De cryptobeurs Binance heeft onthuld hoe aanvallers frauduleuze wervingsinterviews en met malware geïnfecteerde software gebruikten om interne systemen binnen te dringen voordat ze ongeveer $6,34 miljard aan digitale activa stalen. Het onderzoek van het bedrijf toont aan dat de aanval van 29 oktober 2026 het gevolg was van een reeks compromittaties waarbij meerdere medewerkers over meerdere maanden betrokken waren.
Volgens Binance’s rapport van 3 incident report november begonnen de aanvallers al in juni met de voorbereiding van de operatie, toen een software-engineer een aangepaste Homebrew-installatie downloadde terwijl hij zocht naar een AI-ontwikkeltool. Hoewel Binance de verdachte software ontdekte en het getroffen apparaat verving, hadden de aanvallers al informatie verkregen die verdere inbraken kon ondersteunen.
Een aparte aanval begon in september toen een andere ingenieur via een legitiem wervingsplatform een baan kreeg. De vermeende werkgever was een fictief bedrijf, en de persoon die zich presenteerde als projectdirecteur was onderdeel van de misleiding.
De ingenieur nam deel aan twee interviews. Tijdens het eerste deed iemand die zich voordeed als HR-vertegenwoordiger een videogesprek en deelde een socialmediaprofiel met persoonlijke foto’s en video’s om geloofwaardigheid te creëren.
Tijdens het tweede interview, dat via een berichtenapplicatie werd afgenomen, gaf de vermeende werkgever de ingenieur de opdracht om een codeeropdracht te downloaden uit een online repository. De opdracht bevatte eerder niet-geïdentificeerde malware die de endpointbeveiligingsbeveiligingen van het bedrijf omzeilde.
Binance-onderzoekers ontdekten dat de kwaadaardige software een legitiem ontwikkeltool-onderdeel op de macOS-computer van de medewerker had vervangen. Specifiek verving het het uitvoerbare bestand pyenv door een aangepaste versie die commando’s kon uitvoeren die van een door aanvallers gecontroleerde server werden ontvangen.
Op 20 oktober hadden de aanvallers toegang tot de gecompromitteerde computer gecombineerd met een intern AI-instrument om toegang te krijgen tot systemen van twee extra medewerkers die betrokken waren bij de cryptocurrency-walletinfrastructuur van Binance. Vervolgens verkregen ze inloggegevens en een container-implementatietoken.
Op 29 oktober stelde de gestolen toegang de aanvallers in staat kwaadaardige code te gebruiken en de wallet-signeringsdienst van Binance te compromitteren. Dit maakte ongeautoriseerde cryptocurrency-overdrachten mogelijk over meerdere blockchains zonder de normale opnameprocedures van de beurs te volgen.
De aanvallers maakten ook gebruik van het EIP-7702 autorisatiemechanisme van Ethereum, wat de pogingen van Binance om de overdrachten te stoppen bemoeilijkte. Ongeautoriseerde activiteit ging door, zelfs nadat de beurs de opnames had opgeschort.
De FBI heeft de diefstal toegeschreven aan TraderTraitor, een door de staat gesponsorde Noord-Koreaanse hackergroep die ook geassocieerd is met de Lazarus Group. Noord-Korea ontkent betrokkenheid, terwijl Binance de identiteit van de aanvallers niet onafhankelijk heeft bevestigd.
Binance meldde dat ongeveer $2,85 miljard aan gestolen activa tot 3 november waren bevroren of onderschept. Het bedrijf verklaarde ook dat het ongeveer 98% van de getroffen tokenactiva had aangevuld met eigen middelen.