Jak začal hack Binance: falešné stažení a falešný pracovní pohovor

Když jsme psali o hacku Binance z 29. října, zůstávala otevřená jedna otázka: jak se útočníci dostali dovnitř? Binance 3. listopadu zveřejnila svůj první podrobný popis. Podle něj útok nezačal chybným kódem, ale falešným stažením a falešným pracovním pohovorem. Tady je, co se podle Binance stalo a co si z toho může vzít každý.

Hlavní body: jak začal hack Binance?

• Binance mluví o „mnohaměsíční kampani“, ne o jedné chybě jednoho člověka.
• V červnu si inženýr při hledání oblíbeného nástroje pro programování s AI stáhl upravenou verzi.
• V září dali falešní náboráři jinému inženýrovi programátorský test se skrytým škodlivým softwarem.
• Útočníci se pak přesouvali mezi počítači zaměstnanců, až se dostali k systému, který schvaloval transakce peněženek.
• Jde hlavně o popis samotné Binance. Prověřuje ho externí bezpečnostní firma.
• Stejné triky se používají proti běžným lidem: falešná stažení, falešné nabídky a špatně vložená důvěra.

Jak se útočníci dostali dovnitř?

Binance nejprve uvedla, že incident „může zahrnovat kompromitovaný notebook inženýra DevOps“. Její spoluředitel Richard Teng nyní odmítá představu jediného slabého místa a říká, že útočníci „strávili měsíce budováním cesty dovnitř“. Podle CNBC a The Record Binance popisuje čtyři fáze:

• Červen: falešné stažení. Inženýr Binance si stáhl upravený instalátor, aby „nainstaloval oblíbený nástroj pro programování s AI poté, co ho vyhledal ve vyhledávači“. Binance si toho všimla, vyměnila počítač a změnila přihlašovací údaje. Tvrdí však, že útočníci už znali roli inženýra a jeho kolegy z týmu peněženek.
• Září: falešný pohovor. Útočníci se „vydávali za náboráře a vedli sérii pohovorů s jiným inženýrem“, řekl Teng pro CNBC. Skončilo to programátorským cvičením, které obsahovalo „skrytý škodlivý software navržený tak, aby obešel zabezpečení“.
• Do 20. října: pohyb uvnitř firmy. Útočníci se rozšířili na další počítače zaměstnanců, uvedl The Record. Teng říká, že se přes interní nástroje AI dostali k „systému, který autorizoval naše transakce peněženek“.
• 29. října: krádež. Na první převody byla použita interní služba pro podepisování transakcí, uvedl The Record, následoval převod bitcoinu v hodnotě 1,4 miliardy dolarů a 50 dalších transakcí. Binance odhaduje celkovou částku na 6,34 miliardy dolarů.

Binance už dříve uvedla, že nenašla důkazy o úniku soukromých klíčů peněženek. Soukromý klíč je tajný kód, který ovládá peněženku. Podle tohoto popisu tedy útočníci klíče krást nemuseli. Dostali se do systému, který je směl používat.

Co se ještě neví?

Většina těchto informací pochází od samotné Binance. Firma říká, že postižené systémy znovu vybudovala a najala bezpečnostní firmu, aby incident prověřila; výsledky zatím nebyly zveřejněny. FBI tvrdí, že za útok odpovídá Severní Korea. Severní Korea to popírá a Teng sám útočníka nejmenoval. Binance říká, že 98 % zasažených aktiv nahradila vlastními penězi.

Proč je to důležité, i když nejste inženýr?

Systém peněženek neprovozujete. První kroky tohoto útoku by ale fungovaly téměř na každého, protože míří na zvyky, ne na technologii:

• Důvěra ve výsledek vyhledávání. Americká Federální obchodní komise (FTC) varuje, že podvodníci „umisťují falešné reklamy na software na sociální sítě a do vyhledávačů“.
• Důvěra v příležitost. Pracovní nabídka, zkušební úkol nebo investiční nástroj mohou být důvodem otevřít soubor, který byste jinak ignorovali.
• Důvěra budovaná časem. Ne každý podvod vás honí. Tito útočníci nejprve vedli sérii pohovorů.

Jak poznat phishingový e-mail nebo zprávu?

Phishing je zpráva, která předstírá, že je od někoho, komu věříte, abyste klikli, zaplatili nebo prozradili tajemství. Rady FTC a americké agentury pro kybernetickou bezpečnost CISA se dají shrnout do těchto znaků:

• Nátlak: naléhavý tón nebo vážné následky, pokud neodpovíte hned.
• Žádost o tajné údaje: vaše přihlášení, platební údaje, osobní údaje nebo kód.
• Podivná adresa: odesílatel nebo odkaz s jedním změněným písmenem, případně zkrácený odkaz.
• Překvapení: problém s účtem, faktura, vrácení peněz nebo výhra, kterou jste nečekali.
• Příloha, o kterou jste nežádali: FTC varuje, že může nainstalovat škodlivý software, tedy program vytvořený ke škodě.

Dobrý pravopis nic nedokazuje: CISA upozorňuje, že AI umí psát vybroušené zprávy. A slovy FTC: „Seriózní firmy neposílají e-mailem ani SMS odkaz na aktualizaci vašich platebních údajů.“

Co dělat a co ne?

• Stahujte ze zdroje. Použijte oficiální obchod s aplikacemi nebo adresu webu napište sami. Neklikejte na reklamy na software.
• Neotevírejte a nespouštějte soubory od cizích lidí, ani kvůli pracovnímu testu, „šikovnému nástroji“ nebo sdílené investiční tabulce.
• Ověřte to jinou cestou. Pokud by zpráva mohla být pravá, ignorujte její odkazy a čísla. Otevřete oficiální aplikaci nebo najděte kontakt na oficiálním webu.
• Udržujte zařízení aktuální a nastavte bezpečnostnímu softwaru automatické aktualizace.
• Pro každý účet používejte jiné heslo a zapněte dvoufázové ověření (2FA), druhou kontrolu vedle hesla. CISA doporučuje verze „odolné vůči phishingu“.
• Nikdy nesdílejte obnovovací frázi, soukromé klíče ani jednorázové kódy. Nikdo poctivý je nepotřebuje.

Co když už jste klikli?

Jednejte rychle a nestyďte se: tyto triky oklamaly i profesionály. Rada FTC ke škodlivému softwaru zní:

1. Přestaňte se přihlašovat k online účtům.
2. Aktualizujte bezpečnostní software, nebo si ho nainstalujte.
3. Spusťte kontrolu a odstraňte, co najde.
4. Změňte hesla a zapněte 2FA.

Pokud může být zasažený kryptoúčet, kontaktujte poskytovatele přes jeho oficiální aplikaci nebo web. Dejte si pozor na každého, kdo nabízí získání peněz zpět: IC3, centrum FBI, takové nabídky označuje za „lest, jak znovu poškodit ty, kteří už o peníze přišli“.

Na co se ptát každého poskytovatele kryptoměn?

Ať už využíváte firmu, nebo si klíče držíte sami, útoky míří na lidi a systémy kolem klíčů. Než poskytovateli uvěříte, zeptejte se:

• Kdo drží klíče: tato firma, nebo samostatný správce?
• Kolik je drženo online a kdo může schválit výběr?
• Má povolení tam, kde žijete, a od koho?
• Co se stane s vašimi penězi po hacku nebo bankrotu?

Žádná odpověď riziko neodstraní. Při hacku Bybit v roce 2025 se útočníci dostali dovnitř přes počítač vývojáře u externího dodavatele softwaru pro peněženky. Využití jiné firmy riziko přesouvá, ale neodstraňuje. Více v našem článku o tom, kde burza drží vaše kryptoměny.

Co si z toho odnést

Analytická firma TRM Labs to označuje za největší zaznamenanou krádež kryptoměn. Podle popisu Binance začala výsledkem vyhledávání a pracovní nabídkou. Obrana je málokdy složitá: zpomalte, ověřte to jinou cestou a nikdy nespouštějte ani nesdílejte, co vám pošle cizí člověk.

Co můžete udělat teď

• Vybudujte si každodenní návyky v našem úvodu do bezpečnosti.
• Procvičte si to na skutečných příkladech v kurzu odhal podvod.
• Zjistěte, jak fungují peněženky a klíče, v kurzu uchovávání kryptoměn.

Otázky čtenářů

Způsobil hack Binance jeden zaměstnanec?

Binance říká, že ne. Popisuje měsíce práce přes počítače několika inženýrů a interní nástroje a nikoho konkrétního neobvinila.

Jsou pracovní podvody rizikem i pro běžné lidi?

Ano. Kdo má kvůli „zkušebnímu úkolu“ nainstalovat program nebo otevřít soubor, měl by si firmu nejprve sám ověřit.

Znamená dobrý pravopis, že je zpráva pravá?

Ne. CISA varuje, že AI umí psát vybroušené zprávy, proto raději ověřte odesílatele a požadavek.

Ceny kryptoměn mohou prudce růst i klesat a můžete přijít o část nebo všechny vložené peníze. Na kryptoměny se nevztahuje pojištění vkladů. Tento článek slouží ke vzdělávání a není finančním poradenstvím.