Binance beskriver falske jobsamtaler og kompromittering af AI-værktøj i hackerangreb

Binance oplyste i de første resultater, der blev offentliggjort den 3. november 2026, at falske rekrutteringssamtaler, ondsindet software til udviklere og et kompromitteret internt AI-værktøj gik forud for tyveriet af digitale aktiver til en værdi af cirka 6,34 mia. dollars den 29. oktober 2026.

Børsen vil selv bære det økonomiske tab frem for at lade brugerne betale. Binance oplyste, at selskabet havde afsat mere end 100 % af de midler, der var nødvendige for at dække tabet, genopfyldt 98 % af de berørte tokenaktiver pr. 31. oktober 2026 og indefrosset eller opsnappet aktiver for cirka 2,85 mia. dollars, med forbehold for afstemning og udsving i markedspriserne. Selskabet er i færd med at købe de resterende, mindre likvide aktiver.

Siden Bevis på reserver, der henvises til i forbindelse med genopfyldningen, beskriver 1:1-dækning af brugernes depotaktiver. Den bruger Merkle-træposter og zk-SNARK-beviser, så brugerne kan kontrollere, at deres saldi indgår i rapporten over forpligtelser.

Resultaterne er fortsat foreløbige. Undersøgelsen er i gang, en uafhængig gennemgang afventes, og Binance tilbageholder nogle tekniske detaljer for at undgå at hjælpe ondsindede aktører med at planlægge angreb.

Måneder med adgang før angrebet på tegnebøgerne

I juni 2026 downloadede en DevOps-ingeniør med ansvar for tegnebøger en manipuleret Homebrew-installation, mens vedkommende forsøgte at installere et populært AI-kodeværktøj, som var fundet via en søgemaskine. Binance opdagede uregelmæssigheden, udskiftede enheden og ændrede de tilknyttede adgangsoplysninger, men angriberen havde allerede fået kendskab til ingeniørens rolle og kollegerne i teamet for tegnebogsinfrastruktur.

I september 2026 blev en anden softwareingeniør kontaktet via en legitim platform til jobsøgning af en person, der udgav sig for at være projektleder. Efter en direkte videosamtale med en person, der angiveligt var HR-medarbejder, fulgte en anden samtale i en populær social chatapp med en person, der hævdede at være direktør for en fiktiv virksomhed. Mod slutningen blev ingeniøren bedt om at downloade en opgave med et ondsindet kodelager til en arbejdscomputer. Koden blev kørt under opsætningen.

Malwaren erstattede en legitim pyenv-komponent med en ondsindet version og kommunikerede med en server, som angriberen kontrollerede. Binance oplyste, at endpointbeskyttelsen ikke opdagede zero-day-malwaren på det tidspunkt, mens angriberen tog skridt til at skjule aktiviteten og fjerne spor efter kompromitteringen.

Den 20. oktober 2026 brugte angriberen den anden ingeniørs kompromitterede computer og et internt AI-værktøj til at udvide sin kontrol til den oprindelige DevOps-ingeniør og en anden softwareingeniør på tegnebogsområdet. Derefter blev der fundet et tilladelsestoken til udrulning af containere på DevOps-ingeniørens computer. Mellem kl. 17.15 og 19.56 UTC den 29. oktober loggede angriberen ind på den tredje ingeniørs computer, brugte adgangsoplysninger stjålet fra DevOps-ingeniøren, udrullede en container og aktiverede det ondsindede script, der satte tegnebogsangrebet i gang.

Godkendelser på blockchainen komplicerede inddæmningen

Angriberen udnyttede uautoriseret adgang til en intern tjeneste til underskrift af tegnebogstransaktioner til at iværksætte transaktioner uden om Binances normale udbetalingsproces. Mellem kl. 20.05 og 20.09 UTC sendte fem Binance-hot wallets 233,46 millioner XRP til en adresse, som angriberen kontrollerede. Efterfølgende udgående overførsler kom fra hot wallets på Solana og Optimism, og en Binance-hot wallet sendte 18.270 Bitcoin til en adresse, som angriberen kontrollerede.

Angriberen udnyttede også Ethereums autorisationsmekanisme EIP-7702, som lader en konto delegere visse udførelsesrettigheder til en smartkontrakt uden at afsløre sin private nøgle. Halvtreds underskriftstransaktioner manipulerede kontoens nonce og oprettede ondsindede delegationstilladelser, som gav en kontrakt under angriberens kontrol delvise udførelsesrettigheder over en Binance-hot wallet. Disse tilladelser gjorde det muligt for aktiver fortsat at blive flyttet uafhængigt af børsens udbetalingsinfrastruktur.

Derfor gjorde det ikke de eksisterende tilladelser på blockchainen ugyldige at sætte udbetalinger på pause og lukke hot wallet-tjenesterne ned. Da tegnebogen brugte multipartsberegning, fandtes der ingen enkelt privat nøgle, som kunne bruges til straks at tilbagekalde tilladelserne, og det krævede en specialiseret procedure, som tog yderligere tid. Den sidste uautoriserede overførsel, 2.961,9 Ether, blev endeligt bekræftet på blockchainen kl. 23.56 UTC, efter tidligere at have stået som afventende; der blev ikke observeret flere uautoriserede overførsler derefter. Kl. 00.10 UTC den 30. oktober 2026 gennemførte Binance en ny autorisation fra sin Binance14-hot wallet til nuladressen, hvilket fjernede den ondsindede delegationskode.

Genopbyggede systemer og en særskilt attribuering fra FBI

Pr. 3. november havde Binance genopbygget det berørte tegnebogssystem i et nyt miljø og genopbygget det berørte interne AI-værktøj og dets adgangskontroller. Binance havde også udskiftet berørte enheder, deaktiveret tilknyttede adgangsoplysninger og tokens, gennemført udvidede scanninger af medarbejdernes enheder, udvidet AI-baseret registrering af adfærdsafvigelser og styrket risikokontrollerne for tegnebogstjenester.

Uafhængige eksterne cybersikkerhedseksperter bliver inddraget for at validere resultaterne og anbefale yderligere tiltag. Binance øger investeringerne i AI-baseret detektion, endpointbeskyttelse, sikkerhed i udviklingsmiljøer og adfærdsovervågning. Binance arbejder også på at oprette en fond til sikkerhedsforskning og målrettede initiativer sammen med AI-virksomheder, aktører i branchen og sikkerhedsfirmaer med fokus på AI-sikkerhed i blockchainmiljøer.

I en separat meddelelse dateret 31. oktober 2026 oplyste FBI, at Nordkoreas aktører fra TraderTraitor stod bag, at FBI og dets partnere i USSS og IRS-CI havde observeret, at aktørerne primært konverterede stjålne aktiver til Ether, og at yderligere hvidvask forventedes at finde sted via DeFi- og øjeblikkelige veksel tjenester. Myndighederne opfordrede nodeoperatører, børser, DeFi-tjenester, blockchainanalysefirmaer og andre udbydere af virtuelle aktiver til at blokere transaktioner, der involverede eller stammede fra de anførte adresser.

Beretningen efterlader et inddæmningsproblem, der rækker ud over detektion af malware: Udskiftningen af den første kompromitterede enhed forhindrede ikke angriberen i fortsat at have adgang til wallet-teamet, og suspenderingen af udbetalinger fjernede ikke kontrollen on-chain. Den uafhængige undersøgelse skal nu kontrollere både Binances rekonstruktion af dette forløb og, om de genopbyggede kontrolforanstaltninger håndterer problemet.