Binance riconduce l’hack da 6,3 miliardi di dollari a falsi colloqui di lavoro e a uno strumento di IA compromesso

Un incarico di programmazione assegnato da un potenziale datore di lavoro sembrava una normale fase di un colloquio. In realtà, era un passaggio di un attacco informatico durato mesi, conclusosi con il furto di 6,3 miliardi di dollari da Binance e sollevando interrogativi su come gli exchange proteggano i propri dipendenti dalle minacce che li prendono di mira.

Secondo un postmortem pubblicato martedì da Binance, l’attacco faceva parte di una campagna coordinata che ha sfruttato sia le vulnerabilità umane sia i sistemi di sicurezza interni. Le conclusioni dell’exchange hanno illustrato come gli hacker abbiano ottenuto gradualmente l’accesso all’infrastruttura dei wallet dell’azienda prima del furto del 29 ottobre.

Come gli hacker si sono infiltrati in Binance

Secondo il rapporto sulla sicurezza di Binance, la campagna d’attacco è iniziata a giugno, quando un ingegnere ha scaricato un pacchetto software manomesso durante la configurazione di uno strumento di programmazione basato sull’IA. Sebbene Binance abbia rilevato il malware e sostituito il dispositivo interessato, gli aggressori avevano già raccolto informazioni sul team addetto ai wallet dell’exchange.

A settembre, aggressori che si spacciavano per recruiter hanno preso di mira un altro ingegnere informatico e indotto il dipendente a scaricare un file malevolo camuffato da incarico di programmazione. Il malware ha compromesso il computer di lavoro dell’ingegnere ed eluso le protezioni di sicurezza dell’exchange.

Il 20 ottobre, gli aggressori hanno utilizzato il computer compromesso e uno strumento interno di IA per accedere ai sistemi di altri due ingegneri, ottenendo credenziali di distribuzione che hanno consentito loro di installare software malevolo nell’infrastruttura dei wallet di Binance il 29 ottobre.

Gli aggressori hanno quindi ottenuto l’accesso al servizio interno di firma dei wallet dell’exchange, che autorizza le transazioni in criptovalute. Ciò ha permesso loro di spostare i fondi al di fuori della normale procedura di prelievo.

«Non si è trattato di un singolo errore o di una singola violazione: è stata una campagna durata mesi», ha dichiarato martedì il co-CEO di Binance Richard Teng in un post su X.

Fonte: Richard Teng

Binance ha dichiarato che gli aggressori hanno sfruttato anche il meccanismo EIP-7702 di Ethereum, che consente ai wallet di delegare i permessi di transazione agli smart contract, permettendo il protrarsi dei trasferimenti non autorizzati anche dopo che l’exchange aveva sospeso i prelievi. Il suo sistema di wallet basato sul calcolo multiparte (MPC), che distribuisce il controllo sulla firma delle transazioni, ha complicato gli sforzi per revocare tali permessi.

La violazione ha interessato circa 6,3 miliardi di dollari in asset digitali, con Binance che, secondo la sua contabilità più recente, ha riferito che 2,85 miliardi di dollari erano stati congelati o intercettati. L’exchange ha dichiarato che avrebbe assorbito le perdite invece di trasferirle ai clienti e che, al 31 ottobre, aveva reintegrato il 98% degli asset in token interessati.

L’attacco, il più grande attacco informatico nella storia delle criptovalute, è stato attribuito a hacker nordcoreani dal Federal Bureau of Investigation (FBI). Martedì, Kim Yo Jong, sorella del leader nordcoreano Kim Jong Un, ha negato il coinvolgimento del Paese, affermando che l’attribuzione dell’FBI era motivata politicamente e mirava a danneggiare la posizione internazionale della Corea del Nord.

Binance riferisce di aver bloccato 57 minacce informatiche quest’anno

La cofondatrice di Binance Yi He ha dichiarato martedì che il team di sicurezza dell’exchange aveva rilevato e impedito 57 sospette minacce informatiche collegate alla Corea del Nord nel 2026, inclusi colloqui di lavoro fraudolenti, pacchetti software malevoli e tentativi di ingegneria sociale mirati a rubare credenziali o installare malware.

«Ne abbiamo intercettate molte, ma il costo di non riuscire a fermarne anche solo una è stato grave — e questo non sarebbe mai dovuto accadere», ha dichiarato.

Rivista: Gli hacker di Binance si sono affrettati a spostare miliardi prima che potessero essere congelati