Binance: Η κλοπή 6,34 δισ. δολαρίων ξεκίνησε με ψεύτικες συνεντεύξεις

Η Binance περιγράφει μια πολύμηνη επιχείρηση χάκερ που, σύμφωνα με την έκθεση ασφαλείας της, οδήγησε στην κλοπή περίπου 6,34 δισ. δολαρίων σε κρυπτονομίσματα. Η επίθεση δεν βασίστηκε σε ένα μόνο ύποπτο μήνυμα: οι δράστες συνδύασαν αλλοιωμένο λογισμικό με προσχηματικές διαδικασίες πρόσληψης, στοχεύοντας μηχανικούς που είχαν πρόσβαση σε κρίσιμες υποδομές του ανταλλακτηρίου.

Η Binance δημοσίευσε την αναφορά στις 3 Νοεμβρίου και χαρακτηρίζει την εκστρατεία «πολύπλοκη» και πολυσταδιακή, όχι ένα μεμονωμένο περιστατικό ή μια απλή απόπειρα ηλεκτρονικού ψαρέματος. Το πρώτο γνωστό περιστατικό, σύμφωνα με την εταιρεία, σημειώθηκε τον Ιούνιο: μηχανικός της ομάδας Wallet DevOps αναζήτησε ένα δημοφιλές εργαλείο τεχνητής νοημοσύνης για προγραμματισμό και κατέβασε αλλοιωμένη εγκατάσταση του Homebrew.

Το Homebrew είναι διαχειριστής πακέτων για macOS, ένα εργαλείο που χρησιμοποιούν προγραμματιστές για να εγκαθιστούν και να διαχειρίζονται λογισμικό. Η παγίδα, επομένως, δεν εμφανίστηκε απαραίτητα ως ένα προφανώς ύποπτο αρχείο· συνδέθηκε με μια συνηθισμένη εργασία ανάπτυξης. Η Binance λέει ότι εντόπισε ασυνήθιστη δραστηριότητα, αντικατέστησε τη συσκευή του μηχανικού και άλλαξε τα διαπιστευτήριά του.

Αυτές οι ενέργειες, όμως, δεν αρκούσαν για να σταματήσουν την επιχείρηση. Σύμφωνα με την αναφορά, οι δράστες είχαν ήδη μάθει τον ρόλο του εργαζομένου και είχαν εντοπίσει συναδέλφους που ασχολούνταν με την υποδομή των πορτοφολιών. Η υπόθεση δείχνει πόσο διαφορετική είναι η αντιμετώπιση ενός παραβιασμένου υπολογιστή από την αποκατάσταση μιας ευρύτερης έκθεσης: η αλλαγή συσκευής και κωδικών δεν αναιρεί πληροφορίες που έχουν ήδη συλλεχθεί.

Ένα δεύτερο περιστατικό ξεκίνησε τον Σεπτέμβριο, όταν άλλος μηχανικός της Binance προσεγγίστηκε μέσω νόμιμης πλατφόρμας αναζήτησης εργασίας από άτομο που παρίστανε τον διευθυντή έργου. Ο ψεύτικος recruiter οργάνωσε δύο συνεντεύξεις. Στην πρώτη, υποτιθέμενος εκπρόσωπος ανθρώπινου δυναμικού συμμετείχε σε βιντεοκλήση και παρουσίασε λογαριασμό κοινωνικού δικτύου με προσωπικές φωτογραφίες και βίντεο, ώστε η ιστορία να φαίνεται πειστική. Σε δεύτερη συνομιλία, άλλος συμμετέχων εμφανίστηκε ως διευθύνων σύμβουλος μιας ανύπαρκτης εταιρείας.

Προς το τέλος της διαδικασίας, ζητήθηκε από τον μηχανικό να κατεβάσει στον υπολογιστή εργασίας του μια προγραμματιστική άσκηση, η οποία περιείχε κακόβουλο αποθετήριο λογισμικού. Ο κώδικας εκτελέστηκε κατά τη ρύθμιση. Η Binance είχε αναφέρει τότε ότι το κακόβουλο λογισμικό αντικαθιστούσε νόμιμο στοιχείο του εργαλείου διαχείρισης εκδόσεων Python «pvenv» με μια τροποποιημένη έκδοση, ικανή να εκτελεί εντολές και να επικοινωνεί με διακομιστή των επιτιθέμενων. Τα εργαλεία ασφάλειας των συσκευών της εταιρείας δεν το εντόπισαν εκείνη τη στιγμή.

Στις 29 Οκτωβρίου, οι δράστες χρησιμοποίησαν κλεμμένα διαπιστευτήρια για να αποκτήσουν πρόσβαση στον υπολογιστή ακόμη ενός μηχανικού. Από εκεί ανέπτυξαν ένα container και εκτέλεσαν κακόβουλο script, αποκτώντας πρόσβαση στην εσωτερική υπηρεσία υπογραφής πορτοφολιών της Binance. Η πρόσβαση αυτή επέτρεψε συναλλαγές από πέντε hot wallets, έξω από τη συνήθη διαδικασία αναλήψεων του ανταλλακτηρίου. Αυτή είναι η συγκεκριμένη διαδρομή που συνδέει τις επιμέρους παραβιάσεις με την υποδομή που μπορούσε να εγκρίνει μεταφορές.

Οι μέθοδοι παραπέμπουν σε προηγούμενες εκστρατείες που αποδίδονται σε βορειοκορεατικές ομάδες. Η WaterPlum είχε χρησιμοποιήσει ψεύτικες αγγελίες εργασίας και δοκιμασίες προγραμματισμού για να μολύνει περισσότερες από 30.000 συσκευές σε 100 χώρες και να παραβιάσει πάνω από 7.000 πορτοφόλια κρυπτονομισμάτων τον Σεπτέμβριο. Η αναφορά συνδέει επίσης εκστρατεία του 2024, με ψεύτικες προσφορές εργασίας προς προγραμματιστές Python, με την ομάδα Lazarus· η ίδια ομάδα έχει συνδεθεί με την κλοπή 1,5 δισ. δολαρίων από την Bybit το 2025. Το ανησυχητικό στοιχείο δεν είναι μόνο ότι μια ψεύτικη συνέντευξη μπορεί να καταλήξει σε εγκατάσταση κακόβουλου κώδικα. Είναι ότι η διαδικασία χτίζει αξιοπιστία σταδιακά —με πραγματική πλατφόρμα εύρεσης εργασίας, βιντεοκλήσεις και μια φαινομενικά κανονική τεχνική άσκηση— πριν ζητήσει πρόσβαση σε εταιρικό υπολογιστή. Στην περίπτωση της Binance, η αλυσίδα έφτασε τελικά στην υπηρεσία υπογραφής που εξυπηρετούσε πέντε hot wallets.

Η σύνταξη του άρθρου υποστηρίχθηκε από εργαλεία AI και το περιεχόμενο ελέγχθηκε σύμφωνα με τη συντακτική πολιτική του TechitNews.