L’exchange di criptovalute Binance ha rivelato come gli attaccanti abbiano utilizzato colloqui di reclutamento fraudolenti e software infetto da malware per infiltrarsi nei suoi sistemi interni prima di rubare circa 6,34 miliardi di dollari in asset digitali. L’indagine dell’azienda mostra che l’attacco del 29 ottobre 2026 è stato il risultato di una serie di compromissioni che hanno coinvolto più dipendenti nell’arco di diversi mesi.
Secondo il 3 novembre di incident report Binance, gli attaccanti hanno iniziato a preparare l’operazione già a giugno, quando un ingegnere del software ha scaricato un’installazione Homebrew modificata mentre cercava uno strumento di sviluppo AI. Sebbene Binance abbia rilevato il software sospetto e sostituito il dispositivo interessato, gli attaccanti avevano già ottenuto informazioni che potevano favorire ulteriori intrusioni.
Un attacco separato iniziò a settembre quando un altro ingegnere ricevette un’opportunità di lavoro tramite una piattaforma di reclutamento legittima. Il presunto datore di lavoro era una società fittizia, e l’individuo che si presentava come direttore di progetto faceva parte dell’inganno.
L’ingegnere ha partecipato a due interviste. Durante la prima, qualcuno che si spacciava per un rappresentante delle risorse umane ha effettuato una videochiamata e ha condiviso un profilo social contenente fotografie e video personali per dimostrare credibilità.
Durante il secondo colloquio, condotto tramite un’applicazione di messaggistica, il presunto datore di lavoro ha istruito l’ingegnere a scaricare un compito di codifica da un repository online. L’incarico conteneva malware precedentemente non identificato che aggirava le protezioni di sicurezza degli endpoint dell’azienda.
Gli investigatori di Binance hanno scoperto che il software malevolo sostituiva un componente legittimo dello strumento di sviluppo sul computer macOS del dipendente. In particolare, ha sostituito l’eseguibile pyenv con una versione modificata in grado di eseguire comandi ricevuti da un server controllato dall’attaccante.
Entro il 20 ottobre, gli attaccanti avevano combinato l’accesso al computer compromesso con uno strumento AI interno per raggiungere i sistemi appartenenti a due dipendenti aggiuntivi coinvolti nell’infrastruttura del wallet di criptovalute di Binance. Successivamente hanno ottenuto credenziali e un token di deployment container.
Il 29 ottobre, l’accesso rubato ha permesso agli attaccanti di schierare codice malevolo e compromettere il servizio di firma del wallet di Binance. Ciò ha permesso trasferimenti non autorizzati di criptovalute su più blockchain senza seguire le normali procedure di prelievo dell’exchange.
Gli attaccanti hanno inoltre sfruttato il meccanismo di autorizzazione EIP-7702 di Ethereum, complicando così gli sforzi di Binance per fermare i trasferimenti. L’attività non autorizzata è continuata anche dopo che l’exchange ha sospeso i prelievi.
L’FBI ha attribuito il furto a TraderTraitor, un gruppo di hacker sponsorizzato dallo stato nordcoreano anch’esso associato al Lazarus Group. La Corea del Nord ha negato il coinvolgimento, mentre Binance non ha confermato in modo indipendente l’identità degli aggressori.
Binance ha riferito che circa 2,85 miliardi di dollari in beni rubati erano stati congelati o intercettati entro il 3 novembre. La società ha inoltre dichiarato di aver rifornito circa il 98% degli asset token interessati utilizzando i propri fondi.