Binance kertoo valehaastatteluista ja tekoälytyökalun vaarantumisesta tietomurrossa

Binance kertoi 3. marraskuuta 2026 julkaistuissa alustavissa havainnoissaan, että valehaastattelut, haitallinen kehittäjäohjelmisto ja vaarantunut sisäinen tekoälytyökalu edelsivät noin 6,34 miljardin dollarin arvosta digitaalisten varojen varastamista 29. lokakuuta 2026.

Pörssi vastaa taloudellisista menetyksistä itse eikä siirrä niitä käyttäjille. Binancen mukaan se oli varannut tappion kattamiseen tarvittavista varoista yli 100 prosenttia, palauttanut 98 prosenttia vaikutuksen kohteena olleista tokenvaroista 31. lokakuuta 2026 mennessä sekä jäädyttänyt tai pysäyttänyt noin 2,85 miljardin dollarin arvosta varoja. Summat ovat vielä sovitettavina, ja niihin vaikuttaa markkinahintojen vaihtelu. Binance ostaa jäljellä olevat, heikommin likvidit varat.

Palautusten yhteydessä mainitulla varantotodisteiden sivulla kerrotaan, että asiakkaiden säilytyksessä olevat varat katetaan suhteessa 1:1. Sivulla käytetään Merkle-puun tietueita ja zk-SNARK-todisteita, joiden avulla käyttäjät voivat varmistaa, että heidän saldonsa sisältyvät velkaraporttiin.

Havainnot ovat edelleen alustavia. Tutkinta on käynnissä, riippumaton arviointi on vielä tekemättä, ja Binance jättää osan teknisistä yksityiskohdista kertomatta, jotta se ei auttaisi hyökkääjiä suunnittelemaan iskuja.

Kuukausien pääsy ennen lompakkohyökkäystä

Kesäkuussa 2026 lompakoiden DevOps-insinööri latasi peukaloidun Homebrew-asennusohjelman yrittäessään asentaa hakukoneen kautta löytämäänsä suosittua tekoälykoodaustyökalua. Binance havaitsi poikkeaman, vaihtoi laitteen ja uusi siihen liittyvät tunnistetiedot, mutta hyökkääjä oli jo saanut tietoonsa insinöörin roolin ja tämän kollegat lompakkoinfrastruktuuritiimissä.

Syyskuussa 2026 toiseen ohjelmistosuunnittelijaan otti laillisella työnhakualustalla yhteyttä henkilö, joka esiintyi projektijohtajana. Ensin käytiin suora videokeskustelu henkilöstöhallinnon edustajana esiintyneen henkilön kanssa, minkä jälkeen suosituissa sosiaalisen keskustelun sovelluksissa järjestettiin toinen haastattelu henkilön kanssa, joka väitti olevansa kuvitteellisen yrityksen toimitusjohtaja. Haastattelun loppupuolella insinööriä pyydettiin lataamaan työtietokoneelleen tehtävä, joka sisälsi haitallisen koodivaraston. Sen koodi suoritettiin asennuksen aikana.

Haittaohjelma korvasi aidon pyenv-komponentin haitallisella versiolla ja viesti hyökkääjän hallinnoiman palvelimen kanssa. Binancen mukaan päätelaitteiden suojaus ei havainnut tuolloin nollapäivähaittaohjelmaa, ja hyökkääjä pyrki peittämään toimintansa ja poistamaan jäljet tietokoneen vaarantumisesta.

20. lokakuuta 2026 hyökkääjä käytti toisen insinöörin vaarantunutta tietokonetta ja sisäistä tekoälytyökalua saadakseen hallintaansa myös alkuperäisen DevOps-insinöörin ja toisen lompakko-ohjelmistosuunnittelijan. Tämän jälkeen DevOps-insinöörin tietokoneelta löytyi konttien käyttöönottoon oikeuttava käyttöoikeustunniste. Hyökkääjä kirjautui 29. lokakuuta kello 17.15–19.56 UTC kolmannen insinöörin tietokoneelle, käytti DevOps-insinööriltä varastettuja tunnistetietoja, otti kontin käyttöön ja käynnisti haitallisen komentosarjan, joka aloitti lompakkohyökkäyksen.

Lohkoketjussa annetut valtuutukset vaikeuttivat tilanteen rajaamista

Hyökkääjä käytti luvatonta pääsyä sisäiseen lompakoiden allekirjoituspalveluun käynnistääkseen tapahtumia Binancen tavanomaisen nostoprosessin ulkopuolella. Kello 20.05–20.09 UTC viisi Binancen kuumaa lompakkoa lähetti 233,46 miljoonaa XRP:tä hyökkääjän hallinnoimaan osoitteeseen. Myöhempiä varojen siirtoja tehtiin Solanan ja Optimismin kuumista lompakoista, ja yksi Binancen kuuma lompakko lähetti 18 270 bitcoinia hyökkääjän hallinnoimaan osoitteeseen.

Hyökkääjä käytti hyväkseen myös Ethereumin EIP-7702-valtuutusmekanismia, jonka ansiosta tili voi antaa älysopimukselle tiettyjä suoritusvaltuuksia paljastamatta yksityistä avaintaan. Viidellä allekirjoitustapahtumalla muokattiin tilin nonce-arvoa ja luotiin haitallisia delegointivaltuutuksia, jotka antoivat hyökkääjän hallinnoimalle sopimukselle osittaiset suoritusvaltuudet Binancen kuumaan lompakkoon. Näiden valtuutusten ansiosta varat saattoivat edelleen liikkua pörssin nostoinfrastruktuurista riippumatta.

Siksi nostojen keskeyttäminen ja kuumien lompakoiden palveluiden sulkeminen eivät mitätöineet jo olemassa olevia lohkoketjuvaltuutuksia. Koska lompakossa käytettiin monen osapuolen laskentaa, välittömästi peruutettavaa yksittäistä yksityistä avainta ei ollut, joten valtuutusten mitätöinti vaati erityismenettelyn ja vei lisäaikaa. Viimeinen luvaton siirto, 2 961,9 etheriä, vahvistui lohkoketjussa kello 23.56 UTC oltuaan sitä ennen jonossa; sen jälkeen ei havaittu uusia luvattomia siirtoja. Binance toteutti 30. lokakuuta 2026 kello 00.10 uuden valtuutuksen Binance14-kuumasta lompakostaan nollaosoitteeseen ja poisti näin haitallisen delegointikoodin.

Uudelleenrakennetut järjestelmät ja FBI:n erillinen tekijämääritys

Marraskuun 3. päivään mennessä Binance oli rakentanut vaikutuksen kohteena olleen lompakkojärjestelmän uudelleen uuteen ympäristöön sekä rakentanut uudelleen vaarantuneen sisäisen tekoälytyökalun ja sen käyttöoikeuksien hallinnan. Se oli myös vaihtanut vaikutuksen kohteena olleet laitteet, poistanut käytöstä niihin liittyvät tunnistetiedot ja tunnisteet, tehnyt tehostetut tarkistukset työntekijöiden laitteille, laajentanut tekoälypohjaista käyttäytymisen poikkeamien tunnistusta ja vahvistanut lompakkopalvelun riskienhallintaa.

Riippumattomia ulkopuolisia kyberturvallisuusasiantuntijoita otetaan mukaan varmentamaan havainnot ja suosittelemaan lisätoimia. Binance lisää investointejaan tekoälypohjaiseen uhkien tunnistukseen, päätelaitteiden suojaukseen, kehitysympäristöjen tietoturvaan ja käyttäytymisen valvontaan. Lisäksi se valmistelee tietoturvatutkimusrahaston perustamista ja kohdennettuja hankkeita tekoäly-yritysten, alan toimijoiden ja tietoturvayritysten kanssa. Hankkeissa keskitytään tekoälyn tietoturvaan lohkoketjuympäristöissä.

Erillisessä 31. lokakuuta 2026 päivätyssä ilmoituksessa FBI kertoi, että Pohjois-Korean TraderTraitor-toimijat olivat vastuussa, että virasto ja sen kumppanit USSS ja IRS-CI olivat havainneet niiden muuntavan varastettuja varoja pääasiassa Etheriksi ja että varojen pesun odotettiin jatkuvan DeFi- ja pikavaihtopalveluissa. Viranomaiset kehottivat solmuoperaattoreita, pörssejä, DeFi-palveluita, lohkoketjuanalytiikkayrityksiä ja muita virtuaalivarapalveluiden tarjoajia estämään listattuihin osoitteisiin liittyvät tai niistä johdetut transaktiot.

Tilanne jättää ratkaisematta eristämisongelman, joka ulottuu haittaohjelmien tunnistamista pidemmälle: ensimmäisen vaarantuneen laitteen vaihtaminen ei katkaissut hyökkääjän pääsyä lompakkotiimiin, eikä nostojen keskeyttäminen poistanut ketjussa olevaa määräysvaltaa. Riippumaton arviointi toimii nyt tarkistuksena sekä Binancen tekemälle tapahtumaketjun rekonstruktiolle että sille, puuttuvatko uudelleen rakennetut hallintakeinot ongelmaan.