Stölden från Binance började med en jobbintervju: åtkomsten avgjorde kostnaden

I september deltog en programvaruingenjör på Binance i två jobbintervjuer med ett företag som inte existerade. Den första var ett videosamtal i realtid med en HR-representant, som delade ett personligt konto på sociala medier med både foton och videor för att visa att hen var verklig. Den andra ägde rum i en chattapp, där någon utgav sig för att vara vd. Mot slutet ombads ingenjören att ladda ner en kodningsuppgift till sin arbetsdator.

Den 29 oktober flyttade angripare ut omkring 6,34 miljarder dollar från Binance-plånböcker, merparten på ungefär 20 minuter. FBI har tillskrivit stölden TraderTraitor, den nordkoreanska grupp som också har pekats ut för stölden av 1,5 miljarder dollar från Bybit i februari 2025. Det är den största kryptovalutastölden som någonsin registrerats.

Binance har tagit på sig ansvaret och säger att företaget kommer att stå för förlusterna. Den 3 november uppgav företaget att 98 % av de berörda kryptotillgångarna hade återställts och att omkring 2,85 miljarder dollar hade frysts eller stoppats.

Frågan som är värd att ställa är: Vad kunde en komprometterad dator nå, och kan varje team testa det i sin egen miljö redan i dag?

Två angreppsvägar och en kampanj från juni till oktober

Inget i Binances uppdatering den 3 november tyder på deepfakes eller andra AI-assisterade metoder. Båda angreppsvägarna gick via människor: en ingenjör som litade på ett sökresultat och en annan som litade på en rekryterare.

Kampanjen pågick i minst fem månader. I juni laddade en DevOps-ingenjör med ansvar för plånböcker, som letade efter ett AI-kodverktyg, ner ett manipulerat Homebrew-installationsprogram. Binances säkerhetsteam upptäckte avvikelsen, bytte ut enheten och förnyade autentiseringsuppgifterna. Då hade angriparna redan tagit reda på vilka som ingick i teamet för plånboksinfrastrukturen.

Tre månader senare kom de tillbaka via en annan väg. Ingenjören som kontaktades i september hade en profil på en legitim jobbsökarplattform där hans erfarenhet från Binance nämndes. Kodningsuppgiften innehöll skadlig kod som kördes under installationen, bytte ut en legitim pyenv-komponent mot en skadlig, anslöt till en server som kontrollerades av angriparna och raderade sina spår. Binance säger att företagets ändpunktsskydd inte upptäckte den.

Den 20 oktober använde angriparna den datorn och ett internt AI-verktyg för att ta kontroll över ytterligare två ingenjörers datorer. Den ena tillhörde DevOps-ingenjören som hade komprometterats i juni. På den datorn hittade de en token med behörighet att distribuera containrar. Den 29 oktober loggade de in på den andra ingenjörens dator, använde de stulna autentiseringsuppgifterna för att distribuera en container och körde skriptet som inledde stölden.

Därför fungerar rekryteringsbeten fortfarande

Falska rekryterare och manipulerade kodningstester är ett gammalt tillvägagångssätt. Nordkoreanska aktörer har använt det mot utvecklare i flera år, framför allt i kampanjen som går under namnet Contagious Interview. Binance säger att företaget stoppade 57 misstänkta försök med koppling till Nordkorea bara under 2026.

Betet fungerar eftersom det får ingenjörer att göra något de gör varje dag. Att köra ett okänt kodförråd är en normal del av en teknisk jobbintervju. Det finns ingen misstänkt avsändaradress och ingen länk att hålla pekaren över – bara en trovärdig arbetsgivare, en person på video och en uppgift som ser ut som arbete.

Ett meddelande från en rekryterare är dessutom en av få oombedda kontakter som människor välkomnar. Inget säkerhetsmedvetandeprogram kan garantera att alla ingenjörer upptäcker varje trovärdigt försök, så säkerhetsåtgärderna måste utgå från att något kommer att slinka igenom.

Så nådde en dator plånböckerna

Min första fråga gäller säkerhetsåtgärderna i den ingenjörens miljö. Det finns anledning att granska att en arbetsdator användes för ett externt kodningstest. Den större frågan är hur just den komprometteringen gav åtkomst till andra system och så småningom till känslig finansiell infrastruktur.

Varje steg efter den första infektionen byggde på förtroende som redan fanns inom Binance. Ett internt AI-verktyg tog emot instruktioner från en komprometterad dator och använde dem för att ta kontroll över kollegors enheter. En distributionstoken fanns på en ingenjörs bärbara dator. En containerdistribution med giltiga autentiseringsuppgifter flyttade miljarder. Inget av detta krävde ytterligare ett lockbete.

Interna AI-verktyg förtjänar särskild uppmärksamhet. De har ofta omfattande behörigheter till kodförråd, ändpunkter och tjänster. Den som kontrollerar en dator som kan ge instruktioner till ett sådant verktyg får därför samma räckvidd.

Skydda utvecklare utan att bromsa utvecklingsarbetet

Utvecklare behöver ladda ner paket, köra okänd kod och testa programvara. Om deras bärbara datorer låstes ner som en arbetsstation inom finans skulle utvecklingsarbetet gå på krypfart och ingenjörerna börja hitta egna lösningar. Det är rimligt med en policy som säger att jobbsökande inte ska ske på företagets enheter, men ingen följer en policy varje gång. Det praktiska målet är att begränsa vad en komprometterad utvecklardator kan göra härnäst.

Några få åtgärder gör störst skillnad. Kod som inte är betrodd bör köras i virtuella maskiner som kan kastas efter användning och saknar åtkomst till företagets autentiseringsuppgifter. Autentiseringsuppgifter för driftsättning bör ha kort giltighetstid, vara strikt begränsade i omfattning och, där det är möjligt, utfärdas till kontrollerade arbetsflöden för driftsättning. Plånbokens signeringsnycklar eller nyckelandelar bör skyddas separat från utvecklarnas arbetsstationer, med signeringsregler som begränsar vilka transaktioner och behörigheter som får godkännas. Åtgärder som påverkar plånboks-, betalnings- eller produktionssystem bör kräva godkännande av en annan person på en separat enhet. Interna AI-verktyg bör köras med minsta möjliga behörighet och logga vad de gör.

Det måste också gå att upptäcka angrepp när autentiseringsuppgifterna är legitima. Beteendeövervakning som larmar när en driftsättning sker från en oväntad dator eller vid en oväntad tidpunkt ger teamet möjlighet att ingripa även när alla autentiseringsuppgifter verkar vara i sin ordning. Binance uppger att företaget har byggt ut den här typen av övervakning sedan incidenten.

Hotunderrättelsernas roll

Varningen blev offentlig sex veckor före stölden. Den gemensamma varningen om Contagious Interview beskrev hur aktörer utgav sig för att vara rekryterare på AI-, krypto- och NFT-företag för att rikta in sig på IT-specialister och stjäla kryptovaluta. Binance utsattes för samma tillvägagångssätt.

Hotunderrättelser fyller en konkret funktion i kampanjer som den här. Aktörerna kan bytas ut, men deras metoder är kända. Team som följer dem kan blockera känd infrastruktur och varna tekniker för de förevändningar som används just nu.

Underrättelserna visar också vilka som behöver extra skydd. När en incident avslöjar vem som har känslig åtkomst, vilket intrånget hos Binance i juni gjorde, bör dessa personer betraktas som sannolika måltavlor i flera månader. Deras enheter och de kontakter de får bör övervakas noggrannare.

Vad det här innebär utanför kryptobranschen

Kryptobörser är uppenbara måltavlor eftersom stulna tillgångar snabbt flyttas och är svåra att återfå. Samma mönster finns överallt där en utvecklares arbetsstation bara är några steg från kritiska system, oavsett om det gäller en banks betalningsflöde eller en programvaruleverantörs process för att bygga och lansera programvara. Rekryteringsförevändningar når tekniker i alla dessa verksamheter.

För säkerhetsansvariga som den här veckan granskar sina egna miljöer är två kontroller viktigast. För det första: kartlägg vad en enda komprometterad bärbar dator som används av en utvecklare kan nå i dag, däribland lagrade token, SSH-nycklar, molnautentiseringsuppgifter och interna AI-verktyg. För det andra: säkerställ att driftsättningar i produktionsmiljö och transaktioner med höga värden kräver ett oberoende godkännande som en enda komprometterad identitet inte kan ge.

Binance har byggt upp de berörda systemen på nytt och anlitat oberoende granskare, samtidigt som besluten fattades efter förlusten. Organisationer som genomför samma övning nu kan fatta besluten enligt sin egen tidsplan.