Η Binance αποκαλύπτει τις ψεύτικες συνεντεύξεις για πρόσληψη και την παραβίαση εργαλείου τεχνητής νοημοσύνης στην επίθεση

Η Binance ανέφερε στα αρχικά ευρήματα που δημοσιεύτηκαν στις 3 Νοεμβρίου 2026 ότι ψεύτικες συνεντεύξεις πρόσληψης, κακόβουλο λογισμικό για προγραμματιστές και η παραβίαση ενός εσωτερικού εργαλείου τεχνητής νοημοσύνης προηγήθηκαν της κλοπής ψηφιακών περιουσιακών στοιχείων αξίας περίπου 6,34 δισ. δολαρίων στις 29 Οκτωβρίου 2026.

Το ανταλλακτήριο θα επωμιστεί την οικονομική ζημία, αντί να τη μετακυλίσει στους χρήστες. Η Binance ανέφερε ότι έχει δεσμεύσει κεφάλαια που υπερβαίνουν το 100% του ποσού που απαιτείται για την κάλυψη της ζημίας, ότι έως τις 31 Οκτωβρίου 2026 είχε αναπληρώσει το 98% των επηρεαζόμενων περιουσιακών στοιχείων σε token και ότι είχε δεσμεύσει ή ανακτήσει περίπου 2,85 δισ. δολάρια, με την επιφύλαξη της συμφωνίας των στοιχείων και των διακυμάνσεων των τιμών της αγοράς. Αγοράζει τα εναπομείναντα περιουσιακά στοιχεία με χαμηλότερη ρευστότητα.

Η σελίδα Απόδειξη αποθεμάτων που παρατέθηκε σχετικά με την αναπλήρωση περιγράφει κάλυψη των περιουσιακών στοιχείων χρηστών υπό θεματοφυλακή σε αναλογία 1:1. Χρησιμοποιεί εγγραφές δέντρου Merkle και αποδείξεις zk-SNARK, ώστε οι χρήστες να μπορούν να επαληθεύσουν ότι τα υπόλοιπά τους περιλαμβάνονται στην αναφορά υποχρεώσεων.

Τα ευρήματα παραμένουν προκαταρκτικά. Η έρευνα βρίσκεται σε εξέλιξη, εκκρεμεί ανεξάρτητος έλεγχος και η Binance δεν δημοσιοποιεί ορισμένες τεχνικές λεπτομέρειες, ώστε να μην βοηθήσει κακόβουλους παράγοντες να σχεδιάσουν επιθέσεις.

Μήνες πρόσβασης πριν από την επίθεση στα πορτοφόλια

Τον Ιούνιο του 2026, ένας μηχανικός DevOps πορτοφολιών κατέβασε μια τροποποιημένη εγκατάσταση του Homebrew, ενώ προσπαθούσε να εγκαταστήσει ένα δημοφιλές εργαλείο προγραμματισμού τεχνητής νοημοσύνης που είχε εντοπίσει μέσω μηχανής αναζήτησης. Η Binance εντόπισε την ανωμαλία, αντικατέστησε τη συσκευή και ανανέωσε τα σχετικά διαπιστευτήρια, αλλά ο ρόλος του μηχανικού και οι συνάδελφοί του στην ομάδα υποδομής πορτοφολιών είχαν ήδη εκτεθεί στον εισβολέα.

Τον Σεπτέμβριο του 2026, κάποιος επικοινώνησε με έναν ακόμη μηχανικό λογισμικού μέσω μιας νόμιμης πλατφόρμας εύρεσης εργασίας, παριστάνοντας τον διευθυντή έργου. Μια ζωντανή συνέντευξη μέσω βιντεοκλήσης με κάποιον που φέρεται να ήταν εκπρόσωπος του τμήματος ανθρώπινου δυναμικού ακολουθήθηκε από δεύτερη συνέντευξη σε μια δημοφιλή εφαρμογή κοινωνικής συνομιλίας, με κάποιον που ισχυρίστηκε ότι ήταν ο διευθύνων σύμβουλος μιας πλασματικής εταιρείας. Προς το τέλος της, ζητήθηκε από τον μηχανικό να κατεβάσει σε υπολογιστή εργασίας μια δοκιμασία που περιείχε ένα κακόβουλο αποθετήριο κώδικα. Ο κώδικάς του εκτελέστηκε κατά τη διαδικασία εγκατάστασης.

Το κακόβουλο λογισμικό αντικατέστησε ένα νόμιμο στοιχείο του pyenv με κακόβουλη έκδοση και επικοινωνούσε με διακομιστή που ελεγχόταν από τον εισβολέα. Η Binance ανέφερε ότι τα συστήματα προστασίας τερματικών συσκευών δεν εντόπισαν τότε το κακόβουλο λογισμικό zero-day, ενώ ο εισβολέας έλαβε μέτρα για να αποκρύψει τη δραστηριότητα και να εξαλείψει τα ίχνη της παραβίασης.

Στις 20 Οκτωβρίου 2026, ο εισβολέας χρησιμοποίησε τον παραβιασμένο υπολογιστή του δεύτερου μηχανικού και ένα εσωτερικό εργαλείο τεχνητής νοημοσύνης για να επεκτείνει τον έλεγχό του στον αρχικό μηχανικό DevOps και σε έναν ακόμη μηχανικό λογισμικού πορτοφολιών. Στη συνέχεια, εντοπίστηκε στον υπολογιστή του μηχανικού DevOps ένα διακριτικό με δικαιώματα ανάπτυξης κοντέινερ. Από τις 17:15 έως τις 19:56 UTC στις 29 Οκτωβρίου, ο εισβολέας συνδέθηκε στον υπολογιστή του τρίτου μηχανικού, χρησιμοποίησε διαπιστευτήρια που είχε υποκλέψει από τον μηχανικό DevOps, ανέπτυξε ένα κοντέινερ και ενεργοποίησε το κακόβουλο σενάριο που ξεκίνησε την επίθεση στα πορτοφόλια.

Οι εξουσιοδοτήσεις εντός αλυσίδας δυσχέραναν τον περιορισμό της επίθεσης

Ο εισβολέας εκμεταλλεύτηκε μη εξουσιοδοτημένη πρόσβαση σε εσωτερική υπηρεσία υπογραφής πορτοφολιών, για να ξεκινήσει συναλλαγές εκτός της συνήθους διαδικασίας ανάληψης της Binance. Από τις 20:05 έως τις 20:09 UTC, πέντε θερμά πορτοφόλια της Binance έστειλαν 233,46 εκατομμύρια XRP σε διεύθυνση που ελεγχόταν από τον εισβολέα. Ακολούθησαν εκροές από θερμά πορτοφόλια των Solana και Optimism, ενώ ένα θερμό πορτοφόλι της Binance έστειλε 18.270 Bitcoin σε διεύθυνση που ελεγχόταν από τον εισβολέα.

Ο εισβολέας εκμεταλλεύτηκε επίσης τον μηχανισμό εξουσιοδότησης EIP-7702 του Ethereum, ο οποίος επιτρέπει σε έναν λογαριασμό να εκχωρεί ορισμένα δικαιώματα εκτέλεσης σε ένα έξυπνο συμβόλαιο, χωρίς να αποκαλύπτει το ιδιωτικό του κλειδί. Πενήντα συναλλαγές υπογραφής χειραγώγησαν τον αριθμό nonce του λογαριασμού και καθιέρωσαν κακόβουλες εξουσιοδοτήσεις εκχώρησης, παρέχοντας σε ένα συμβόλαιο που ελεγχόταν από τον εισβολέα μερικά δικαιώματα εκτέλεσης επί ενός θερμού πορτοφολιού της Binance. Οι εξουσιοδοτήσεις αυτές επέτρεπαν στα περιουσιακά στοιχεία να συνεχίσουν να μετακινούνται ανεξάρτητα από την υποδομή αναλήψεων του ανταλλακτηρίου.

Κατά συνέπεια, η αναστολή των αναλήψεων και η διακοπή λειτουργίας των υπηρεσιών θερμών πορτοφολιών δεν ακύρωσαν τα υφιστάμενα δικαιώματα εντός αλυσίδας. Επειδή το πορτοφόλι χρησιμοποιούσε υπολογισμό πολλών μερών, δεν υπήρχε ένα μοναδικό ιδιωτικό κλειδί που θα μπορούσε να ανακληθεί αμέσως, με αποτέλεσμα να απαιτηθεί μια εξειδικευμένη διαδικασία που χρειάστηκε επιπλέον χρόνο. Η τελευταία μη εξουσιοδοτημένη μεταφορά, 2.961,9 Ether, οριστικοποιήθηκε εντός αλυσίδας στις 23:56 UTC, αφού είχε παραμείνει προηγουμένως σε εκκρεμότητα· στη συνέχεια δεν παρατηρήθηκαν άλλες μη εξουσιοδοτημένες μεταφορές. Στις 00:10 UTC στις 30 Οκτωβρίου 2026, η Binance εκτέλεσε νέα εξουσιοδότηση από το θερμό πορτοφόλι Binance14 προς τη μηδενική διεύθυνση, διαγράφοντας τον κακόβουλο κώδικα εκχώρησης.

Ανακατασκευή συστημάτων και ξεχωριστή απόδοση ευθύνης από το FBI

Στις 3 Νοεμβρίου, η Binance είχε ανακατασκευάσει το επηρεαζόμενο σύστημα πορτοφολιών σε νέο περιβάλλον, καθώς και το επηρεαζόμενο εσωτερικό εργαλείο τεχνητής νοημοσύνης και τους ελέγχους πρόσβασης σε αυτό. Αντικατέστησε επίσης τις επηρεαζόμενες συσκευές, απενεργοποίησε τα σχετικά διαπιστευτήρια και διακριτικά, ολοκλήρωσε ενισχυμένους ελέγχους στις συσκευές των εργαζομένων, διεύρυνε τον εντοπισμό συμπεριφορικών ανωμαλιών με βάση την τεχνητή νοημοσύνη και ενίσχυσε τους ελέγχους κινδύνου για τις υπηρεσίες πορτοφολιών.

Επιστρατεύονται ανεξάρτητοι ειδικοί κυβερνοασφάλειας από τρίτους φορείς, προκειμένου να επαληθεύσουν τα ευρήματα και να προτείνουν πρόσθετα μέτρα. Η Binance αυξάνει τις επενδύσεις της στον εντοπισμό απειλών με τη χρήση τεχνητής νοημοσύνης, στην προστασία τερματικών συσκευών, στην ασφάλεια των περιβαλλόντων ανάπτυξης και στην παρακολούθηση συμπεριφορικών μοτίβων. Παράλληλα, εργάζεται για τη δημιουργία ταμείου έρευνας στον τομέα της ασφάλειας και για την υλοποίηση στοχευμένων πρωτοβουλιών με εταιρείες τεχνητής νοημοσύνης, παράγοντες του κλάδου και εταιρείες ασφάλειας, με επίκεντρο την ασφάλεια της τεχνητής νοημοσύνης σε περιβάλλοντα blockchain.

Σε ξεχωριστή ανακοίνωση με ημερομηνία 31 Οκτωβρίου 2026, το FBI ανέφερε ότι υπεύθυνοι ήταν οι δράστες της ομάδας TraderTraitor από τη Βόρεια Κορέα, ότι το γραφείο και οι συνεργάτες του από την USSS και την IRS-CI τούς είχαν παρατηρήσει να μετατρέπουν τα κλεμμένα περιουσιακά στοιχεία κυρίως σε Ether και ότι αναμενόταν περαιτέρω ξέπλυμα χρήματος μέσω υπηρεσιών DeFi και άμεσης ανταλλαγής. Οι υπηρεσίες κάλεσαν τους διαχειριστές κόμβων, τα ανταλλακτήρια, τις υπηρεσίες DeFi, τις εταιρείες ανάλυσης blockchain και άλλους παρόχους εικονικών περιουσιακών στοιχείων να αποκλείουν συναλλαγές που αφορούν τις αναγραφόμενες διευθύνσεις ή προέρχονται από αυτές.

Η περιγραφή αναδεικνύει ένα πρόβλημα περιορισμού της απειλής που ξεπερνά τον εντοπισμό κακόβουλου λογισμικού: η αντικατάσταση της πρώτης παραβιασμένης συσκευής δεν έβαλε τέλος στην πρόσβαση του εισβολέα στην ομάδα διαχείρισης πορτοφολιών, ενώ η αναστολή των αναλήψεων δεν αφαίρεσε τη δυνατότητα άσκησης ελέγχου στην αλυσίδα. Η ανεξάρτητη αξιολόγηση αποτελεί πλέον τον έλεγχο τόσο της ανασύνθεσης αυτής της αλυσίδας από την Binance όσο και του κατά πόσο οι αναβαθμισμένοι έλεγχοι αντιμετωπίζουν το πρόβλημα.