Binance-tyveriet begyndte med en jobsamtale: Adgangen afgjorde prisen

I september deltog en softwareingeniør hos Binance i to jobsamtaler med en virksomhed, der ikke fandtes. Den første var et direkte videoopkald med en HR-medarbejder, som delte en personlig konto på sociale medier med både billeder og videoer for at bevise, at vedkommende var ægte. Den anden foregik i en chatapp med en person, der udgav sig for at være administrerende direktør. Hen mod slutningen blev ingeniøren bedt om at downloade en programmeringsopgave på sin arbejdscomputer.

Den 29. oktober flyttede angribere omkring 6,34 mia. dollar ud af Binance-tegnebøger, størstedelen på cirka 20 minutter. FBI har tilskrevet tyveriet TraderTraitor, den nordkoreanske gruppe, der også er blevet beskyldt for tyveriet af 1,5 mia. dollar fra Bybit i februar 2025. Det er det største kryptovalutatyveri, der er registreret.

Binance har påtaget sig ansvaret og siger, at virksomheden vil dække tabene. Pr. 3. november oplyste Binance, at 98 % af de berørte tokenaktiver var blevet erstattet, og at omkring 2,85 mia. dollar var blevet indefrosset eller opsnappet.

Det relevante spørgsmål er: Hvad kunne én kompromitteret bærbar computer få adgang til, og kan hvert team teste det i sit eget miljø i dag?

To indgangsveje og en kampagne fra juni til oktober

Intet i Binances opdatering fra 3. november tyder på deepfakes eller andre AI-assisterede teknikker. Begge indgangsveje gik gennem mennesker: én ingeniør, der stolede på et søgeresultat, og en anden, der stolede på en rekrutteringsansvarlig.

Kampagnen varede mindst fem måneder. I juni downloadede en DevOps-ingeniør med ansvar for tegnebøger, som søgte efter et AI-kodningsværktøj, et manipuleret Homebrew-installationsprogram. Binances sikkerhedsteam opdagede uregelmæssigheden, udskiftede enheden og skiftede legitimationsoplysningerne. På det tidspunkt havde angriberne allerede fundet ud af, hvem der var med på teamet for tegnebogsinfrastruktur.

Tre måneder senere vendte de tilbage ad en anden vej. Ingeniøren, som blev kontaktet i september, havde en profil på en legitim jobsøgningsplatform, hvor hans erfaring hos Binance var nævnt. Hans programmeringsopgave indeholdt malware, der kørte under opsætningen, erstattede en legitim pyenv-komponent med en ondsindet komponent, oprettede forbindelse til en server kontrolleret af angriberne og slettede sine spor. Binance siger, at virksomhedens beskyttelse af slutpunkter ikke opdagede den.

Den 20. oktober brugte angriberne den bærbare computer og et internt AI-værktøj til at tage kontrol over yderligere to ingeniørers maskiner. Den ene tilhørte DevOps-ingeniøren, der var blevet kompromitteret i juni. På den maskine fandt de et token med tilladelser til udrulning af containere. Den 29. oktober loggede de ind på den anden ingeniørs computer, brugte de stjålne legitimationsoplysninger til at udrulle en container og kørte det script, der satte tyveriet i gang.

Derfor virker rekrutteringsfælder stadig

Falske rekrutteringsansvarlige og manipulerede programmeringstests er velkendte metoder. Nordkoreanske aktører har brugt dem mod udviklere i årevis, især i kampagnen kendt som Contagious Interview. Binance siger, at virksomheden alene i 2026 stoppede 57 forsøg, der var mistænkt for at have forbindelse til Nordkorea.

Fælden virker, fordi den beder ingeniører om at gøre noget, de gør hver dag. Det er helt normalt at køre kode fra et ukendt kodearkiv som led i en teknisk jobsamtale. Der er ingen mistænkelig afsenderadresse og intet link, man kan holde markøren over – kun en troværdig arbejdsgiver, en person på video og en opgave, der ligner arbejde.

En besked fra en rekrutteringsansvarlig er også en af de få uopfordrede henvendelser, som folk tager imod med åbne arme. Intet oplysningsprogram kan garantere, at alle ingeniører opdager enhver overbevisende henvendelse, så sikkerhedsforanstaltningerne må tage højde for, at én slipper igennem.

Sådan fik én bærbar computer adgang til tegnebøgerne

Mit første spørgsmål handler om sikkerhedsforanstaltningerne i ingeniørens miljø. Det bør undersøges nærmere, at en arbejdscomputer blev brugt til en ekstern programmeringsopgave. Den større bekymring er, hvordan det ene kompromitterede system gav adgang til andre systemer og til sidst til følsom finansiel infrastruktur.

Hvert trin efter den indledende infektion byggede på tillid, der allerede fandtes internt hos Binance. Et internt AI-værktøj accepterede instruktioner fra en kompromitteret maskine og omsatte dem til handlinger på kollegers enheder. Et udrulningstoken lå på en ingeniørs bærbare computer. En container, der blev udrullet med gyldige legitimationsoplysninger, flyttede milliarder. Ingen af delene krævede endnu en fælde.

Interne AI-værktøjer fortjener særlig opmærksomhed. De har ofte brede tilladelser på tværs af kodearkiver, slutpunkter og tjenester, så den, der kontrollerer en maskine, som kan give et sådant værktøj instrukser, får samme rækkevidde.

Beskyt udviklerne uden at bremse ingeniørarbejdet

Udviklere har brug for at downloade pakker, køre ukendt kode og teste software. Hvis deres bærbare computere låses lige så stramt som en arbejdsstation i økonomiafdelingen, vil udviklingsarbejdet gå i stå, og ingeniørerne vil søge omveje. Det er rimeligt at have en politik om, at jobsøgning ikke må foregå på virksomhedens enheder, men ingen følger en politik hver eneste gang. Det praktiske mål er at begrænse, hvad en kompromitteret udviklermaskine kan gøre som det næste.

Nogle få sikkerhedsforanstaltninger gør den største forskel. Ikke-betroet kode bør køres i virtuelle maskiner, der kan kasseres, og som ikke har adgang til virksomhedens loginoplysninger. Implementeringsoplysninger bør være kortlivede, have snævert afgrænsede tilladelser og så vidt muligt udstedes til kontrollerede implementeringsarbejdsgange. Walletsigneringsnøgler eller nøgleandele bør beskyttes separat fra udviklernes arbejdsstationer, og signeringspolitikker bør begrænse, hvilke transaktioner og godkendelser der kan godkendes. Handlinger, der berører wallet-, betalings- eller produktionssystemer, bør kræve godkendelse fra en anden person på en separat enhed. Interne AI-værktøjer bør køre med de mindst mulige tilladelser og registrere, hvad de foretager sig.

Det skal også være muligt at opdage trusler, når adgangsoplysningerne er legitime. Adfærdsovervågning, der markerer en implementering fra en uventet maskine eller på et uventet tidspunkt, giver teamet mulighed for at gribe ind, selv når alle adgangsoplysninger ser ud til at være i orden. Binance siger, at virksomheden har udvidet denne type overvågning siden hændelsen.

Hvor trusselsinformation kommer ind i billedet

Advarslen blev offentliggjort seks uger før tyveriet. Den fælles advarsel om Contagious Interview beskrev aktører, der udgav sig for at være rekrutteringsfolk fra AI-, krypto- og NFT-virksomheder for at gå efter it-fagfolk og stjæle kryptovaluta. Binances sag fulgte samme fremgangsmåde.

Trusselsinformation har en konkret funktion i kampagner som denne. Aktørerne kan skifte, men deres taktikker er kendte. Teams, der følger dem, kan blokere kendt infrastruktur og advare ingeniører om de påskud, der bruges lige nu.

Efterretninger fortæller også et team, hvem der har brug for ekstra beskyttelse. Når en hændelse afslører, hvem der har følsom adgang, sådan som Binances kompromittering i juni gjorde, bør disse personer betragtes som sandsynlige mål i flere måneder, og deres enheder og de henvendelser, de modtager, bør overvåges tættere.

Hvad det betyder uden for kryptoverdenen

Kryptobørser er et oplagt mål, fordi stjålne midler flyttes hurtigt og er svære at få tilbage. Mønstret går igen alle steder, hvor en udviklers arbejdsstation kun er få skridt fra kritiske systemer, hvad enten det drejer sig om en banks betalingssystem eller en softwareleverandørs proces til bygning og udgivelse af software. Rekrutteringspåskud når ingeniører i alle disse organisationer.

For sikkerhedsansvarlige, der gennemgår deres egne miljøer i denne uge, er to kontroller vigtigst. For det første skal I kortlægge, hvad en enkelt kompromitteret udviklerbærbar kan få adgang til i dag, herunder lagrede tokens, SSH-nøgler, cloudoplysninger og interne AI-værktøjer. For det andet skal I sikre jer, at produktionsimplementeringer og transaktioner af høj værdi kræver en uafhængig godkendelse, som én kompromitteret identitet ikke kan give.

Binance har genopbygget de berørte systemer og hentet uafhængige kontrollanter ind, efter at tabet var sket. Organisationer, der gennemfører den samme øvelse nu, kan træffe beslutningerne efter deres egen tidsplan.