Nordkoreanska hackare stal 6,34 miljarder dollar från Binance

black and red signage near body of water at daytime — Fleur / Unsplash

Kryptobörsen Binance utsattes för en cyberattack där nordkoreanska hackare stal tillgångar till ett värde av 6,34 miljarder USD.

Attacken skedde den 29 oktober 2026. FBI har bekräftat att attacken var kopplad till de nordkoreanska hackarna TraderTraitor, vars aktiviteter även kopplas till Lazarus Group, Jade Sleet och APT38.

Förberedelserna pågick under flera månader och började i juni 2026. En DevOps-ingenjör som arbetade med infrastrukturen för kryptoplånböcker laddade då ner en falsk installerare av Homebrew i ett försök att installera ett populärt verktyg för programmering baserat på artificiell intelligens. Trots att säkerhetsexperter upptäckte infektionen och bytte ut både bärbar dator och inloggningsuppgifter, lyckades hackarna samla in information om ingenjören och dennes kollegor.

I september kontaktades en annan ingenjör via en legitim plattform för jobbsökande och bjöds in till intervjuer i ett fiktivt företag. Efter samtal med en falsk rekryterare och en påstådd generaldirektör fick ingenjören ladda ner en testuppgift från ett arkiv som innehöll skadlig kod. Denna kod ersatte en legitim körbar fil i Homebrew-katalogen och skapade en anslutning till hackarnas server samtidigt som den dolde sin aktivitet.

Den 20 oktober använde angriparna den infekterade datorn och ett internt verktyg för artificiell intelligens hos Binance för att få åtkomst till ytterligare två ingenjörers maskiner. Där hittade de en token med rättigheter att distribuera containrar.

Den 29 oktober använde hackarna stulna inloggningsuppgifter för att distribuera en container och köra ett skadligt skript. Detta gav dem tillgång till en intern tjänst för signering av transaktioner, vilket gjorde det möjligt att överföra medel utanför det ordinarie uttagssystemet. Angriparna utnyttjade även mekanismen Ethereum EIP-7702 genom att skicka 50 transaktioner för att konfigurera skadliga delegerade behörigheter, vilket gjorde att ett smart kontrakt kunde fortsätta ta ut tillgångar även efter att Binance stoppat operationerna.

Per den 3 november har Binance lyckats frysa eller fånga upp stulna tillgångar till ett värde av ungefär 2,85 miljarder USD. Företaget har efter attacken byggt om den drabbade infrastrukturen för plånböcker och det interna verktyget för artificiell intelligens, bytt ut kompromitterade enheter samt återkallat alla relaterade inloggningsuppgifter och tokens. Utredningen fortsätter med hjälp av oberoende experter inom informationssäkerhet.