Нападателите използвали социално инженерство и незабелязан от антивирусните инструменти зловреден софтуер, за да компрометират служител и впоследствие инфраструктурата за управление на криптовалутните портфейли на борсата. Binance съобщава, че е възстановила засегнатите системи и продължава разследването.
Атаката започнала с фалшив рекрутер
Криптовалутната борса Binance разкри подробности за атаката от 29 октомври, при която севернокорейски хакери откраднали цифрови активи на стойност около 6,34 млрд. долара. Според доклада на компанията първоначалният достъп бил получен чрез фалшиво интервю за работа, насочено към софтуерен инженер на Binance.
Федералното бюро за разследване на САЩ (FBI) приписва атаката на севернокорейската група TraderTraitor, известна още като Lazarus Group, Jade Sleet и APT38.
Кампанията започнала през септември. Служителят бил потърсен в легитимна платформа за търсене на работа от лице, представящо се за проектен директор на фиктивна компания. Профилът на инженера, в който фигурирал опитът му в Binance, го направил подходяща цел.
Последвали две интервюта – първо с предполагаем представител на човешките ресурси, а след това с човек, представящ се за изпълнителен директор. При първата среща нападателят използвал видеоразговор и профил в социална мрежа с лични снимки и видеоклипове, за да изгради доверие.
По време на второто интервю, проведено през популярно приложение за чат, служителят бил инструктиран да изтегли задача за програмиране от онлайн хранилище с код.
Зловреден код подменил инструмент за разработка
Хранилището съдържало зловреден код, който компрометирал устройството на служителя с персонализиран софтуер, непознат дотогава и неоткрит от антивирусните инструменти.
По данни на Binance зловредният софтуер използвал техники за обфускация и заобикаляне на защитите. Нападателите подменили компонент на легитимен инструмент за разработка, за да изпълняват команди и да комуникират със сървър под техен контрол.
Скриптът създал заместител на изпълнимия файл pyenv_ в директорията за инсталации Homebrew на macOS. След това изтрил оригиналния pyenv, преименувал зловредния файл, променил символичната връзка и го използвал за стартиране на процес Z shell (zsh).
Така нападателите получили възможност да изпълняват команди, изпращани от външния им сървър. Binance посочва, че са били предприети и действия за прикриване на злонамерената активност и заличаване на следите, което затруднило откриването и последващото разследване.
Компрометиране на портфейлната инфраструктура
До 20 октомври нападателите използвали компрометирания компютър на инженера и вътрешен инструмент с ИИ, за да проникнат в системите на още двама служители, работещи по инфраструктурата за криптовалутни портфейли.
Те получили идентификационни данни и токен за внедряване на контейнери. На 29 октомври използвали откраднатия достъп, за да внедрят зловреден скрипт и да проникнат в услугата за подписване на транзакции на Binance.
Това им позволило да прехвърлят криптовалути на стойност милиарди долари през различни блокчейни.
Нападателите злоупотребили и с механизма за делегиране на права EIP-7702 в Ethereum. Според Binance това им позволило да продължат кражбата дори след като борсата спряла тегленията.
Binance възстановява системите и блокира част от активите
Компанията съобщава, че засегнатите системи са изградени отново, компрометираните устройства са заменени, а откраднатите идентификационни данни са отнети.
Към 3 ноември приблизително 2,85 млрд. долара от откраднатите активи били замразени или прихванати. Binance заявява, че към 31 октомври са възстановени 98% от засегнатите токенизирани активи.
Разследването продължава, като борсата е привлякла независими компании за киберсигурност, които да прегледат резултатите.
Фалшивите интервюта – позната севернокорейска тактика
Използването на фалшиви интервюта и задания за програмиране е характерно за севернокорейски кампании като Contagious Interview и Operation Dream Job.
През юни 2025 г. компанията Socket съобщи за кампания, при която фалшиви рекрутери в LinkedIn изпращали на разработчици задания, съдържащи зловредни npm пакети. Изследователите открили 35 такива пакета, предназначени да крадат браузърни идентификационни данни, информация за криптовалутни портфейли и други данни.
Групата Lazarus е използвала подобни подходи и в Operation Dream Job, разпространявайки зловреден софтуер под формата на документи за работа сред разработчици и служители на компании в сектора на децентрализираните финанси (DeFi).
Binance не свързва официално инцидента с конкретна от тези кампании. Въпреки това фалшивият рекрутер, последователните интервюта и зловредното задание за програмиране съответстват на вече документирани севернокорейски тактики.
Случаят показва как компрометирането на един служител може да се превърне във вход към критична финансово-технологична инфраструктура. Особено рискови са процесите, при които разработчици изпълняват код от външни хранилища или използват служебни инструменти и идентификационни данни в среда, достъпна от компрометирано устройство.
