Největší hackerská krádež v historii kryptoměn byla výsledkem několikaměsíční operace útočníků napojených na Severní Koreu. Ti se prostřednictvím falešných pracovních pohovorů, škodlivého softwaru a kompromitovaných zařízení zaměstnanců dostali až k interní infrastruktuře kryptoměnové burzy Binance.
Kryptoměnová burza Binance odhalila nové podrobnosti o hackerském útoku, při kterém 29. října zmizely kryptoměny v hodnotě přibližně 6,3 miliardy dolarů. Podle vedení společnosti nešlo o jednorázové prolomení zabezpečení, ale o pečlivě připravenou operaci, která probíhala několik měsíců.
Generální ředitel Binance Richard Teng během úterního brífinku uvedl, že za útokem stojí skupina napojená na Severní Koreu, což podle jeho slov potvrdil také americký Federální úřad pro vyšetřování (FBI).
Jedním z hlavních způsobů, jak se hackeři dostali do interních systémů burzy, byl překvapivě falešný pracovní pohovor.
Podle bezpečnostního ředitele Binance Jimmyho Sua kontaktoval v září jednoho ze softwarových inženýrů člověk vydávající se za projektového ředitele. Komunikace probíhala prostřednictvím legitimní pracovní platformy, což mělo zvýšit důvěryhodnost celé nabídky.
Následoval videopohovor s falešným personalistou, který dokonce sdílel svůj profil na sociálních sítích s osobními fotografiemi. Při druhém pohovoru, tentokrát s údajným generálním ředitelem společnosti, dostal zaměstnanec za úkol stáhnout programátorské zadání do svého pracovního počítače.
Právě tento soubor však obsahoval škodlivý software využívající dosud neznámou bezpečnostní zranitelnost, takzvaný zero-day exploit. Malware dokázal obejít bezpečnostní ochranu zařízení a umožnil útočníkům další postup do firemní infrastruktury.
Binance zároveň přiznala, že k dalšímu bezpečnostnímu incidentu došlo již v červnu, kdy jiný inženýr při hledání nástroje pro umělou inteligenci nainstaloval upravený softwarový balíček prostřednictvím správce balíčků Homebrew.
Burza tehdy kompromitované zařízení odhalila a vyměnila. Podle vedení společnosti však samotný zaměstnanec i jeho kolegové z týmu spravujícího kryptoměnové peněženky zůstali vystaveni riziku.
Rozhodující fáze útoku začala 20. října, kdy hackeři využili počítač napadený prostřednictvím falešného pohovoru a interní nástroj umělé inteligence k získání přístupu k zařízením dalších dvou inženýrů odpovědných za správu peněženek.
O devět dní později, 29. října, útočníci pomocí odcizených přihlašovacích údajů nasadili do infrastruktury burzy kontejner a spustili škodlivý skript. Ve 20:05 světového času začaly z peněženek Binance odcházet první prostředky.
K samotnému odčerpání kryptoměn hackeři využili také mechanismus EIP-7702, který byl do sítě Ethereum zaveden v roce 2025. Tato funkce umožňuje běžným kryptoměnovým účtům dočasně využívat funkcionalitu chytrých kontraktů.
Útočníci jejím prostřednictvím získali oprávnění vykonávat operace nad jednou z takzvaných hot wallets, tedy peněženek připojených k internetu, které burzy využívají k běžnému zpracování transakcí.
Situaci komplikovalo zabezpečení Binance založené na technologii multiparty computation (MPC), která rozděluje kryptografické operace mezi více účastníků. Kvůli tomuto uspořádání nebylo možné zneužité oprávnění jednoduše zrušit jediným privátním klíčem.
Burze se podařilo útok plně zastavit až 30. října v 00:10 UTC, tedy více než čtyři hodiny po zahájení odčerpávání prostředků.
Navzdory obrovskému rozsahu incidentu Binance tvrdí, že její zákazníci neutrpí finanční ztráty. Podle Richarda Tenga se již podařilo zmrazit přibližně 2,85 miliardy dolarů z odcizených prostředků a zhruba 98 % zasažených tokenů burza doplnila z vlastních rezerv.
Společnost zároveň oznámila, že během letošního roku zablokovala 57 podezřelých pokusů o útok spojených se Severní Koreou. V reakci na nejnovější incident plánuje přizvat nezávislé bezpečnostní experty, kteří mají prověřit okolnosti napadení a navrhnout další ochranná opatření.
Celý případ ukazuje, že ani rozsáhlé investice do technického zabezpečení nemusejí stačit, pokud útočníci dokážou dlouhodobě manipulovat zaměstnanci a postupně pronikat do interních systémů. V případě Binance přitom stačil zdánlivě běžný pracovní pohovor, aby odstartoval řetězec událostí vedoucí k historicky největší kryptoměnové krádeži.