Севернокорейски хакери са използвали фалшиво интервю за работа, компрометирана задача за програмиране и превзет вътрешен AI инструмент, за да достигнат до системите с портфейли на Binance. ФБР твърди, че севернокорейската група, която нарича „TraderTraitor“, е откраднала цифрови активи за повече от $6 милиарда на 29 октомври 2026 г. Binance определя засегнатата стойност на около USD 6.34 милиарда.

От Binance посочват, че това е била многоетапна кампания, а не обикновен случай на фишинг. През юни 2026 г. DevOps инженер, отговарящ за портфейлите, е потърсил онлайн AI инструмент за програмиране и е инсталирал манипулиран пакет за Homebrew.

Binance е подменила устройството и е обновила идентификационните данни, но атакуващият вече е бил научил кой работи по инфраструктурата на портфейлите. Подобна фалшива реклама за Homebrew разпространи MacSync Stealer по-рано тази година, според SANS Internet Storm Center.

През септември с втори инженер се е свързал фалшив „Проектен директор“ в платформа за работа. Последвали са две интервюта – едно с фалшив HR специалист и едно с фалшив главен изпълнителен директор (CEO). Първото е включвало лично съдържание от социалните мрежи за изграждане на доверие. Към края на второто на инженера е било казано да изтегли „задача“ на служебния си компютър.

Зловреден софтуер и AI инструментът

Кодът се е стартирал по време на първоначалната настройка. Той е заменил истински файл на pyenv със злонамерено копие, създал е нова символна връзка (symlink) и е стартирал обвивка zsh. От Binance твърдят, че зловредният софтуер от тип нулев ден е заобиколил инструментите за защита на крайни точки и е изтрил собствените си следи.

На 20 октомври атакуващият е използвал този компютър и вътрешен AI инструмент, за да компрометира още двама инженери. Един от тях е разполагал с токен за внедряване на контейнери. Между 17:15 и 19:56 UTC на 29 октомври атакуващият е влязъл в компютъра на третия инженер. Използвайки откраднатия токен, той е разгърнал контейнер и е изпълнил злонамерен скрипт.

Това се вписва в познат модел. Нашият по-ранен доклад за WaterPlum описа фалшиви специалисти по подбор на персонал, заразили повече от 30,000 устройства. Нашата статия за TraderTraitor и Terraform показа как същата група използва фалшиви DevOps тестове.

Използвайки услугата за подписване на портфейли, атакуващият е преместил средства извън нормалния процес на теглене. Между 20:05 и 20:09 UTC пет горещи портфейла са изпратили 233.46 милиона XRP. По-късните трансфери включват около 970,500 SOL, 44.2 милиона OP и 18,270 BTC.

След това атакуващият е използвал функцията EIP-7702 на Ethereum. Тя позволява на даден акаунт да прехвърли някои права за изпълнение на интелигентен договор (smart contract), без да разкрива частния ключ. Атакуващият е изпратил 50 трансакции за подписване, за да напасне променящия се nonce на портфейла, който представлява брояч на трансакции. Една от тях е проработила и портфейлът е бил насочен към кода на атакуващия.

Спирането на тегленията не е премахнало това делегиране, тъй като то се намира в блокчейна (on-chain). Портфейлът на Binance използва многостранно изчисление (Multi-Party Computation – MPC), така че нито един отделен ключ не е могъл да го отмени бързо.

Вместо това екипът е изградил специална процедура. В 00:10 UTC на 30 октомври тя е изчистила делегирането чрез оторизиране на нулевия адрес. Изследователите отбелязват, че това премахва кода на атакуващия, но не заменя ключа за подписване.

Около USD 2.85 милиарда са били замразени или прихванати. От Binance казват, че ще поемат загубата и че 98% от засегнатите токени са били възстановени до 31 октомври, което потребителите могат да проверят на страницата Proof of Reserves.

Според докладите средствата са дошли от резерва SAFU, застрахователен фонд и фирмени пари. ФБР казва, че киберпрестъпниците конвертират откраднатите средства основно в Ethereum и очаква по-нататъшно изпиране чрез DeFi и услуги за обмяна (swap).

Binance е изградила наново системата за портфейли и AI инструмента, подменила е устройствата и е премахнала идентификационните данни на инженерите. Също така е сканирала устройствата на всички служители и е добавила базирано на AI откриване на аномалии. В момента тече независим преглед.

Третирайте предложенията за работа, които изискват от вас да стартирате код на служебен компютър, като заплаха. Използвайте отделни устройства за интервюта. Ограничете достъпа на вътрешните AI инструменти. Дръжте токените за внедряване извън лаптопите.

Проследявайте промените в разрешенията на акаунтите, а не само трансферите. И накрая, планирайте както отнемане на достъпа, така и ротация на ключовете по време на инцидент, тъй като това са отделни стъпки.