Falošný pracovný pohovor sa zmenil na vstupnú bránu k jednej z najväčších krádeží v dejinách kryptomien. Zamestnanec Binance, ktorý veril, že sa uchádza o lepšiu prácu, si do počítača stiahol škodlivý softvér. Útočníci potom postupne prenikli do firemnej infraštruktúry a odcudzili kryptomeny v hodnote približne 6,43 miliardy dolárov. Americkí vyšetrovatelia pripisujú útok Severnej Kórei.
Podľa predstaviteľov Binance útočníci nevyužili iba technické zraniteľnosti, ale predovšetkým dôveru zamestnancov. Falošné výberové konanie im pomohlo dostať sa do interných systémov. Samotná krádež bola vyvrcholením operácie, na ktorej hackeri pracovali niekoľko mesiacov.
Podvod sa začal na skutočnej pracovnej platforme. Útočníci si tam vyhliadli inžiniera so skúsenosťami v Binance a oslovili ho v mene údajného projektového riaditeľa inej spoločnosti. Namiesto podozrivej správy nasledoval prepracovaný náborový proces.
Uchádzač absolvoval videohovor s údajným personalistom, ktorý sa snažil pôsobiť dôveryhodne a sprístupnil mu aj profil na sociálnej sieti s osobnými fotografiami a videami. V ďalšom kole sa inžinier rozprával s človekom, ktorý sa predstavil ako riaditeľ firmy. Pohovor pôsobil presvedčivo a na záver dostal programátorskú úlohu. Na jej vypracovanie si musel stiahnuť pripravený projekt do pracovného počítača. Práve vtedy sa pasca uzavrela.
Bezpečnostný šéf Binance Jimmy Su uviedol, že škodlivý kód bol ukrytý v súboroch, ktoré si zamestnanec stiahol v rámci údajného výberového konania. Keď začal projekt nastavovať, aktivoval sa škodlivý program. Podľa bezpečnostnej správy Binance kód nahradil časť vývojárskeho nástroja a vytvoril spojenie so serverom ovládaným útočníkmi.
Hackeri tak mohli preniknúť hlbšie do firemnej infraštruktúry. Bezpečnostné mechanizmy počítača škodlivý kód v tom čase nezachytili a útočníci postupovali tak, aby po sebe zanechali čo najmenej digitálnych stôp. Falošné pohovory sa uskutočnili v septembri, no vyšetrovanie ukázalo, že išlo iba o jednu fázu širšieho plánu.
Začiatky operácie siahajú podľa vyšetrovania do júna, keď sa terčom útočníkov stal ďalší inžinier spoločnosti. Hľadal nástroj na programovanie s využitím umelej inteligencie, no stiahol si upravený inštalačný súbor nástroja Homebrew, do ktorého útočníci vložili škodlivý kód. Bezpečnostný tím Binance incident odhalil, napadnutý počítač vymenil a súvisiace prístupové údaje obnovil.
Hackeri však už získali cenné informácie o pracovnom zaradení zamestnanca a jeho kolegoch, ktorí sa podieľali na správe infraštruktúry kryptomenových peňaženiek. Tieto poznatky im neskôr pomohli plánovať ďalšie kroky. „Bola to operácia pripravovaná dlhé mesiace,“ uviedol Richard Teng z vedenia Binance.
Po preniknutí do počítača cez falošný pracovný pohovor útočníci rozširovali svoj prístup. Dňa 20. októbra využili kompromitované zariadenie a interný nástroj umelej inteligencie na napadnutie počítačov ďalších dvoch inžinierov. O deväť dní neskôr nastala rozhodujúca fáza.
Pomocou odcudzených prístupových údajov hackeri prenikli k službe, ktorá zabezpečovala digitálne podpisovanie transakcií kryptomenových peňaženiek. Tieto podpisy sú potrebné na autorizáciu presunov digitálnych aktív. Po získaní prístupu mohli spustiť rozsiahle prevody kryptomien.
Binance v reakcii pozastavila výbery, no nedokázala zastaviť všetky odchádzajúce transakcie. Útočníci využili aj mechanizmus siete Ethereum, ktorý umožňuje delegovať určité oprávnenia kryptomenovej peňaženky počítačovému programu. Vďaka tomu mohli presúvať aktíva aj mimo štandardného systému výberov burzy.
Analýza spoločnosti Elliptic, ktorá sleduje kryptomenové transakcie, ukázala, že útočníci počas niekoľkých hodín odčerpali digitálne aktíva z peňaženiek na jedenástich blockchainových sieťach. Elliptic vyčíslila ich hodnotu na približne 6,43 miliardy dolárov, teda viac ako 5,5 miliardy eur. Binance odhadla stratu na približne 6,34 miliardy dolárov.
Pre porovnanie, pri hackerskom útoku na burzu Bybit vo februári 2025 zmizli digitálne aktíva v hodnote približne 1,5 miliardy dolárov. Najnovšia krádež tak bola viac než štvornásobne väčšia.
Bezpečnostným expertom a spolupracujúcim subjektom sa podarilo zmraziť alebo zaistiť kryptomeny v hodnote približne 2,85 miliardy dolárov, čo predstavuje asi 44 percent ukradnutej sumy. Išlo najmä o stablecoiny USDT a USDC, ktorých hodnota je naviazaná na americký dolár. Zmrazenie však automaticky neznamená, že sa peniaze vrátili pôvodnému vlastníkovi; jeho cieľom je predovšetkým zabrániť ďalšiemu presúvaniu aktív.
Binance ubezpečila zákazníkov, že finančné následky útoku neprenesie na používateľov. „Finančný dosah odcudzených prostriedkov ponesie Binance, nie naši používatelia,“ uviedla spoločnosť. Podľa správy zverejnenej 3. novembra už vyčlenila finančné prostriedky presahujúce hodnotu celkovej straty. Vyšetrovanie pokračuje a jeho závery majú podrobiť nezávislému preskúmaniu.
Americký Federálny úrad pre vyšetrovanie pripísal krádež severokórejskej hackerskej skupine TraderTraitor. Americké úrady podľa oficiálneho upozornenia spolupracujú pri sledovaní pohybu odcudzených digitálnych aktív a kryptomenové burzy i ďalších poskytovateľov služieb vyzvali, aby blokovali transakcie spojené s identifikovanými adresami útočníkov.
Severná Kórea zodpovednosť za incident odmieta. Kim Jo-čong, sestra severokórejského vodcu Kim Čong-una, označila americké obvinenia za absurdné. Podľa jej vyjadrenia ide o pokus poškodiť medzinárodný obraz krajiny.
Prípad ukazuje, ako sa útočníci zamerali na ľudí s oprávneným prístupom namiesto priameho prelomenia bezpečnostných systémov. Falošné pracovné ponuky, presvedčivé videopohovory a zdanlivo bežné programátorské zadanie im umožnili postupne preniknúť do prostredia jednej z najvýznamnejších kryptomenových spoločností. Zamestnanec, ktorý si myslel, že plní úlohu v rámci výberového konania, tak nevedomky otvoril cestu k digitálnym aktívam v hodnote miliárd dolárov. Vyšetrovanie ešte nie je ukončené, no prípad už teraz upozorňuje na riziko, ktoré vzniká, keď útočníci zneužijú dôveru zamestnancov.