Fałszywa rozmowa o pracę doprowadziła do kradzieży 6,3 mld dolarów. Binance ujawnia kulisy cyberataku

Wielomiliardowa kradzież kryptowalut z Binance nie była rezultatem pojedynczego włamania, lecz wieloetapowej operacji prowadzonej przez kilka miesięcy. Z opublikowanego przez giełdę wstępnego raportu wynika, że cyberprzestępcy stopniowo zdobywali dostęp do komputerów pracowników odpowiedzialnych za infrastrukturę portfeli cyfrowych. Wykorzystali przy tym dwa pozornie niezwiązane zdarzenia: instalację fałszywego narzędzia programistycznego oraz rozmowę kwalifikacyjną z osobą podszywającą się pod potencjalnego pracodawcę.

Szczegóły incydentu zostały ujawnione we wtorek 3 listopada 2026 roku, pięć dni po kradzieży aktywów o wartości 6,3 mld dolarów. Według przedstawionych informacji może to być największa tego rodzaju kradzież w historii rynku kryptowalut. Skala strat przyciągnęła uwagę amerykańskich organów ścigania, które wskazały na północnokoreańską grupę hakerską jako sprawcę operacji.

Raport Binance pokazuje również, że niebezpieczeństwo nie ograniczało się do tradycyjnych prób przełamywania zabezpieczeń systemów informatycznych. Istotną rolę odegrało wykorzystanie zaufania pracowników oraz narzędzi wykorzystywanych przez nich podczas codziennych obowiązków zawodowych. Przestępcy nie musieli od razu uzyskiwać dostępu do infrastruktury finansowej giełdy. Najpierw stworzyli warunki umożliwiające stopniowe przejmowanie kontroli nad komputerami osób posiadających odpowiednie uprawnienia.

Według wstępnych ustaleń Binance działania przestępców rozpoczęły się już w czerwcu 2026 roku. Wówczas jeden z programistów odpowiedzialnych za systemy portfeli cyfrowych pobrał fałszywe narzędzie wykorzystujące sztuczną inteligencję. Oprogramowanie było złośliwe i mogło umożliwiać osobom trzecim uzyskanie dostępu do informacji znajdujących się na komputerze pracownika.

Systemy bezpieczeństwa giełdy wykryły zagrożenie. Binance zdecydowała się na wymianę oprogramowania oraz zmianę danych uwierzytelniających. Podjęte działania miały ograniczyć skutki incydentu i uniemożliwić dalsze wykorzystywanie przejętego urządzenia.

Późniejsze ustalenia wskazują jednak, że interwencja mogła nastąpić już po uzyskaniu przez hakerów części potrzebnych informacji. Według giełdy przestępcy mogli wcześniej przechwycić dane logowania programisty oraz innych członków zespołu odpowiedzialnego za portfele. Oznaczało to, że usunięcie zagrożenia z jednego komputera niekoniecznie eliminowało wszystkie konsekwencje wcześniejszego naruszenia bezpieczeństwa.

Pierwszy etap operacji nie doprowadził jeszcze do kradzieży kryptowalut. Stworzył jednak możliwość wykorzystania zdobytych informacji podczas kolejnych działań. Przestępcy mieli już wiedzę dotyczącą pracowników i infrastruktury, która mogła pomóc im w przygotowaniu następnego etapu ataku.

We wrześniu hakerzy wykorzystali zupełnie inny sposób uzyskania dostępu do systemów Binance. Ich celem stał się drugi programista, który poszukiwał nowej pracy. Pracownik wziął udział w zdalnej rozmowie kwalifikacyjnej z osobą przedstawiającą się jako dyrektor generalny przedsiębiorstwa zainteresowanego jego zatrudnieniem.

Firma, w imieniu której prowadzono rekrutację, w rzeczywistości nie istniała. Proces został przygotowany przez cyberprzestępców, którzy wykorzystali zainteresowanie programisty zmianą pracy, aby skłonić go do wykonania określonych czynności na komputerze.

Po rozmowie pracownik pobrał repozytorium z kodem, sądząc, że otrzymał materiały związane z procesem rekrutacyjnym. Wśród plików znajdowało się jednak złośliwe oprogramowanie. W ten sposób hakerzy uzyskali kolejną możliwość ingerencji w środowisko informatyczne giełdy.

Istotą tej metody było wykorzystanie sytuacji, która z perspektywy pracownika mogła wydawać się zwykłym elementem poszukiwania zatrudnienia. Rozmowy techniczne, zadania programistyczne i materiały przekazywane kandydatom są częścią procesów rekrutacyjnych w branży informatycznej. W tym przypadku przestępcy posłużyli się taką formą kontaktu, aby doprowadzić do uruchomienia niebezpiecznego kodu.

Fałszywa rekrutacja nie była więc odrębnym oszustwem wymierzonym wyłącznie w jednego pracownika. Stanowiła element operacji, której ostatecznym celem było uzyskanie dostępu do infrastruktury wykorzystywanej do przechowywania i obsługi kryptowalut.

Kolejny etap ataku nastąpił 20 października. Według raportu Binance przestępcy wykorzystali zainfekowany wcześniej komputer oraz wewnętrzne narzędzie oparte na sztucznej inteligencji, z którego korzystali pracownicy giełdy. Pozwoliło im to rozszerzyć dostęp do środowiska informatycznego przedsiębiorstwa.

W wyniku tych działań hakerzy przejęli kontrolę nad systemem programisty odpowiedzialnego za portfele, a także uzyskali dostęp do środowiska drugiego członka zespołu. Oznaczało to, że wcześniejsze naruszenia bezpieczeństwa zaczęły się wzajemnie uzupełniać, umożliwiając przestępcom wykorzystanie zdobytych danych i przejętych urządzeń.

Obecność sztucznej inteligencji w tym scenariuszu ma szczególne znaczenie, choć należy właściwie rozumieć jej rolę. Z informacji ujawnionych przez Binance wynika, że atakujący posłużyli się wewnętrznym narzędziem AI jako jednym z elementów umożliwiających dalszą ingerencję w systemy. Nie oznacza to, że sztuczna inteligencja samodzielnie zaplanowała lub przeprowadziła kradzież.

Opisany incydent pokazuje natomiast, że narzędzia AI używane w przedsiębiorstwach mogą stać się częścią łańcucha ataku, jeśli przestępcy uzyskają możliwość korzystania z nich poprzez przejęte konta lub komputery pracowników. Im większy dostęp takie rozwiązania mają do firmowych systemów, tym istotniejsze staje się kontrolowanie sposobu ich wykorzystywania.

Po kilku miesiącach przygotowań cyberprzestępcy przeprowadzili właściwą operację kradzieży. 29 października wykorzystali komputer drugiego programisty oraz dane uwierzytelniające wcześniej przejęte od pierwszego pracownika zespołu.

Następnie uruchomili złośliwy skrypt, który umożliwił przeprowadzenie ataku na infrastrukturę giełdy. W wyniku operacji z Binance wyprowadzono kryptowaluty o łącznej wartości około 6,3 mld dolarów.

To właśnie połączenie wcześniejszych naruszeń bezpieczeństwa okazało się kluczowe dla powodzenia całej operacji. Pierwszy incydent umożliwił potencjalne pozyskanie danych uwierzytelniających, drugi stworzył kolejną drogę dostępu do firmowych komputerów, a następne działania pozwoliły przestępcom wykorzystać te możliwości podczas kradzieży aktywów.

Z przedstawionych informacji wynika, że skala strat była wyjątkowa nawet na tle rynku kryptowalut, który już wcześniej mierzył się z poważnymi cyberatakami. Wstępne ustalenia Binance wskazują, że przeprowadzenie operacji wymagało przygotowań rozłożonych na kilka miesięcy, a nie jednorazowego wykorzystania pojedynczej podatności.

W raporcie nie przedstawiono jednak wszystkich szczegółów technicznych pozwalających odtworzyć kompletny przebieg kradzieży. Ujawnione informacje opisują przede wszystkim sposób uzyskiwania dostępu do infrastruktury i sekwencję działań prowadzących do wyprowadzenia środków.

Po ujawnieniu kradzieży sprawą zajęły się amerykańskie służby. Federalne Biuro Śledcze przypisało przeprowadzenie operacji grupie cyberprzestępczej powiązanej z Koreą Północną.

Oskarżenie to wprowadza do sprawy wymiar międzynarodowy. Włamanie przestaje być wyłącznie incydentem dotyczącym bezpieczeństwa pojedynczego przedsiębiorstwa i staje się przedmiotem zainteresowania organów odpowiedzialnych za ściganie przestępczości na dużą skalę.

Władze Korei Północnej odrzuciły jednak zarzuty. W związku z tym należy rozróżnić stanowisko amerykańskiego FBI od ostatecznego ustalenia odpowiedzialności sprawców w postępowaniu sądowym. W materiale PAP przedstawiono przypisanie ataku północnokoreańskiej grupie przez amerykańskie służby oraz zaprzeczenie ze strony Pjongjangu.

Wstępny raport Binance koncentruje się przede wszystkim na technicznym i organizacyjnym przebiegu incydentu. Opisuje działania podejmowane od czerwca do października, wskazując na wykorzystanie fałszywego oprogramowania, rekrutacji oraz przejętych komputerów pracowników.

Po ujawnieniu skali strat giełda zadeklarowała zwrot środków wszystkim klientom, którzy zostali poszkodowani w wyniku cyberataku. Jest to jedno z najważniejszych zobowiązań przedstawionych przez przedsiębiorstwo po incydencie z 29 października.

Binance zapowiedziała również rozbudowę systemów ochrony. Szczególny nacisk ma zostać położony na rozwijanie narzędzi wykorzystujących sztuczną inteligencję do wykrywania zagrożeń. Firma zamierza przeznaczać większe środki na technologie pozwalające identyfikować podejrzane działania i reagować na próby ingerencji w infrastrukturę.

Jednocześnie przedsiębiorstwo pracuje nad utworzeniem funduszu wspierającego badania dotyczące cyberbezpieczeństwa. Zapowiedziano także współpracę z czołowymi firmami rozwijającymi technologie AI, co ma umożliwić przygotowanie nowych rozwiązań służących ochronie systemów i danych.

Przebieg ataku na Binance pokazuje, że cyberbezpieczeństwo dużych przedsiębiorstw zależy nie tylko od zabezpieczeń samych systemów finansowych. Istotne znaczenie mają również urządzenia wykorzystywane przez pracowników, sposób przechowywania danych uwierzytelniających oraz zasady korzystania z zewnętrznego oprogramowania.

W przypadku Binance przestępcy wykorzystali dwa różne scenariusze, które z pozoru mogły nie wzbudzać szczególnych podejrzeń. Pierwszy dotyczył pobrania narzędzia programistycznego, drugi udziału w internetowym procesie rekrutacyjnym. Oba zdarzenia zostały następnie wykorzystane do przejęcia środowisk informatycznych osób odpowiedzialnych za obsługę portfeli kryptowalutowych.

Najważniejszym elementem incydentu pozostaje wieloetapowość operacji. Pierwsze działania podjęto w czerwcu, kolejny komputer został zainfekowany we wrześniu, a do rozszerzenia dostępu doszło 20 października. Ostateczna kradzież nastąpiła dziewięć dni później. Taki przebieg pokazuje, że wykrycie i usunięcie jednego zagrożenia nie zawsze oznacza zakończenie całego incydentu, jeżeli przestępcy wcześniej zdobyli informacje umożliwiające dalsze działania.

Szczególne znaczenie ma również wykorzystanie firmowego narzędzia opartego na sztucznej inteligencji. W przedstawionym scenariuszu technologia, która miała wspierać codzienną pracę przedsiębiorstwa, stała się jednym z elementów wykorzystanych przez atakujących. Odpowiedzią Binance ma być dalszy rozwój systemów AI, tym razem ukierunkowanych na skuteczniejsze rozpoznawanie zagrożeń.

Publikacja ustaleń Binance pozwala lepiej zrozumieć, w jaki sposób doszło do kradzieży kryptowalut o wartości 6,3 mld dolarów. Atak rozpoczął się od przejęcia dostępu do komputerów pracowników, a następnie objął wykorzystanie danych uwierzytelniających, złośliwego kodu i narzędzia AI funkcjonującego wewnątrz giełdy.

Incydent nie był zatem wyłącznie problemem zabezpieczenia samych cyfrowych aktywów. Jego źródłem były również działania podejmowane poza podstawową infrastrukturą finansową, w tym fałszywy proces rekrutacyjny i instalacja niebezpiecznego oprogramowania.

Binance zadeklarowała pokrycie strat klientów oraz zwiększenie inwestycji w systemy ochrony. Jednocześnie FBI przypisało operację hakerom powiązanym z Koreą Północną, czemu zaprzeczyły władze tego państwa. Opublikowane ustalenia pozostają wstępne, dlatego pełny zakres naruszenia bezpieczeństwa i wszystkie techniczne okoliczności kradzieży nie zostały jeszcze ostatecznie przedstawione.

Sprawa pokazuje, że nawet przedsiębiorstwo obsługujące aktywa o wartości miliardów dolarów może zostać zaatakowane poprzez codzienne czynności wykonywane przez jego pracowników. Fałszywa rozmowa o pracę, która początkowo wyglądała jak zwykły etap rekrutacji, stała się jednym z kluczowych elementów operacji zakończonej rekordową kradzieżą kryptowalut.

Źródło: Polska Agencja Prasowa (PAP), opracowanie własne