Atak Korei Północnej na Binance: 6,34 mld USD wyprowadzone

Atak hakerów powiązanych z Koreą Północną na giełdę kryptowalut Binance polegał na wyprowadzeniu aktywów o wartości ok. 6,34 mld USD, a operacja wypłat ruszyła 29 października o 20:05 UTC.

Ten przypadek pokazuje, że nowoczesne przestępstwo na rynku kryptowalut rzadko zaczyna się od technicznego włamania. Ważniejsza bywa droga przez człowieka, czyli pracownika, który uwierzy w fałszywą rekrutację.

Jak przebiegał atak krok po kroku?

Atak nie był jednorazowym działaniem. Operacja rozpoczęła się w czerwcu 2026 roku i trwała kilka miesięcy, zanim doszło do wypłat. Poniższa tabela zestawia kluczowe daty.

Termin	Co się wydarzyło
Czerwiec 2026	Początek operacji
Wrzesień 2026	Kontakt z pracownikiem B przez legalną platformę rekrutacyjną
20 października	Przejęcie systemów pracowników A i C przez komputer pracownika B
29 października, 20:05 UTC	Start operacji wypłat
Ok. 4 minuty od startu	Wyprowadzenie 233,46 mln XRP oraz bitcoinów z 5 portfeli
31 października	Komunikat FBI przypisujący atak Korei Północnej
3 listopada	Stan zamrożonych lub przechwyconych środków: ok. 2,85 mld USD

Fałszywa rekrutacja jako wejście do firmy

Pierwszym krokiem była fikcyjna firma rekrutacyjna. Oszuści podszywali się pod dział HR oraz dyrektora projektu i kontaktowali się z pracownikiem B przez platformę, która funkcjonuje legalnie. Taki sposób budowania zaufania sprawia, że ofiara nie traktuje kontaktu jako podejrzanego.

Drugi etap przeniósł rozmowę do komunikatora. Tym razem atakujący udawał dyrektora generalnego. Po takim kontakcie kandydat dostał zadanie programistyczne, w którym ukryto malware, a w jednym z komponentów środowiska pyenv podmieniono kod.

Zainfekowany instalator i ominięte zabezpieczenia

Kluczowym wektorem okazał się zmodyfikowany instalator Homebrew z malware. Zabezpieczenia komputera nie wykryły zagrożenia, więc infekcja przeszła niezauważona.

20 października komputer pracownika B przejął systemy pracowników A i C. Z komputera pracownika A atakujący pozyskał token służący do wdrażania kontenerów, a następnie uzyskał dostęp do wewnętrznej usługi podpisywania transakcji. Na ścieżce ataku znalazło się też wewnętrzne narzędzie AI Binance, którego nazwy firma nie ujawniła.

Obejście wstrzymania wypłat

Wypłaty ruszyły w momencie, gdy platforma miała już uruchomione wstrzymania. Sprawcy wykorzystali mechanizm EIP-7702 w sieci Ethereum, który pozwolił obejść tę blokadę. Wypływ w ciągu kilku minut z pięciu portfeli pokazuje, jak szybko działają zautomatyzowane operacje.

Jaka jest skala strat i co dalej?

Do 3 listopada zamrożono lub przechwycono ok. 2,85 mld USD. Binance zapowiedziało niezależny audyt oraz pokrycie strat użytkowników. Połączenie ataku z grupą TraderTraitor i liczbą 57 zagrożeń, które firma w 2026 roku wykryła i udaremniła jako podejrzewane o związek z Koreą Północną, pokazuje skalę presji, z jaką mierzą się duże platformy.

Co to oznacza dla Ciebie?

Jeśli pracujesz w firmie korzystającej z kryptowalut lub narzędzi AI, wyciągnij z tego przypadku trzy praktyczne wnioski. Po pierwsze, weryfikuj rekruterów przez niezależny kanał, np. oficjalną stronę firmy, a nie link z wiadomości. Po drugie, nie uruchamiaj zadań z ukrytym kodem, nawet jeśli wyglądają na rutynowe, i sprawdzaj pochodzenie instalatorów przed instalacją. Po trzecie, ogranicz uprawnienia tokenów i dostęp do usług podpisywania transakcji, bo to one decydują o skali możliwych szkód.