Binance zaatakowane przez Koreę Północną. Rekrutacyjna pułapka otworzyła drogę do kradzieży 6,34 mld dolarów

Atak na Binance nie zaczął się od spektakularnego włamania do portfela, lecz od rozmowy kwalifikacyjnej. Napastnicy podszyli się pod rekruterów, zbudowali wiarygodny profil kandydata i przekonali inżyniera zespołu portfeli do uruchomienia złośliwego zadania programistycznego. FBI przypisało operację Korei Północnej, a jej wartość oszacowano na ponad 6 mld dolarów.

Binance podało, że 29 października 2026 r. incydent dotknął aktywa cyfrowe o wartości około 6,34 mld dolarów. Według najnowszego komunikatu giełdy, opublikowanego 3 listopada, 98% aktywów objętych incydentem zostało już uzupełnionych, a firma deklaruje pokrycie strat z własnych środków. To nie zmienia faktu, że sama ścieżka ataku pokazuje, jak skuteczna może być socjotechnika połączona z dostępem do środowiska deweloperskiego.

Fałszywa rekrutacja była dopiero pierwszym ogniwem

Według opisu Binance inżynier odpowiedzialny za infrastrukturę portfeli został skontaktowany przez osobę udającą dyrektora projektu. Po rozmowie z rzekomym działem HR odbył kolejne spotkanie z osobą przedstawiającą się jako prezes fikcyjnej firmy. Rozmówcy korzystali z prawdziwie wyglądających profili i materiałów z mediów społecznościowych, aby zbudować zaufanie.

Na końcu kandydat otrzymał „zadanie” w postaci repozytorium kodu. Złośliwy kod uruchamiał się podczas konfiguracji, omijał ochronę punktów końcowych i nawiązywał połączenie z serwerem kontrolowanym przez atakujących. Binance przyznało, że użyte wówczas narzędzia bezpieczeństwa nie wykryły malware’u.

Zdobyty dostęp pozwolił wykorzystać wewnętrzne narzędzie oparte na sztucznej inteligencji do przejęcia komputerów dwóch kolejnych inżynierów zespołu portfeli. Jeden z nich miał wcześniej pobrać zmodyfikowaną instalację popularnego narzędzia programistycznego, znalezioną po wyszukaniu programu w wyszukiwarce. Skradzione dane uwierzytelniające otworzyły drogę do komputera kolejnej osoby, która miała dostęp do systemów zdolnych kontrolować aktywa warte miliardy dolarów.

FBI: to schemat znany od lat

FBI określiło operację jako aktywność grupy TraderTraitor i podało, że skradzione środki były przede wszystkim zamieniane na Ether. Agencja wezwała operatorów usług DeFi, giełd natychmiastowej wymiany, węzłów RPC i firmy analityczne do blokowania transakcji powiązanych z adresami używanymi przez napastników.

Nie jest to nowy wzorzec. W grudniu 2024 r. FBI, amerykańskie Cyber Crime Center i japońska policja opisały kradzież 308 mln dolarów z firmy DMM. W tamtym przypadku napastnik podszył się pod rekrutera na LinkedInie i wysłał pracownikowi firmy portfelowej skrypt Pythona przedstawiony jako test przed zatrudnieniem. Powtarzalność obu historii jest ważniejsza niż podobieństwo nazw: atakujący celują w osoby mające dostęp do pieniędzy, kodu lub infrastruktury, a niekoniecznie w samą giełdę.

Co firmy powinny wyciągnąć z tej historii

Ostrzeżenie dla zespołów technicznych jest konkretne. Proces rekrutacji nie może być traktowany jako zaufana ścieżka dostarczania oprogramowania. Zadania od nieznanych nadawców powinny być uruchamiane poza urządzeniami firmowymi i bez dostępu do sekretów, tokenów oraz wewnętrznych narzędzi. Równie ważne są kontrola instalacji, ograniczenie uprawnień, rotacja poświadczeń po incydencie i monitorowanie nietypowych połączeń z urządzeń pracowników.

FBI już w 2024 r. zalecało weryfikację tożsamości pracowników zdalnych, sprawdzanie zmian adresu i obserwowanie niedozwolonych narzędzi zdalnego dostępu. W 2025 r. agencja informowała, że północnokoreańskie schematy wykorzystują skradzione tożsamości, pseudonimowe konta w mediach społecznościowych i fałszywe strony. Binance znało więc klasę zagrożenia, a mimo to napastnicy znaleźli drogę do krytycznych systemów.

Binance zapowiedziało niezależny przegląd incydentu, przebudowę dotkniętych systemów, wymianę urządzeń, unieważnienie tokenów i rozszerzenie wykrywania anomalii behawioralnych. Firma przyznała przy tym, że „to nie powinno było się wydarzyć”. W bezpieczeństwie cyfrowym właśnie ten fragment jest najważniejszą lekcją: rozpoznanie zagrożenia nie wystarcza, jeśli codzienne procesy nadal pozwalają uruchomić niezweryfikowany kod.

Źródła

• Binance: 29 October 2026 Security Incident, Initial Findings and Response Update
• FBI: North Korea Responsible for $6 Billion+ Binance Attack
• FBI, DC3 i NPA: kradzież 308 mln dolarów z Bitcoin DMM
• FBI: ostrzeżenie przed północnokoreańskimi pracownikami IT
• TechCrunch: Researchers warned of North Korean hacking tactics