Binance oferă detalii despre interviuri false de angajare și compromiterea unui instrument IA în urma unui atac informatic

Binance a declarat în constatările preliminare, publicate la 3 noiembrie 2026, că interviurile false de recrutare, software-ul malițios pentru dezvoltatori și compromiterea unui instrument IA intern au precedat furtul unor active digitale în valoare de aproximativ 6,34 miliarde de dolari, la 29 octombrie 2026.

Platforma de schimb va suporta impactul financiar, în loc să îl transfere utilizatorilor. Binance a raportat că a rezervat peste 100% din fondurile necesare pentru a acoperi pierderea, că a reconstituit 98% din activele cripto afectate la 31 octombrie 2026 și că a înghețat sau interceptat active în valoare de aproximativ 2,85 miliarde de dolari, sumă care va fi stabilită în urma reconcilierii și este supusă volatilității prețurilor de pe piață. Compania cumpără activele restante, mai puțin lichide.

Pagina Dovada rezervelor, citată în legătură cu reconstituirea activelor, descrie o acoperire de 1:1 pentru activele utilizatorilor păstrate în custodie. Aceasta folosește înregistrări bazate pe arbori Merkle și dovezi zk-SNARK, astfel încât utilizatorii să poată verifica dacă soldurile lor sunt incluse în raportul privind datoriile.

Constatările sunt în continuare preliminare. Ancheta este în curs, o analiză independentă este în așteptare, iar Binance nu dezvăluie unele detalii tehnice, pentru a evita să ajute actorii rău intenționați să planifice atacuri.

Luni de acces înaintea atacului asupra portofelelor

În iunie 2026, un inginer DevOps responsabil de portofele a descărcat o versiune modificată a programului Homebrew, în timp ce încerca să instaleze un instrument popular de programare bazat pe IA, găsit prin intermediul unui motor de căutare. Binance a detectat anomalia, a înlocuit dispozitivul și a schimbat datele de autentificare asociate, dar rolul inginerului și colegii săi din echipa de infrastructură a portofelelor fuseseră deja expuși atacatorului.

În septembrie 2026, o altă ingineră software a fost contactată printr-o platformă legitimă de căutare a unui loc de muncă de o persoană care s-a dat drept director de proiect. După un interviu video în direct cu cineva care pretindea că este reprezentant al departamentului de resurse umane, a urmat un al doilea interviu, într-o aplicație populară de chat social, cu o persoană care susținea că este directorul general al unei companii fictive. Spre finalul interviului, inginerii i s-a cerut să descarce pe un computer de serviciu o probă de lucru care conținea un depozit de cod malițios. Codul acestuia a fost executat în timpul instalării.

Programul malware a înlocuit o componentă legitimă pyenv cu una malițioasă și a comunicat cu un server controlat de atacator. Binance a declarat că, la momentul respectiv, soluția de protecție a dispozitivelor finale nu a detectat malware-ul de tip zero-day, în timp ce atacatorul a luat măsuri pentru a-și ascunde activitatea și a șterge urmele compromiterii.

La 20 octombrie 2026, atacatorul a folosit computerul compromis al celui de-al doilea inginer și un instrument IA intern pentru a-și extinde controlul asupra inginerului DevOps inițial și a unui alt inginer software responsabil de portofele. Ulterior, pe computerul inginerului DevOps a fost găsit un token de permisiune pentru implementarea containerelor. Între 17:15 și 19:56 UTC, la 29 octombrie, atacatorul s-a conectat la computerul celui de-al treilea inginer, a folosit datele de autentificare furate de la inginerul DevOps, a implementat un container și a declanșat scriptul malițios care a lansat atacul asupra portofelelor.

Autorizațiile on-chain au îngreunat limitarea atacului

Atacatorul a folosit accesul neautorizat la un serviciu intern de semnare a tranzacțiilor pentru portofele, ca să inițieze tranzacții în afara procesului obișnuit de retragere al Binance. Între 20:05 și 20:09 UTC, cinci portofele hot ale Binance au transferat 233,46 milioane XRP către o adresă controlată de atacator. Ulterior, au avut loc ieșiri de fonduri din portofelele hot Solana și Optimism, iar un portofel hot al Binance a trimis 18.270 Bitcoin către o adresă controlată de atacator.

Atacatorul a exploatat și mecanismul de autorizare EIP-7702 al Ethereum, care permite unui cont să delege anumite drepturi de execuție unui contract inteligent fără a-și dezvălui cheia privată. Cincizeci de tranzacții de semnare au manipulat nonce-ul contului și au stabilit autorizații malițioase de delegare, acordând unui contract controlat de atacator drepturi de execuție parțiale asupra unui portofel hot al Binance. Aceste autorizații au permis activelor să continue să fie transferate independent de infrastructura de retragere a platformei de schimb.

Prin urmare, suspendarea retragerilor și închiderea serviciilor pentru portofelele hot nu au invalidat permisiunile on-chain existente. Deoarece portofelul folosea calcul multipartit, nu exista o singură cheie privată care să poată fi revocată imediat, fiind necesară o procedură specializată care a durat mai mult. Ultimul transfer neautorizat, de 2.961,9 Ether, s-a finalizat on-chain la 23:56 UTC, după ce anterior rămăsese în așteptare; ulterior, nu au mai fost observate transferuri neautorizate. La 00:10 UTC, la 30 octombrie 2026, Binance a executat o nouă autorizare de pe portofelul său hot Binance14 către adresa zero, eliminând codul malițios de delegare.

Sisteme reconstruite și o atribuire separată către FBI

La 3 noiembrie, Binance reconstruise sistemul afectat al portofelelor într-un mediu nou și refăcuse instrumentul IA intern afectat și controalele de acces aferente. De asemenea, a înlocuit dispozitivele afectate, a dezactivat datele de autentificare și tokenurile asociate, a finalizat scanări aprofundate ale dispozitivelor angajaților, a extins detectarea anomaliilor comportamentale bazată pe IA și a consolidat controalele de risc pentru serviciile de portofel.

Sunt cooptați experți independenți în securitate cibernetică, terți, pentru a valida constatările și a recomanda măsuri suplimentare. Binance își sporește investițiile în detectarea bazată pe IA, protecția punctelor terminale, securitatea mediilor de dezvoltare și monitorizarea comportamentală. De asemenea, lucrează la înființarea unui fond pentru cercetarea în domeniul securității și la inițiative specifice împreună cu companii de IA, actori din industrie și firme de securitate, axate pe securitatea IA în mediile blockchain.

Într-o notificare separată, datată 31 octombrie 2026, FBI-ul a declarat că actorii TraderTraitor din Coreea de Nord sunt responsabili, că biroul și partenerii săi din cadrul USSS și IRS-CI i-au observat convertind activele furate în principal în Ether și că se așteaptă la spălarea în continuare a banilor prin servicii DeFi și de schimb instantaneu. Agențiile au îndemnat operatorii de noduri, bursele, serviciile DeFi, firmele de analiză blockchain și alți furnizori de servicii pentru active virtuale să blocheze tranzacțiile care implică adresele enumerate sau provin din acestea.

Relatarea scoate la iveală o problemă de izolare a incidentului care depășește detectarea programelor malware: înlocuirea primului dispozitiv compromis nu a pus capăt accesului atacatorului la echipa de portofele, iar suspendarea retragerilor nu a eliminat autoritatea de pe lanț. Analiza independentă devine acum un mijloc de verificare atât a modului în care Binance a reconstituit acel lanț, cât și a faptului că măsurile de control refăcute îl abordează.