Nordkoreanske hackere stjal 6,34 milliarder dollar fra Binance

Forberedelsene startet i juni 2026 da en DevOps ingeniør som jobbet med infrastruktur for kryptolommebøker, lastet ned en falsk installasjonsfil for Homebrew. Dette skjedde mens vedkommende forsøkte å installere et populært kunstig intelligens verktøy for programmering. Selv om sikkerhetseksperter oppdaget infeksjonen og byttet ut både bærbar datamaskin og påloggingsinformasjon, rakk hackerne å samle informasjon om den ansatte og kolleger.

I september kontaktet angriperne en annen ingeniør via en legitim plattform for jobbsøking. Vedkommende ble invitert til intervjuer i et ikke eksisterende selskap, først med en falsk personalsjef og deretter med en påstått administrerende direktør. Mot slutten av prosessen ble ingeniøren bedt om å laste ned en testoppgave fra et depot som inneholdt ondsinnet kode. Da prosjektet ble satt opp på en Mac, ble det kjørt skadevare som erstattet den legitime filen pyenv i Homebrew mappen, endret en symbolsk lenke og startet et zsh skall som kommuniserte med serverne til angriperne.

Den Oktober 20 brukte hackerne den infiserte maskinen og et internt kunstig intelligens verktøy i Binance for å få tilgang til maskinene til to andre ingeniører. På en av disse enhetene fant de en token med rettigheter til å distribuere containere.

Den Oktober 29 brukte hackerne stjålet påloggingsinformasjon for å logge inn på en kompromittert ansatts datamaskin, distribuere en container og kjøre et ondsinnet skript. Dette ga dem tilgang til en intern tjeneste for signering av transaksjoner, slik at de kunne overføre midler utenom det vanlige uttakssystemet. Angriperne misbrukte også mekanismen Ethereum EIP-7702 ved å sende 50 transaksjoner for å sette opp ondsinnede delegerte tillatelser. Dette gjorde at en smartkontrakt kontrollert av hackerne kunne fortsette uttaket av eiendeler selv etter at Binance stanset operasjonene.

Binance rapporterte at de per November 3 hadde lykkes med å fryse eller avskjære stjålne eiendeler for omtrent 2,85 milliarder USD. Selskapet har etter angrepet bygget om den berørte infrastrukturen for lommebøker og det interne kunstig intelligens verktøyet, byttet ut kompromitterte enheter og trukket tilbake alle relaterte tokens og påloggingsdetaljer. Etterforskningen pågår fortsatt med bistand fra uavhengige sikkerhetseksperter.