Binance twierdzi, że zablokował 57 podejrzanych zagrożeń cybernetycznych powiązanych z Koreą Północną w 2026 roku i zastąpił 98% tokenów skradzionych w wyniku ataku hakerskiego o wartości 6,34 mld dolarów.
Podsumowanie
- Binance wykrył oszustwa rekrutacyjne, złośliwe narzędzia programistyczne i fałszywe aplikacje do wideokonferencji wśród podejrzanych zagrożeń.
- Yi He przyznała poważne koszty ataku, który ominął zabezpieczenia giełdy.
- Giełda twierdzi, że nadal kupuje mniej płynne tokeny, aby dokończyć uzupełnianie aktywów.
- Amerykańscy śledczy przypisali kradzież z 29 października północnokoreańskiej działalności TraderTraitor.
Współzałożycielka i współdyrektorka generalna Binance, Yi He, opisała próby włamań w poście na X z 3 listopada, dzieląc się ustaleniami giełdy dotyczącymi naruszenia bezpieczeństwa z 29 października.
Jej konto opisało powtarzające się próby dotarcia do pracowników poprzez rekrutację, pobieranie oprogramowania i inżynierię społeczną. Techniki obejmowały fałszywe rozmowy kwalifikacyjne, zainfekowane pakiety oprogramowania i rozszerzenia przeglądarek oraz złośliwe programy przedstawiane jako popularne narzędzia programistyczne.
Fałszywe aplikacje do wideokonferencji były kolejną drogą, obok kampanii mających na celu kradzież danych uwierzytelniających lub instalację złośliwego oprogramowania dającego atakującym zdalny dostęp do komputera.
„Przechwyciliśmy wiele z nich, ale koszt niezablokowania choćby jednego był poważny — i to nigdy nie powinno było się wydarzyć” — napisała Yi.
Binance opisuje, jak fałszywa rozmowa kwalifikacyjna dotarła do pracownika
Według wstępnych ustaleń Binance, inżynier oprogramowania został we wrześniu zagadnięty za pośrednictwem legalnej platformy do poszukiwania pracy przez osobę podającą się za dyrektora projektu.
Rzekomy przedstawiciel działu zasobów ludzkich przeprowadził rozmowę kwalifikacyjną przez wideokonferencję i udostępnił profil w mediach społecznościowych zawierający osobiste zdjęcia i filmy. Drugi rozmówca, przedstawiony jako dyrektor generalny fikcyjnej firmy, polecił inżynierowi pobranie zadania na komputer służbowy.
Binance podała, że zadanie zawierało złośliwy kod, który uruchomił się podczas instalacji i uniknął wykrycia przez używane narzędzia bezpieczeństwa punktów końcowych.
20 października atakujący wykorzystał zainfekowany komputer i wewnętrzne narzędzie AI, aby dotrzeć do dwóch inżynierów portfeli. Dane uwierzytelniające uzyskane podczas tego włamania umożliwiły następnie dostęp do operacji podpisywania portfeli.
Relacja giełdy opisuje kilka etapów włamania, choć post Yi nie precyzuje, ile z 57 podejrzanych przypadków obejmowało przynęty rekrutacyjne.
Wcześniejsze ustalenia dotyczące autoryzacji portfela wskazały część kradzieży na Binance 14, gorący portfel Ethereum. Blockaid zidentyfikował 50 przesłanych autoryzacji EIP-7702, z których jedna skutecznie przekazała prawa wykonawcze złośliwemu kontraktowi.
Binance raportuje 98% uzupełnienia, podczas gdy zakupy tokenów trwają
W raporcie z 3 listopada Binance podała, że 98% dotkniętych aktywów tokenowych zostało uzupełnionych i że kupuje pozostałe, mniej płynne aktywa. Firma podała, że odłożyła więcej niż środki wymagane do pokrycia straty.
Jak wcześniej informował crypto.news, Binance wznowił wypłaty Bitcoin 1 listopada, kiedy Richard Teng oszacował uzupełnienie na około 95%.
Giełda wskazała BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD i ZEC jako w pełni zabezpieczone. W jej komunikacie o odzyskiwaniu stwierdzono, że zakup pozostałych tokenów spoza tej grupy w wymaganych ilościach zajął więcej czasu.
Zakupy zastępcze zostały sfinansowane z Funduszu Bezpiecznych Aktywów dla Użytkowników, nadwyżek rezerw z Funduszu Ubezpieczeniowego Kontraktów Terminowych oraz skarbca korporacyjnego Binance, zgodnie z wcześniejszymi ujawnieniami dotyczącymi odzyskiwania.
Dostęp do wypłat nadal powracał dla poszczególnych aktywów i sieci. 3 listopada Binance przywrócił kolejne wypłaty dla 31 dodatkowych aktywów w Ethereum i 20 w Solana, po ponownym otwarciu pięciu stablecoinów Ethereum.
Śledczy z USA identyfikują działalność TraderTraitor
Alert cybernetyczny FBI z 31 października cyber alert przypisał kradzież Korei Północnej i zidentyfikował tę działalność jako TraderTraitor.
Współpracując z US Secret Service i IRS Criminal Investigation, biuro zaobserwowało, że atakujący konwertowali skradzione aktywa głównie na Ether. Stwierdzono, że oczekiwane jest dalsze pranie pieniędzy poprzez zdecentralizowane finanse i usługi natychmiastowej wymiany.
Agencje wezwały giełdy, firmy analityki blockchain, usługi DeFi i operatorów infrastruktury do blokowania transakcji involving wymienione adresy lub aktywa z nich pochodzące.
Korea Północna zaprzeczyła udziałowi 3 listopada. Według Associated Press, Kim Yo Jong odrzuciła oskarżenie FBI w oświadczeniu przekazanym przez media państwowe.
Skradzione środki wchodzą do transakcji CoinJoin
Odrębne prace śledcze udokumentowały przepływ skradzionych aktywów, podczas gdy Binance dokonuje zakupów zastępczych.
Elliptic zidentyfikowała około 28 BTC o wartości 2,2 miliona dolarów wchodzących w 18 transakcji CoinJoin między 1 a wczesnym 2 listopada. Bitcoin pochodził z skonwertowanych skradzionych aktywów, podczas gdy 18 270 BTC zabrane bezpośrednio z Binance pozostało w 19 adresach w momencie tej oceny.
Śledztwo firmy objęło około 12 000 portfeli, 11 blockchainów i ponad 40 000 transakcji. Adresy powiązane z kradzieżą nadal posiadały szacunkowo 3,24 miliarda dolarów, głównie w Ethereum i Bitcoinie.
