Η επίθεση στη Binance, που οδήγησε στην κλοπή περιουσιακών στοιχείων αξίας 6,43 δισ. δολαρίων από το μεγαλύτερο ανταλλακτήριο κρυπτονομισμάτων στον κόσμο, δεν ήταν ένα μεμονωμένο περιστατικό phishing. Όπως ανακοίνωσε η ίδια η εταιρεία, επρόκειτο για μια «εξελιγμένη εκστρατεία πολλών σταδίων», που στόχευσε δύο μηχανικούς της μέσω παραποιημένου λογισμικού και ψεύτικων προσκλήσεων για συνέντευξη εργασίας.
Η Binance κάνει λόγο για ρεκόρ κλοπής. Στην ανακοίνωσή της σημειώνει ότι οι επιτιθέμενοι συνδύασαν social engineering, κακόβουλες λήψεις λογισμικού, παραβιασμένο εσωτερικό εργαλείο τεχνητής νοημοσύνης, παραβίαση τερματικών και προηγμένη μέθοδο εξουσιοδότησης συναλλαγών.
Επίθεση στη Binance: το πρώτο βήμα: ένας πλαστός εγκαταστάτης
Η αρχή εντοπίζεται τον Ιούνιο του 2026. Ένας μηχανικός της ομάδας Wallet DevOps, τον οποίο η εταιρεία αποκαλεί «Engineer A», έψαξε σε μηχανή αναζήτησης ένα δημοφιλές εργαλείο τεχνητής νοημοσύνης. Κατέληξε να κατεβάσει έναν trojanized εγκαταστάτη του Homebrew, δηλαδή μια μολυσμένη εκδοχή του. Πρόκειται για επίθεση εφοδιαστικής αλυσίδας (supply chain attack), αφού το κακόβουλο λογισμικό έφτασε μέσα από κάτι που φαινόταν νόμιμο.
Η Binance υποστηρίζει ότι εντόπισε την ενέργεια και άλλαξε προληπτικά όλα τα σχετικά διαπιστευτήρια. Παραδέχεται όμως ότι στον εισβολέα διέρρευσαν πληροφορίες για τον ρόλο του Engineer A και των συναδέλφων του στην ομάδα υποδομής πορτοφολιών. Αυτά τα στοιχεία φαίνεται πως βοήθησαν στη συνέχεια.
Ψεύτικες συνεντεύξεις εργασίας ως δόλωμα
Τον Σεπτέμβριο του 2026 οι επιτιθέμενοι πλησίασαν έναν δεύτερο μηχανικό («Engineer B») μέσω νόμιμης πλατφόρμας αναζήτησης εργασίας. Παρουσιάστηκαν ως Project Director και κανόνισαν πρώτο γύρο συνέντευξης με υποτιθέμενο εκπρόσωπο του HR. Ακολούθησε δεύτερος γύρος με άτομο που δήλωνε CEO εταιρείας η οποία, όπως αναφέρεται, δεν υπάρχει. Η Binance δεν δημοσίευσε στοιχεία για την εταιρεία-βιτρίνα.
Για να χτίσουν εμπιστοσύνη, ο «HR» έδειξε λογαριασμό κοινωνικής δικτύωσης με προσωπικές φωτογραφίες και βίντεο, ενώ ο δεύτερος γύρος έγινε σε δημοφιλή εφαρμογή συνομιλίας. Προς το τέλος, ο μηχανικός κλήθηκε να κατεβάσει μια «εργασία» στον εταιρικό του υπολογιστή. Ήταν ένα αποθετήριο κώδικα που εκτελούσε κακόβουλες ενέργειες κατά τη διαδικασία εγκατάστασης.
Πώς λειτουργούσε το malware
Σύμφωνα με τη Binance, το malware δεν εντοπίστηκε, καθώς χρησιμοποιούσε προηγμένη συσκότιση (obfuscation) και τεχνικές αποφυγής ανίχνευσης. Αντικαθιστούσε νόμιμο συστατικό εργαλείου ανάπτυξης με μολυσμένη εκδοχή, εκτελούσε εντολές και επικοινωνούσε με εξωτερικό διακομιστή των εισβολέων. Επιπλέον, διέγραφε ίχνη που θα βοηθούσαν σε ψηφιακή διερεύνηση.
Από τον εσωτερικό βοηθό AI στο σύστημα υπογραφής συναλλαγών
Στις 20 Οκτωβρίου 2026 η επίθεση πέρασε στο επόμενο στάδιο. Μέσω του παραβιασμένου υπολογιστή του Engineer B και με κατάχρηση ενός εσωτερικού εργαλείου AI, ο εισβολέας απέκτησε έλεγχο πάνω στον Engineer A και σε έναν ακόμη μηχανικό λογισμικού πορτοφολιών («Engineer C»).
Ο επιτιθέμενος ανακάλυψε ότι ο Engineer A είχε στον υπολογιστή του ένα token άδειας για ανάπτυξη containers. Στις 29 Οκτωβρίου συνδέθηκε στον υπολογιστή του Engineer C, χρησιμοποίησε τα κλεμμένα διαπιστευτήρια, ανέπτυξε container και ενεργοποίησε κακόβουλο script. Με την πρόσβαση αυτή εκμεταλλεύτηκε εσωτερική υπηρεσία υπογραφής συναλλαγών και ξεκίνησε μεταφορές εκτός της κανονικής διαδικασίας ανάληψης.
Η απάντηση της Binance και ο ρόλος της Βόρειας Κορέας
Η εταιρεία δηλώνει ότι ξαναέχτισε το επηρεασμένο σύστημα πορτοφολιών σε νέο περιβάλλον, καθώς και το εσωτερικό εργαλείο AI και τους ελέγχους πρόσβασης. Έως τις 3 Νοεμβρίου:
- απενεργοποίησε διαπιστευτήρια και tokens των εμπλεκόμενων μηχανικών·
- ολοκλήρωσε ενισχυμένες σαρώσεις ασφαλείας σε όλες τις συσκευές των εργαζομένων·
- ενίσχυσε την ανίχνευση ανωμαλιών συμπεριφοράς με AI και τους ελέγχους κινδύνου της υπηρεσίας πορτοφολιών·
- συνεργάστηκε με τις αρχές, εταιρείες blockchain intelligence και συνεργάτες του κλάδου για να εντοπιστούν και να παγώσουν τα επηρεασμένα assets.
Η Binance εκτιμά ότι από την αρχή του έτους απέτρεψε 57 ύποπτες περιπτώσεις απειλών που συνδέονται με τη Βόρεια Κορέα. Οι τεχνικές περιλαμβάνουν ψεύτικες συνεντεύξεις, κακόβουλο λογισμικό μεταμφιεσμένο σε εργαλεία για προγραμματιστές, παραβιασμένα πακέτα λογισμικού και επεκτάσεις προγραμμάτων περιήγησης, καθώς και πλαστές εφαρμογές τηλεδιάσκεψης. Στο κείμενο που δόθηκε δεν αποδίδεται ρητά η συγκεκριμένη κλοπή σε κάποια ομάδα.
Τι διδάσκει το περιστατικό
Η υπόθεση δείχνει ότι οι πιο ισχυρές άμυνες μπορούν να παρακαμφθούν όταν στόχος είναι οι άνθρωποι με προνομιακή πρόσβαση. Ένα εργαλείο που κατεβαίνει από αναζήτηση, μια πρόσκληση για δουλειά και ένα «τεστ» προγραμματισμού ήταν αρκετά για να ανοίξει μια διαδρομή ως το κέντρο της υποδομής. Δείχνει επίσης ότι τα εσωτερικά εργαλεία AI αποτελούν πλέον νέα επιφάνεια επίθεσης: αν παραβιαστούν, μπορούν να λειτουργήσουν ως γέφυρα ανάμεσα σε συστήματα και υπαλλήλους.
Τι πρέπει να κάνετε
- Κατεβάζετε εργαλεία και installers μόνο από επίσημες πηγές και όχι από αποτελέσματα αναζήτησης που δεν έχετε επαληθεύσει.
- Μην εκτελείτε ποτέ κώδικα από «τεστ» ή «εργασία» υποψήφιου εργοδότη στον εταιρικό υπολογιστή· χρησιμοποιήστε απομονωμένο περιβάλλον.
- Επαληθεύετε την ταυτότητα των προσώπων σε προσλήψεις, όχι μόνο μέσω προφίλ κοινωνικής δικτύωσης, που μπορούν εύκολα να στηθούν.
- Μην αποθηκεύετε tokens και διαπιστευτήρια με ευρεία δικαιώματα στους υπολογιστές των εργαζομένων· περιορίστε τα δικαιώματα στο ελάχιστο αναγκαίο.
- Παρακολουθείτε για ανώμαλη συμπεριφορά σε τερματικά, εσωτερικά εργαλεία AI και υπηρεσίες υπογραφής συναλλαγών.
- Εκπαιδεύετε τις τεχνικές ομάδες σε τακτική βάση για τέτοια σενάρια social engineering.
Πηγή: The Hacker News