Pencurian Binance Bermula dari Wawancara Kerja: Akses Menentukan Besarnya Kerugian

Pada September, seorang insinyur perangkat lunak Binance menjalani dua wawancara kerja dengan perusahaan yang sebenarnya tidak ada. Wawancara pertama berupa panggilan video langsung dengan seorang staf HR yang membagikan akun media sosial pribadinya, lengkap dengan foto dan video, untuk membuktikan bahwa dirinya benar-benar ada. Wawancara kedua berlangsung di aplikasi obrolan, dengan seseorang yang mengaku sebagai CEO. Menjelang akhir wawancara, sang insinyur diminta mengunduh tugas pemrograman ke komputer kerjanya.

Pada 29 Oktober, para penyerang memindahkan sekitar $6,34 miliar dari dompet Binance, sebagian besar dalam waktu kira-kira 20 menit. FBI menyatakan bahwa pencurian itu dilakukan oleh TraderTraitor, kelompok Korea Utara yang juga dituding bertanggung jawab atas pencurian $1,5 miliar dari Bybit pada Februari 2025. Ini merupakan pencurian mata uang kripto terbesar yang pernah tercatat.

Binance telah menyatakan bertanggung jawab dan mengatakan akan menanggung kerugiannya. Per 3 November, Binance melaporkan bahwa 98% aset token yang terdampak telah dipulihkan dan sekitar $2,85 miliar telah dibekukan atau dicegat.

Pertanyaan yang patut diajukan adalah: Sistem apa saja yang dapat dijangkau dari satu laptop yang telah disusupi, dan dapatkah setiap tim menguji hal itu di lingkungannya sendiri sekarang?

Dua Titik Masuk dan Kampanye yang Berlangsung dari Juni hingga Oktober

Tidak ada bagian dalam pembaruan Binance pada 3 November yang menunjukkan penggunaan deepfake atau teknik lain dengan bantuan AI. Kedua jalur masuk melibatkan orang: seorang insinyur yang memercayai hasil pencarian dan seorang lagi yang memercayai perekrut.

Kampanye ini berlangsung setidaknya selama lima bulan. Pada Juni, seorang insinyur DevOps yang menangani dompet digital dan sedang mencari alat pemrograman AI mengunduh penginstal Homebrew yang telah dimodifikasi. Tim keamanan Binance mendeteksi kejanggalan itu, mengganti perangkat tersebut, dan merotasi kredensial. Saat itu, para penyerang sudah mengetahui siapa saja anggota tim infrastruktur dompet digital.

Tiga bulan kemudian, mereka kembali melalui jalur lain. Insinyur yang didekati pada September memiliki profil di platform pencarian kerja yang sah, yang mencantumkan pengalamannya di Binance. Tugas pemrograman yang diberikan kepadanya berisi perangkat lunak berbahaya yang berjalan saat penyiapan, mengganti komponen pyenv yang sah dengan komponen berbahaya, terhubung ke server yang dikendalikan penyerang, lalu menghapus jejaknya. Binance menyatakan bahwa perlindungan titik akhirnya tidak mendeteksi perangkat lunak tersebut.

Pada 20 Oktober, para penyerang menggunakan laptop itu dan alat AI internal untuk mengambil alih komputer dua insinyur lainnya, salah satunya milik insinyur DevOps yang disusupi pada Juni. Di komputer tersebut, mereka menemukan token dengan izin untuk menerapkan kontainer. Pada 29 Oktober, mereka masuk ke komputer insinyur yang lain, menggunakan kredensial curian untuk menerapkan kontainer, lalu menjalankan skrip yang memulai pencurian.

Mengapa Umpan Perekrut Masih Berhasil

Perekrut palsu dan tes pemrograman yang disusupi merupakan taktik lama. Selama bertahun-tahun, pelaku dari Korea Utara telah menggunakannya untuk menyasar para pengembang, terutama dalam kampanye yang dikenal sebagai Contagious Interview. Binance menyatakan bahwa sepanjang 2026 saja, mereka telah menghentikan 57 upaya yang diduga terkait Korea Utara.

Umpan ini berhasil karena meminta para insinyur melakukan sesuatu yang mereka kerjakan setiap hari. Menjalankan repositori yang tidak dikenal merupakan hal wajar dalam wawancara teknis. Tidak ada alamat pengirim yang mencurigakan atau tautan yang perlu diperiksa dengan mengarahkan kursor ke atasnya; yang ada hanya calon pemberi kerja yang tampak meyakinkan, seseorang di layar video, dan tugas yang terlihat seperti pekerjaan biasa.

Pesan dari perekrut juga termasuk salah satu dari sedikit pendekatan tak diminta yang disambut baik orang. Program kesadaran keamanan tidak dapat menjamin bahwa setiap insinyur akan mengenali setiap pesan yang meyakinkan, sehingga pengendalian keamanan harus berasumsi bahwa satu pesan akan lolos.

Bagaimana Satu Laptop Dapat Menjangkau Dompet Digital

Pertanyaan pertama saya berkaitan dengan pengendalian keamanan di lingkungan kerja insinyur tersebut. Penggunaan komputer kerja untuk mengerjakan tes pemrograman dari pihak luar patut dicermati. Kekhawatiran yang lebih besar adalah bagaimana satu penyusupan itu memungkinkan akses ke sistem lain dan, pada akhirnya, ke infrastruktur keuangan yang sensitif.

Setiap langkah setelah infeksi awal memanfaatkan kepercayaan yang sudah ada di lingkungan Binance. Sebuah alat AI internal menerima instruksi dari mesin yang telah disusupi dan meneruskannya ke perangkat rekan kerja. Sebuah token penerapan tersimpan di laptop seorang insinyur. Penerapan kontainer dengan kredensial yang sah memindahkan miliaran dolar. Tak satu pun dari semua itu memerlukan umpan lain.

Alat AI internal perlu mendapat perhatian khusus. Alat semacam itu sering kali memiliki izin luas di berbagai repositori, titik akhir, dan layanan, sehingga siapa pun yang mengendalikan mesin yang dapat memberi instruksi kepada alat tersebut turut mewarisi jangkauannya.

Melindungi Pengembang Tanpa Menghambat Rekayasa Perangkat Lunak

Pengembang perlu mengunduh paket, menjalankan kode yang tidak dikenal, dan menguji perangkat lunak. Mengunci laptop mereka seketat komputer kerja bagian keuangan akan sangat memperlambat pekerjaan rekayasa perangkat lunak dan mendorong para insinyur mencari cara untuk mengakali pembatasan. Kebijakan yang melarang aktivitas mencari kerja di perangkat perusahaan adalah hal yang wajar, tetapi tak seorang pun selalu mematuhi kebijakan setiap saat. Tujuan praktisnya adalah membatasi tindakan yang dapat dilakukan selanjutnya oleh mesin pengembang yang telah disusupi.

Sejumlah kecil kontrol dapat memberikan dampak terbesar. Kode yang tidak tepercaya sebaiknya dijalankan di mesin virtual sekali pakai yang tidak memiliki akses ke kredensial perusahaan. Kredensial untuk penerapan sebaiknya berumur singkat, memiliki cakupan terbatas, dan sedapat mungkin diterbitkan untuk alur kerja penerapan yang terkendali. Kunci penandatanganan dompet atau pecahan kunci harus dilindungi secara terpisah dari komputer kerja pengembang, dengan kebijakan penandatanganan yang membatasi transaksi dan otorisasi mana yang dapat disetujui. Tindakan yang menyentuh sistem dompet, pembayaran, atau produksi harus memerlukan persetujuan dari orang kedua melalui perangkat terpisah. Alat AI internal harus dijalankan dengan izin seminimal mungkin dan mencatat aktivitasnya.

Deteksi juga harus tetap berfungsi ketika kredensial yang digunakan sah. Pemantauan perilaku yang menandai penerapan dari mesin yang tidak dikenal atau pada jam yang tidak biasa memberi tim kesempatan untuk turun tangan meskipun semua kredensial tampak valid. Binance mengatakan telah memperluas deteksi semacam ini sejak insiden tersebut.

Peran Intelijen Ancaman

Peringatan itu telah dipublikasikan enam minggu sebelum pencurian terjadi. Imbauan bersama tentang Contagious Interview menjelaskan bagaimana para pelaku menyamar sebagai perekrut dari perusahaan AI, kripto, dan NFT untuk menyasar tenaga profesional TI dan mencuri mata uang kripto. Kasus Binance mengikuti pola yang sama.

Intelijen ancaman memiliki fungsi konkret dalam kampanye seperti ini. Para pelakunya mungkin berganti, tetapi taktik mereka sudah diketahui. Tim yang melacak mereka dapat memblokir infrastruktur yang sudah diketahui dan memperingatkan para pengembang tentang modus yang sedang digunakan.

Intelijen juga memberi tahu tim siapa yang membutuhkan perlindungan ekstra. Setelah sebuah insiden mengungkap siapa yang memiliki akses sensitif, seperti yang terjadi dalam pembobolan Binance pada Juni, orang-orang tersebut harus dianggap sebagai sasaran potensial selama berbulan-bulan, dengan pemantauan lebih ketat terhadap perangkat mereka dan pendekatan yang mereka terima.

Dampak di Luar Dunia Kripto

Bursa kripto jelas menjadi sasaran karena dana curian dapat berpindah dengan cepat dan sulit dipulihkan. Pola yang sama berlaku di mana pun komputer kerja pengembang hanya berjarak beberapa tahap dari sistem penting, baik itu jalur pemrosesan pembayaran bank maupun proses pembangunan dan peluncuran perangkat lunak milik vendor. Modus perekrutan menjangkau para insinyur di semua organisasi tersebut.

Bagi para pemimpin keamanan yang meninjau lingkungan mereka sendiri pekan ini, ada dua pemeriksaan yang paling penting. Pertama, petakan apa saja yang dapat dijangkau oleh satu laptop pengembang yang disusupi saat ini, termasuk token yang tersimpan, kunci SSH, kredensial cloud, dan alat AI internal. Kedua, pastikan bahwa penerapan ke sistem produksi dan transaksi bernilai tinggi memerlukan persetujuan independen yang tidak dapat diberikan oleh satu identitas yang disusupi.

Binance telah membangun ulang sistem yang terdampak dan melibatkan peninjau independen, dengan keputusan yang diambil setelah kerugian terjadi. Organisasi yang melakukan latihan serupa sekarang dapat mengambil keputusan sesuai jadwal mereka sendiri.