Binance beskriver falske jobbintervjuer og kompromittering av et AI-verktøy i hackerangrep

Binance opplyste i de første funnene, publisert 3. november 2026, at falske rekrutteringsintervjuer, skadelig programvare for utviklere og et kompromittert internt AI-verktøy gikk forut for tyveriet av digitale eiendeler til en verdi av omtrent 6,34 milliarder dollar 29. oktober 2026.

Børsen vil ta det økonomiske tapet selv i stedet for å velte det over på brukerne. Binance opplyste at selskapet hadde satt av mer enn 100 % av midlene som trengs for å dekke tapet, erstattet 98 % av de berørte token-eiendelene per 31. oktober 2026 og fryst eller stanset overføringer av eiendeler til en verdi av omtrent 2,85 milliarder dollar, med forbehold om avstemming og svingninger i markedsprisene. Selskapet kjøper de gjenværende, mindre likvide eiendelene.

Siden om reserverbevis, som det vises til i forbindelse med tilbakeføringen, beskriver full dekning i forholdet 1:1 for brukernes eiendeler i depot. Den bruker poster i Merkle-trær og zk-SNARK-bevis, slik at brukerne kan kontrollere at saldoene deres er tatt med i rapporten over forpliktelser.

Funnene er fortsatt foreløpige. Etterforskningen pågår, en uavhengig gjennomgang gjenstår, og Binance holder tilbake enkelte tekniske detaljer for å unngå å hjelpe ondsinnede aktører med å planlegge angrep.

Tilgang i flere måneder før angrepet på lommebøkene

I juni 2026 lastet en DevOps-ingeniør for lommebøker ned en manipulert Homebrew-installasjon mens vedkommende forsøkte å installere et populært AI-kodeverktøy som var funnet via en søkemotor. Binance oppdaget avviket, byttet ut enheten og fornyet tilhørende påloggingsopplysninger, men angriperen hadde allerede fått tilgang til ingeniørens rolle og kollegene i teamet for lommebokinfrastruktur.

I september 2026 ble en annen programvareingeniør kontaktet via en legitim jobbplattform av en person som utga seg for å være prosjektdirektør. Først fulgte et direkte videointervju med en person som angivelig jobbet med personalressurser. Deretter ble det holdt et nytt intervju i en populær sosial chat-app med en person som hevdet å være administrerende direktør i et fiktivt selskap. Mot slutten fikk ingeniøren beskjed om å laste ned en oppgave med et skadelig kodelager til en arbeidsdatamaskin. Koden ble kjørt under oppsettet.

Skadevaren erstattet en legitim pyenv-komponent med en ondsinnet versjon og kommuniserte med en server kontrollert av angriperen. Binance opplyste at endepunktbeskyttelsen ikke oppdaget null-dagsskadekoden på det aktuelle tidspunktet, mens angriperen gjorde tiltak for å skjule aktiviteten og fjerne spor etter kompromitteringen.

20. oktober 2026 brukte angriperen den kompromitterte datamaskinen til den andre ingeniøren og et internt AI-verktøy til å utvide tilgangen til den opprinnelige DevOps-ingeniøren og en annen programvareingeniør i lommebokteamet. Deretter ble det funnet et tilgangstoken for utrulling av containere på DevOps-ingeniørens datamaskin. Mellom kl. 17.15 og 19.56 UTC 29. oktober logget angriperen seg inn på datamaskinen til den tredje ingeniøren, brukte påloggingsopplysninger stjålet fra DevOps-ingeniøren, rullet ut en container og utløste det ondsinnede skriptet som satte i gang angrepet på lommebøkene.

Autorisasjoner på blokkjeden gjorde det vanskeligere å begrense angrepet

Angriperen brukte uautorisert tilgang til en intern tjeneste for signering av lommeboktransaksjoner til å sette i gang transaksjoner utenom Binances vanlige uttaksprosess. Mellom kl. 20.05 og 20.09 UTC sendte fem Binance-hot wallets 233,46 millioner XRP til en adresse kontrollert av angriperen. Senere utgående overføringer kom fra hot wallets på Solana og Optimism, og en Binance-hot wallet sendte 18 270 Bitcoin til en adresse kontrollert av angriperen.

Angriperen utnyttet også Ethereums autorisasjonsmekanisme EIP-7702, som lar en konto delegere bestemte kjøringsrettigheter til en smartkontrakt uten å eksponere den private nøkkelen. Femti signeringstransaksjoner manipulerte kontoens nonce og opprettet ondsinnede delegeringsautorisasjoner, som ga en kontrakt kontrollert av angriperen delvise kjøringsrettigheter over en Binance-hot wallet. Disse autorisasjonene gjorde det mulig for eiendeler å fortsette å flyttes uavhengig av børsens uttaksinfrastruktur.

Dermed gjorde verken stans i uttakene eller nedstenging av hot-wallet-tjenestene de eksisterende autorisasjonene på blokkjeden ugyldige. Siden lommeboken brukte flerpartsberegning, fantes det ingen enkelt privat nøkkel som kunne tilbakekalles umiddelbart, og det ble nødvendig med en spesialisert prosedyre som tok ekstra tid. Den siste uautoriserte overføringen, på 2 961,9 Ether, ble endelig bekreftet på blokkjeden kl. 23.56 UTC etter tidligere å ha stått som ventende; det ble ikke observert flere uautoriserte overføringer etter dette. Kl. 00.10 UTC 30. oktober 2026 gjennomførte Binance en ny autorisasjon fra sin Binance14-hot wallet til nulladressen og fjernet dermed den ondsinnede delegeringskoden.

Gjenoppbygde systemer og en separat FBI-tilskrivning

Per 3. november hadde Binance gjenoppbygd det berørte lommeboksystemet i et nytt miljø og bygd opp igjen det berørte interne AI-verktøyet og tilgangskontrollene til det. Selskapet hadde også byttet ut berørte enheter, deaktivert tilhørende påloggingsopplysninger og tokener, gjennomført utvidede skanninger av ansattes enheter, utvidet AI-basert oppdagelse av atferdsavvik og styrket risikokontrollene for lommeboktjenestene.

Uavhengige cybersikkerhetseksperter fra tredjeparter blir engasjert for å bekrefte funnene og anbefale ytterligere tiltak. Binance øker investeringene i KI-basert deteksjon, endepunktbeskyttelse, sikkerhet i utviklingsmiljøer og atferdsovervåking. Selskapet arbeider også med å opprette et fond for sikkerhetsforskning og målrettede initiativer sammen med KI-selskaper, aktører i bransjen og sikkerhetsselskaper, med fokus på KI-sikkerhet i blokkjedeomgivelser.

I en separat melding datert 31. oktober 2026 sa FBI at TraderTraitor-aktørene fra Nord-Korea sto bak, at byrået og samarbeidspartnerne USSS og IRS-CI hadde observert at de hovedsakelig konverterte stjålne verdier til Ether, og at ytterligere hvitvasking var ventet gjennom DeFi- og umiddelbare byttetjenester. Myndighetene oppfordret nodeoperatører, børser, DeFi-tjenester, blokkjedeanalyseselskaper og andre tilbydere av virtuelle aktiva til å blokkere transaksjoner som involverte eller stammet fra de oppførte adressene.

Redegjørelsen avdekker et inneslutningsproblem som går lenger enn deteksjon av skadevare: Å erstatte den første kompromitterte enheten avsluttet ikke angriperens tilgang til lommebokteamet, og å stanse uttak fjernet ikke kontrollen på blokkjeden. Den uavhengige gjennomgangen blir nå en kontroll av både Binances rekonstruksjon av denne angrepskjeden og hvorvidt de gjenoppbygde kontrollmekanismene håndterer den.