Binance beskriver falska jobbintervjuer och kompromettering av AI-verktyg i hackerattack

Binance uppgav i de första resultaten, som publicerades den 3 november 2026, att falska rekryteringsintervjuer, skadlig utvecklarprogramvara och ett komprometterat internt AI-verktyg föregick stölden av digitala tillgångar värda cirka 6,34 miljarder dollar den 29 oktober 2026.

Börsen kommer att bära den ekonomiska förlusten i stället för att låta användarna stå för den. Binance uppgav att bolaget hade avsatt mer än 100 % av de medel som krävdes för att täcka förlusten, återställt 98 % av de berörda tokentillgångarna per den 31 oktober 2026 och fryst eller stoppat tillgångar värda cirka 2,85 miljarder dollar, med förbehåll för avstämning och marknadsprisernas volatilitet. Bolaget köper de återstående tillgångarna med lägre likviditet.

Sidan Bevis på reserver, som hänvisades till i samband med återställandet, beskriver ett täckningsförhållande på 1:1 för användarnas förvaltade tillgångar. Den använder Merkle-trädposter och zk-SNARK-bevis så att användarna kan kontrollera att deras saldon ingår i skuldr rapporten.

Resultaten är fortfarande preliminära. Utredningen pågår, en oberoende granskning återstår och Binance undanhåller vissa tekniska detaljer för att inte hjälpa angripare att planera attacker.

Månader av åtkomst före plånboksattacken

I juni 2026 laddade en DevOps-ingenjör inom plånboksinfrastrukturen ner en manipulerad Homebrew-installation när hen försökte installera ett populärt AI-kodningsverktyg som hen hittat via en sökmotor. Binance upptäckte avvikelsen, bytte ut enheten och roterade de tillhörande inloggningsuppgifterna, men angriparen hade redan fått kännedom om ingenjörens roll och kollegorna i teamet för plånboksinfrastruktur.

I september 2026 kontaktades en annan programvaruingenjör via en legitim plattform för jobbsökning av någon som utgav sig för att vara projektledare. En videointervju i realtid med en person som påstod sig arbeta med personalfrågor följdes av en andra intervju i en populär social chattapp med någon som sade sig vara vd för ett fiktivt företag. Mot slutet av intervjun fick ingenjören instruktioner om att ladda ner en uppgift som innehöll ett skadligt kodarkiv till en arbetsdator. Koden kördes under installationen.

Den skadliga programvaran ersatte en legitim pyenv-komponent med en skadlig version och kommunicerade med en server som kontrollerades av angriparen. Binance uppgav att skyddet av ändenheter inte upptäckte zero-day-skadligprogramvaran vid den tidpunkten, samtidigt som angriparen vidtog åtgärder för att dölja aktiviteten och radera spåren efter intrånget.

Den 20 oktober 2026 använde angriparen den andra ingenjörens komprometterade dator och ett internt AI-verktyg för att utöka sin kontroll till den ursprungliga DevOps-ingenjören och ytterligare en programvaruingenjör inom plånboksteamet. Därefter hittades en behörighetstoken för containerdistribution på DevOps-ingenjörens dator. Mellan 17:15 och 19:56 UTC den 29 oktober loggade angriparen in på den tredje ingenjörens dator, använde inloggningsuppgifter som stulits från DevOps-ingenjören, distribuerade en container och aktiverade det skadliga skript som inledde plånboksattacken.

Auktoriseringar på blockkedjan försvårade begränsningen av attacken

Angriparen utnyttjade obehörig åtkomst till en intern tjänst för signering av plånbokstransaktioner för att initiera transaktioner utanför Binances vanliga uttagsprocess. Mellan 20:05 och 20:09 UTC skickade fem heta Binance-plånböcker 233,46 miljoner XRP till en adress som kontrollerades av angriparen. Därefter skedde utflöden från heta plånböcker på Solana och Optimism, och en het Binance-plånbok skickade 18 270 Bitcoin till en adress som kontrollerades av angriparen.

Angriparen utnyttjade också Ethereums auktoriseringsmekanism EIP-7702, som gör det möjligt för ett konto att delegera vissa exekveringsbehörigheter till ett smart kontrakt utan att avslöja sin privata nyckel. Femtio signeringstransaktioner manipulerade kontots nonce och upprättade skadliga delegeringsauktoriseringar, vilket gav ett kontrakt som kontrollerades av angriparen partiella exekveringsbehörigheter över en het Binance-plånbok. Dessa auktoriseringar gjorde det möjligt för tillgångar att fortsätta flyttas oberoende av börsens uttagsinfrastruktur.

Därför gjorde det inte de befintliga behörigheterna på blockkedjan ogiltiga att stoppa uttag och stänga ner tjänster för heta plånböcker. Eftersom plånboken använde flerpartsberäkning fanns det ingen enskild privat nyckel som kunde återkallas omedelbart, vilket krävde ett specialförfarande som tog ytterligare tid. Den sista obehöriga överföringen, 2 961,9 Ether, bekräftades på blockkedjan kl. 23:56 UTC efter att tidigare ha legat kvar som väntande; inga ytterligare obehöriga överföringar observerades därefter. Kl. 00:10 UTC den 30 oktober 2026 genomförde Binance en ny auktorisering från sin heta Binance14-plånbok till nolladressen, vilket rensade den skadliga delegeringskoden.

Återuppbyggda system och en separat attribution från FBI

Den 3 november hade Binance byggt upp det drabbade plånbokssystemet på nytt i en ny miljö och byggt upp det drabbade interna AI-verktyget och dess åtkomstkontroller på nytt. Bolaget bytte också ut berörda enheter, avvecklade tillhörande inloggningsuppgifter och token, slutförde utökade genomsökningar av de anställdas enheter, utökade den AI-baserade upptäckten av beteendeavvikelser och stärkte riskkontrollerna för plånbokstjänster.

Oberoende cybersäkerhetsexperter från tredje part anlitas för att bekräfta resultaten och rekommendera ytterligare åtgärder. Binance ökar sina investeringar i AI-baserad detektion, skydd av slutpunkter, säkerhet i utvecklingsmiljöer och beteendeövervakning. Företaget arbetar också med att inrätta en fond för säkerhetsforskning och riktade initiativ tillsammans med AI-företag, branschaktörer och säkerhetsföretag med fokus på AI-säkerhet i blockkedjemiljöer.

I ett separat meddelande daterat den 31 oktober 2026 uppgav FBI att aktörer från Nordkoreas TraderTraitor låg bakom, att myndigheten och dess partner USSS och IRS-CI hade sett dem omvandla stulna tillgångar främst till Ether och att ytterligare penningtvätt väntades via DeFi-tjänster och tjänster för omedelbart byte. Myndigheterna uppmanade nodoperatörer, börser, DeFi-tjänster, företag inom blockkedjeanalys och andra leverantörer av virtuella tillgångar att blockera transaktioner som involverar eller härrör från de angivna adresserna.

Redogörelsen blottlägger ett problem med att begränsa incidenten som sträcker sig längre än till att upptäcka skadlig kod: att byta ut den första komprometterade enheten avslutade inte angriparens exponering mot plånboksteamet, och ett tillfälligt stopp för uttag undanröjde inte behörigheten på blockkedjan. Den oberoende granskningen blir nu en kontroll av både Binances rekonstruktion av den kedjan och huruvida företagets återuppbyggda skyddsåtgärder hanterar den.