další neoprávněné převody již následně nebyly zaznamenány. Dne 30. října 2026 v 00:10 UTC Binance provedla novou autorizaci z online peněženky Binance14 na nulovou adresu, čímž odstranila škodlivý delegační kód.

Obnovené systémy a samostatné připsání útoku FBI

K 3. listopadu Binance obnovila dotčený systém peněženek v novém prostředí a znovu vytvořila dotčený interní nástroj AI i jeho řízení přístupu. Vyměnila také dotčená zařízení, zrušila související přihlašovací údaje a tokeny, dokončila důkladnější kontroly zařízení zaměstnanců, rozšířila detekci behaviorálních anomálií založenou na AI a posílila řízení rizik u služeb peněženek.

K ověření zjištění a doporučení dalších opatření jsou přizváni nezávislí odborníci na kybernetickou bezpečnost. Binance zvyšuje investice do detekce využívající AI, ochrany koncových zařízení, zabezpečení vývojových prostředí a monitorování chování. Pracuje také na zřízení fondu pro výzkum bezpečnosti a na cílených iniciativách zaměřených na bezpečnost AI v prostředí blockchainu, do nichž se zapojí společnosti působící v oblasti AI, zástupci odvětví a bezpečnostní firmy.

V samostatném oznámení ze dne 31. října 2026 FBI uvedl, že za útoky nesly odpovědnost severokorejské skupiny TraderTraitor, že úřad spolu se svými partnery z USSS a IRS-CI zaznamenal, jak převádějí odcizená aktiva převážně na Ether, a že se očekávalo další praní peněz prostřednictvím služeb DeFi a okamžitých směnáren. Agentury vyzvaly provozovatele uzlů, burzy, služby DeFi, firmy zabývající se analýzou blockchainu a další poskytovatele služeb souvisejících s virtuálními aktivy, aby blokovali transakce zahrnující uvedené adresy nebo pocházející z těchto adres.

Tento popis odhaluje problém s omezením škod, který přesahuje detekci malwaru: výměna prvního napadeného zařízení neukončila útočníkův přístup k týmu spravujícímu peněženky a pozastavení výběrů neodstranilo oprávnění na blockchainu. Nezávislé šetření nyní ověří jak to, zda Binance správně zrekonstruovala tento řetězec událostí, tak to, zda jej její nově zavedené kontrolní mechanismy řeší.