Pohovor, ktorý stál 6,3 miliardy dolárov. Ako sa hackeri z KĽDR dostali do Binance cez životopis
Burza Binance zverejnila, ako hackeri pravdepodobne napojení na Severnú Kóreu získali prístup k jej horúcim peňaženkám: cez falošné pracovné pohovory, škodlivé zadanie a interný nástroj s umelou inteligenciou. Škoda dosiahla približne 6,34 miliardy dolárov.
Septembrový deň roku 2026. Softvérový inžinier z Binance si na pracovnej platforme všimne správu. Píše mu „projektový riaditeľ“ neznámej firmy a spomína jeho minulé pôsobenie v Binance. Inžinier odpovie. O niekoľko týždňov neskôr z horúcich peňaženiek najväčšej kryptoburzy sveta zmizlo približne 6,34 miliardy dolárov. Podľa správy samotného Binance to začalo práve týmto pohovorom, ktorý nikdy neexistoval.
Útočníci postupovali ako dobrí náborári. Prvé kolo bol živý videohovor s údajnou pracovníčkou HR, ktorá inžinierovi poslala odkaz na svoj účet na sociálnej sieti s osobným obsahom. Cieľom bolo vzbudiť dôveru. Druhé kolo prebehlo v chatovacej aplikácii, kde sa predstavil „generálny riaditeľ“ vymyslenej spoločnosti. Na konci rozhovoru inžinierovi oznámil, že mu pošle zadanie na stiahnutie na pracovný počítač.
Zadanie bolo podľa Binance škodlivý repozitár kódu. Pri nastavovaní sa spustil a v adresári nástroja Homebrew vymenil legitímnu súčasť pyenv za podvrhnutú verziu, ktorá sa pripojila na server útočníkov. Podľa BleepingComputer išlo o nový typ škodlivého softvéru, ktorý ochranné nástroje vtedy nezachytili.
Podľa Binance sa útočníci 20. októbra cez notebook prvého inžiniera a interný nástroj s umelou inteligenciou dostali k dvom ďalším zamestnancom z tímu peňaženiek. Jeden z nich mal na počítači token, ktorým sa dali nasadzovať kontajnery. Dňa 29. októbra v čase od 17:15 do 19:56 UTC sa útočník prihlásil do počítača druhého zamestnanca, použil ukradnuté prístupy a nasadil kontajner so škodlivým skriptom. Ten sa dostal k službe, ktorá podpisuje transakcie z peňaženiek.
Binance zhrnulo škody takto: 233,46 milióna XRP z piatich horúcich peňaženiek, približne 970 500 SOL a 44,2 milióna OP, 18 270 BTC z jednej peňaženky a posledný neoprávnený prevod 2 961,9 ETH dokončený o 23:56 UTC.
Burza zastavila výbery. Útočník však využil mechanizmus Ethereum EIP-7702 a dal vlastnej smart zmluve čiastočné práva nad jednou z peňaženiek. Takéto oprávnenia fungujú na blockchaine nezávisle od výberovej infraštruktúry. Binance ich vynulovalo až o 00:10 UTC 30. októbra.
V číslach: 6,34 miliardy USD predstavuje hodnotu aktív, ktorých sa útok dotkol, 2,85 miliardy USD sa podľa burzy podarilo zmraziť alebo zachytiť, 98 percent dotknutých tokenov bolo k 31. októbru doplnených a 57 podozrivých prípadov spojených so Severnou Kóreou burza v roku 2026 odhalila a zastavila.
Pre Binance to nebol prvý náznak. Už v júni 2026 inžinier z tímu peňaženiek stiahol pri hľadaní nástroja na programovanie s umelou inteligenciou upravenú inštaláciu Homebrew. Burza anomáliu zachytila, vymenila zariadenie a obmenila prístupy, zamestnanci v tíme však zostali v ohrození.
Bezpečnostný riaditeľ Binance Jimmy Su opísal signály, ktoré môžu odhaliť falošného kandidáta: pomalé internetové pripojenie, test ruky pred tvárou, pri ktorom sa deepfake rozpadne, zamestnanca, ktorý „nikdy nespí“, či podozrivo výborné výsledky na diaľku. Ak niekto požiada o stiahnutie zadania, netreba to riešiť na pracovnom počítači, ale v izolovanom prostredí.
Binance uvádza, že prestavalo dotknutý systém peňaženiek v novom prostredí, prebudovalo interný nástroj s umelou inteligenciou, vymenilo zariadenia a zrušilo prístupy dotknutých inžinierov. Po skenoch všetkých zamestnaneckých zariadení sprísnilo kontroly a plánuje nezávislý bezpečnostný audit.
Americký úrad FBI podľa správy pripisuje útok Severnej Kórei. Pchjongjang takéto obvinenia dlhodobo popiera. Binance zároveň tvrdí, že vedome nikdy nezamestnalo štátneho aktéra.
