Furtul de la Binance a început cu un interviu de angajare: accesul a determinat costul

În septembrie, un inginer software de la Binance a participat la două interviuri de angajare cu o companie care nu exista. Primul a fost un apel video în direct cu un reprezentant de la resurse umane, care a distribuit un cont personal de pe rețelele sociale, cu fotografii și videoclipuri, pentru a dovedi că era o persoană reală. Al doilea a avut loc într-o aplicație de chat, unde cineva s-a prezentat drept director general. Spre final, inginerului i s-a cerut să descarce o probă de programare pe computerul de serviciu.

Pe 29 octombrie, atacatorii au transferat din portofelele Binance aproximativ 6,34 miliarde de dolari, cea mai mare parte în aproximativ 20 de minute. FBI-ul a atribuit furtul grupului nord-coreean TraderTraitor, acuzat și de furtul a 1,5 miliarde de dolari de la Bybit în februarie 2025. Este cel mai mare furt de criptomonede înregistrat vreodată.

Binance și-a asumat responsabilitatea și a declarat că va acoperi pierderile. La 3 noiembrie, compania a raportat că fusese reconstituit 98% din valoarea activelor afectate în tokenuri și că aproximativ 2,85 miliarde de dolari fuseseră blocați sau interceptați.

Întrebarea care merită pusă este: La ce putea avea acces un singur laptop compromis și poate fiecare echipă să testeze acest lucru în propriul mediu chiar astăzi?

Două puncte de intrare și o campanie desfășurată din iunie până în octombrie

Nimic din actualizarea Binance din 3 noiembrie nu indică folosirea deepfake-urilor sau a altor tehnici asistate de IA. Ambele breșe au implicat oameni: un inginer care a avut încredere într-un rezultat al căutării și altul care a avut încredere într-un recrutor.

Campania s-a desfășurat timp de cel puțin cinci luni. În iunie, un inginer DevOps care lucra la portofele și căuta un instrument de programare bazat pe IA a descărcat un program de instalare Homebrew modificat. Echipa de securitate Binance a detectat anomalia, a înlocuit dispozitivul și a schimbat datele de autentificare. Până atunci, atacatorii aflaseră deja cine făcea parte din echipa de infrastructură a portofelelor.

Trei luni mai târziu, s-au întors pe o altă cale. Inginerul abordat în septembrie avea un profil pe o platformă legitimă de căutare a unui loc de muncă, în care menționa experiența sa la Binance. Proba de programare conținea un program malware care se executa în timpul configurării, înlocuia o componentă legitimă pyenv cu una malițioasă, se conecta la un server controlat de atacatori și își ștergea urmele. Binance afirmă că sistemul său de protecție a punctelor terminale nu l-a detectat.

Pe 20 octombrie, atacatorii au folosit acel laptop și un instrument intern de IA pentru a prelua controlul asupra dispozitivelor a încă doi ingineri; unul dintre ele aparținea inginerului DevOps compromis în iunie. Pe acel dispozitiv au găsit un token cu permisiuni de implementare a containerelor. Pe 29 octombrie, s-au conectat la computerul celuilalt inginer, au folosit datele de autentificare furate pentru a implementa un container și au rulat scriptul care a declanșat furtul.

De ce încă funcționează momelile recrutorilor

Recrutorii falși și testele de programare compromise fac parte dintr-o schemă veche. Operatori nord-coreeni au folosit-o împotriva dezvoltatorilor ani la rând, cel mai cunoscut exemplu fiind campania numită Contagious Interview. Binance afirmă că numai în 2026 a oprit 57 de tentative suspectate de a avea legături cu Coreea de Nord.

Momeala funcționează fiindcă le cere inginerilor să facă ceva ce fac în fiecare zi. Rularea unui depozit de cod necunoscut este o parte obișnuită a unui interviu tehnic. Nu există o adresă de expeditor suspectă și niciun link peste care să treci cursorul, ci doar un angajator plauzibil, o persoană prezentă într-un apel video și o sarcină care pare o activitate de serviciu.

Mesajul unui recrutor este și una dintre puținele abordări nesolicitate pe care oamenii le primesc cu bucurie. Niciun program de conștientizare nu poate garanta că fiecare inginer va recunoaște fiecare tentativă convingătoare, așa că măsurile de protecție trebuie să pornească de la premisa că una va reuși.

Cum a ajuns un singur laptop la portofele

Prima mea întrebare privește măsurile de securitate din mediul de lucru al acelui inginer. Folosirea unui computer de serviciu pentru o probă externă de programare ar trebui să atragă atenția. Îngrijorarea mai mare este felul în care acea singură compromitere a permis accesul la alte sisteme și, în cele din urmă, la infrastructura financiară sensibilă.

Fiecare pas de după infectarea inițială s-a bazat pe încrederea deja existentă în interiorul Binance. Un instrument intern de IA a acceptat instrucțiuni de la un dispozitiv compromis și le-a folosit pentru a ajunge la dispozitivele colegilor. Pe laptopul unui inginer se afla un token de implementare. O implementare de container realizată cu date de autentificare valide a transferat miliarde. Nimic din toate acestea nu a necesitat o altă momeală.

Instrumentele interne de IA merită o atenție deosebită. Ele operează adesea cu permisiuni extinse în depozite de cod, puncte terminale și servicii, așa că oricine controlează un dispozitiv de pe care poate da instrucțiuni unui astfel de instrument moștenește raza lui de acțiune.

Protejarea dezvoltatorilor fără a încetini activitatea de inginerie

Dezvoltatorii trebuie să descarce pachete, să ruleze cod necunoscut și să testeze software. Blocarea laptopurilor lor la fel de strict ca a unui computer de la departamentul financiar ar încetini drastic activitatea de inginerie și i-ar împinge pe ingineri să recurgă la soluții ocolitoare. O politică prin care activitățile de căutare a unui loc de muncă sunt interzise pe dispozitivele companiei este rezonabilă, dar nimeni nu respectă o politică de fiecare dată. Obiectivul practic este să se limiteze ce poate face mai departe un dispozitiv compromis al unui dezvoltator.

Câteva măsuri de control fac cea mai mare diferență. Codul neverificat ar trebui rulat în mașini virtuale de unică folosință, fără acces la acreditările corporative. Acreditările pentru implementare ar trebui să aibă o durată de valabilitate scurtă, un domeniu de aplicare restrâns și, pe cât posibil, să fie emise pentru fluxuri de lucru controlate de implementare. Cheile de semnare ale portofelului sau fragmentele de cheie ar trebui protejate separat de stațiile de lucru ale dezvoltatorilor, iar politicile de semnare ar trebui să limiteze tranzacțiile și autorizările care pot fi aprobate. Acțiunile care implică portofele, plăți sau sisteme de producție ar trebui să necesite aprobarea unei a doua persoane, de pe un dispozitiv separat. Instrumentele interne de IA ar trebui să funcționeze cu permisiuni minime și să înregistreze ce fac.

Detectarea trebuie să funcționeze și atunci când acreditările sunt legitime. Monitorizarea comportamentală care semnalează o implementare de pe un dispozitiv neașteptat sau la o oră neobișnuită oferă echipei ocazia să intervină chiar și atunci când toate acreditările par în regulă. Binance spune că a extins acest tip de detectare după incident.

Unde se încadrează informațiile despre amenințări

Avertizarea a fost făcută publică cu șase săptămâni înainte de furt. Avertizarea comună privind Contagious Interview a descris operatori care se dădeau drept recrutori ai unor companii din domeniul IA, cripto și NFT, pentru a viza profesioniști din IT și a fura criptomonede. Cazul Binance a urmat același tipar.

Informațiile despre amenințări au un rol concret în astfel de campanii. Actorii se pot schimba, dar tacticile lor sunt cunoscute. Echipele care îi urmăresc pot bloca infrastructura cunoscută și îi pot avertiza pe ingineri cu privire la pretextele folosite în prezent.

Informațiile arată și cine are nevoie de protecție suplimentară. Odată ce un incident dezvăluie cine deține acces sensibil, așa cum s-a întâmplat în cazul compromiterii Binance din iunie, acele persoane ar trebui considerate ținte probabile timp de luni de zile, iar dispozitivele lor și abordările pe care le primesc ar trebui monitorizate mai atent.

Ce înseamnă acest lucru în afara domeniului cripto

Platformele de schimb de criptomonede sunt o țintă evidentă, deoarece fondurile furate se transferă rapid și sunt greu de recuperat. Același tipar se regăsește oriunde stația de lucru a unui dezvoltator se află la doar câteva legături de sisteme critice, fie că este vorba despre infrastructura de plăți a unei bănci, fie despre procesul de compilare și lansare al unui furnizor de software. Pretextele legate de recrutare ajung la ingineri din toate aceste organizații.

Pentru liderii din domeniul securității care își evaluează săptămâna aceasta propriile medii, două verificări sunt esențiale. În primul rând, stabiliți la ce ar putea avea acces astăzi un singur laptop compromis al unui dezvoltator, inclusiv la tokenurile stocate, cheile SSH, acreditările pentru cloud și instrumentele interne de IA. În al doilea rând, confirmați că implementările în producție și tranzacțiile de mare valoare necesită o aprobare independentă, pe care o singură identitate compromisă nu o poate furniza.

Binance a reconstruit sistemele afectate și a adus evaluatori independenți, deciziile fiind luate după pierdere. Organizațiile care fac acum același exercițiu își pot lua deciziile după propriul calendar.