Hack Binance začal falešným pracovním pohovorem, uvedla burza

Zpráva, kterou Binance zveřejnila na svém blogu 3. listopadu 2026, popisuje kampaň trvající několik měsíců. První stopa je z června 2026: inženýr z týmu, který spravuje peněženky burzy, si při hledání AI nástroje pro psaní kódu stáhl pozměněnou instalaci správce balíčků Homebrew. Bezpečnostní tým podle zprávy anomálii odhalil, počítač vyměnil a přihlašovací údaje obměnil, útočník ale od té doby znal role tohoto inženýra i jeho kolegů.

V září oslovil jiného vývojáře přes legitimní portál pro hledání práce člověk vydávající se za projektového ředitele. Následoval videopohovor s člověkem, který se vydával za personalistu, a druhý pohovor s člověkem, který se představil jako šéf smyšlené firmy. Při něm dostal vývojář ke stažení zadání s kódovým repozitářem, které spustilo škodlivý kód. Malware podle zprávy nahradil součást vývojářského nástroje a spojil se se serverem útočníka.

Dne 20. října použil útočník napadený počítač a interní AI nástroj Binance k tomu, aby získal kontrolu nad počítači dvou dalších inženýrů z týmu peněženek. U jednoho z nich našel token, který opravňoval k nasazování kontejnerů.

Podle zprávy se útočník 29. října přihlásil na počítač jednoho z inženýrů, použil přihlašovací údaje ukradené jinému, nasadil kontejner a spustil škodlivý skript. Tím získal přístup k interní službě, která podepisuje transakce z peněženek burzy, a začal z ní zadávat převody mimo běžný proces výběrů. Prostředky podle CoinDesku začaly odcházet ve 20:05 UTC, tedy ve 21:05 pražského času; průběh samotné krádeže po minutách a seznam odcizených aktiv popisuje zpráva o hacku Binance z 30. října. Mezi odcizenými aktivy bylo podle zprávy i 18 270 BTC.

Na Ethereu útočník přes podepisovací službu zneužil mechanismus EIP-7702, který účtu dovoluje svěřit část práv chytrému kontraktu bez vyzrazení soukromého klíče. Jeho kontrakt tak získal částečnou kontrolu nad hot peněženkou Binance a převody běžely dál i po pozastavení výběrů. Peněženka používá vícestranný výpočet (MPC), takže podle zprávy neexistoval jediný klíč, kterým by šlo oprávnění hned zrušit; tým musel připravit zvláštní postup a delegaci vymazal 30. října v 00:10 UTC.

Dopad útoku Binance vyčíslila na zhruba 6,34 mld. USD (většina médií zaokrouhluje na 6,3 mld., CoinDesk v článku o reakci Severní Koreje a Elliptic uvádějí 6,4 mld.). Zmrazeno nebo zachyceno bylo podle ní asi 2,85 mld. USD, s výhradou odsouhlasení stavu a pohybu cen. K 31. říjnu měla burza doplněno 98 % dotčených aktiv, ověřitelných na její stránce s důkazem rezerv; zbylé méně likvidní tokeny podle zprávy dokupuje. Podle Bitcoin Magazine z 2. listopadu zvýšila burza v neděli 1. listopadu krytí na 95 % dotčené částky; zpráva Binance počítá podíl dotčených tokenových aktiv.

Výběry se podle The Block a Bitcoin Magazine otevíraly po dávkách od 1. listopadu, další fáze začala 3. listopadu ve 4:00 UTC. Podle Bitcoin Magazine zpracovala burza v neděli 1. listopadu mezi 6:00 a 15:30 UTC výběry za asi 4,65 mld. USD při vkladech asi 1,01 mld. USD; server Bitcoin.com s daty DefiLlama psal 3. listopadu o čistém přílivu asi 3,25 mld. USD za 24 hodin po předchozím odlivu.

Burza podle zprávy přestavěla dotčený systém peněženek v novém prostředí, přestavěla i interní AI nástroj a pravidla přístupu k němu, vyměnila zařízení a zrušila přihlašovací údaje dotčených inženýrů, prověřila zařízení všech zaměstnanců, posílila detekci neobvyklého chování a kontroly rizik u služeb peněženek a spolupracuje s orgány činnými v trestním řízení a analytickými firmami. V roce 2026 podle ní odhalila a zastavila 57 podezřelých hrozeb spojených se Severní Koreou.

Podle CoinDesku a Korea Times připsala FBI krádež severokorejské skupině TraderTraitor; její upozornění z 31. října uvádí adresy spojené s ukradenými prostředky a vyzývá burzy k jejich blokování, úplné forenzní nálezy zatím nezveřejnila. Zpráva Binance na toto upozornění odkazuje. Analytická firma Elliptic podle CoinDesku uvádí, že důkazy na blockchainu spojují krádež se Severní Koreou; firma AMLBot pro týž server dodává, že analýza řetězce dokáže spojit peněženky s jedním aktérem, ne prokázat stát v pozadí.

Kim Jo-čong, sestra severokorejského vůdce, podle agentury KCNA citované CoinDeskem označila spojení útoku se Severní Koreou za otřepanou provokaci a tvrzení FBI za absurdní rétoriku; podle Cointelegraphu bez důkazu naznačila možnou roli Spojených států. Jak sociální inženýrství a ukradené přístupy ohrožují i běžný účet, popisuje průvodce Zabezpečení účtu s kryptoměnami; rozdíl mezi úschovou u poskytovatele a vlastní peněženkou shrnuje průvodce Jak uchovat bitcoin. Aktuální cenu etheru ukazuje graf níže.