Bezpieczeństwo · 8 listopada 2026
Hakerzy z Korei Północnej ukradli 6,34 miliarda dolarów z giełdy Binance
Hakerzy z Korei Północnej ukradli aktywa o wartości 6,34 miliarda dolarów z giełdy Binance. Atak miał miejsce 29 października 2026 roku, a FBI powiązało go z grupą TraderTraitor, której aktywność jest łączona z Lazarus Group, Jade Sleet oraz APT38.
Przygotowania do kradzieży trwały kilka miesięcy i rozpoczęły się w czerwcu 2026 roku. Inżynier DevOps odpowiedzialny za infrastrukturę portfeli kryptowalutowych pobrał fałszywy instalator Homebrew, chcąc zainstalować narzędzie sztucznej inteligencji do programowania. Mimo że specjaliści od bezpieczeństwa wykryli infekcję, wymienili laptop oraz dane logowania pracownika, hakerzy zdołali zebrać informacje o nim i jego współpracownikach.
W wrześniu sprawcy skontaktowali się z innym inżynierem Binance przez platformę do szukania pracy, zapraszając go na rozmowę kwalifikacyjną do nieistniejącej firmy. Ofiara przeszła przez proces rekrutacyjny, który obejmował kontakt z fałszywym specjalistą HR oraz rozmowę z rzekomym dyrektorem generalnym. Na koniec zaproponowano mu pobranie zadania testowego z repozytorium, które zawierało złośliwy kod. Po uruchomieniu projektu na komputerze Mac, oprogramowanie podmieniło plik wykonywalny pyenv w katalogu Homebrew, zmieniło link symboliczny i uruchomiło powłokę zsh, łącząc się z serwerem hakerów.
20 października napastnicy wykorzystali zainfekowany laptop oraz wewnętrzne narzędzie sztucznej inteligencji Binance, aby uzyskać dostęp do maszyn dwóch kolejnych inżynierów. Na jednym z urządzeń znaleźli token z uprawnieniami do wdrażania kontenerów. 29 października użyli skradzionych danych, aby uruchomić złośliwy skrypt, co dało im dostęp do wewnętrznej usługi podpisywania transakcji i umożliwiło transfer środków z pominięciem standardowego systemu wypłat.
Hakerzy nadużyli również mechanizmu Ethereum EIP-7702, wysyłając 50 transakcji w celu skonfigurowania złośliwych uprawnień delegowanych. Dzięki temu kontrolowany przez nich inteligentny kontrakt kontynuował wypłatę aktywów nawet po wstrzymaniu operacji przez Binance. Do 3 listopada giełdzie udało się zamrozić lub przechwycić aktywa o wartości około 2,85 miliarda dolarów.
Po ataku Binance przebudowała dotkniętą infrastrukturę portfeli oraz wewnętrzne narzędzie sztucznej inteligencji, wymieniła zainfekowane urządzenia i unieważniła powiązane dane logowania oraz tokeny. Śledztwo w sprawie incydentu trwa przy udziale niezależnych ekspertów od bezpieczeństwa informatycznego.