Kako je počelo hakiranje Binancea: lažno preuzimanje i lažni razgovor za posao

Kad smo izvijestili o hakiranju Binancea 29. listopada, jedno je pitanje ostalo otvoreno: kako su napadači ušli? Binance je 3. studenoga objavio svoj prvi detaljan opis. Prema tom opisu, napad nije počeo pokvarenim kodom, nego lažnim preuzimanjem i lažnim razgovorom za posao. Evo što se, prema Binanceu, dogodilo i što svatko iz toga može naučiti.

Ključne točke: kako je počelo hakiranje Binancea?

• Binance to naziva »višemjesečnom kampanjom«, a ne jednom pogreškom jedne osobe.
• U lipnju je inženjer, tražeći popularan alat za programiranje s umjetnom inteligencijom, preuzeo izmijenjenu verziju.
• U rujnu su lažni regruteri drugom inženjeru dali programerski zadatak sa skrivenim zlonamjernim softverom.
• Napadači su se zatim kretali između računala zaposlenika dok nisu stigli do sustava koji je odobravao transakcije novčanika.
• Ovo je uglavnom opis samog Binancea. Pregledava ga vanjska sigurnosna tvrtka.
• Isti se trikovi koriste protiv običnih ljudi: lažna preuzimanja, lažne ponude i pogrešno povjerenje.

Kako su napadači ušli?

Binance je isprva rekao da incident »možda uključuje kompromitirano prijenosno računalo DevOps inženjera«. Njegov suizvršni direktor Richard Teng sada odbacuje ideju o jednoj slaboj točki i kaže da su napadači »mjesecima gradili svoj put unutra«. Prema CNBC-u i The Recordu, Binance opisuje četiri faze:

• Lipanj: lažno preuzimanje. Inženjer Binancea preuzeo je izmijenjeni instalacijski program kako bi »instalirao popularan alat za programiranje s umjetnom inteligencijom nakon što ga je potražio na tražilici«. Binance je to primijetio, zamijenio računalo i promijenio podatke za prijavu. No kaže da su napadači dotad već saznali za inženjerovu ulogu i kolege u timu za novčanike.
• Rujan: lažni razgovor za posao. Napadači su se »predstavljali kao regruteri i održali niz razgovora za posao s drugim inženjerom«, rekao je Teng za CNBC. Sve je završilo programerskim zadatkom koji je sadržavao »skriveni zlonamjerni softver osmišljen da zaobiđe sigurnosne sustave«.
• Do 20. listopada: kretanje unutar tvrtke. Napadači su se proširili na druga računala zaposlenika, izvijestio je The Record. Teng kaže da su preko internih alata umjetne inteligencije stigli do »sustava koji je odobravao naše transakcije novčanika«.
• 29. listopada: krađa. Za prve prijenose korištena je interna usluga za potpisivanje transakcija novčanika, izvijestio je The Record, a slijedili su prijenos bitcoina vrijedan 1,4 milijarde $ i još 50 transakcija. Binance ukupan iznos procjenjuje na 6,34 milijarde $.

Binance je ranije rekao da nije pronašao dokaze o curenju privatnih ključeva novčanika. Privatni ključ je tajni kod koji kontrolira novčanik. Prema tom opisu, napadači dakle nisu morali ukrasti ključeve. Ušli su u sustav koji ih je smio koristiti.

Što se još ne zna?

Većina ovoga dolazi od samog Binancea. Kaže da je ponovno izgradio pogođene sustave i angažirao sigurnosnu tvrtku za pregled incidenta, a taj pregled još nije objavljen. FBI kaže da je odgovorna Sjeverna Koreja. Sjeverna Koreja to poriče, a Teng sam nije imenovao napadača. Binance kaže da je 98 % pogođene imovine nadoknadio vlastitim novcem.

Zašto je ovo važno ako niste inženjer?

Vi ne vodite sustav novčanika. No prvi koraci ovog napada uspjeli bi kod gotovo svakoga jer ciljaju navike, a ne tehnologiju:

• Povjerenje u rezultat pretraživanja. Američka savezna komisija za trgovinu (FTC) upozorava da prevaranti »postavljaju lažne oglase za softver na društvenim mrežama i tražilicama«.
• Povjerenje u priliku. Ponuda za posao, probni zadatak ili investicijski alat mogu biti razlog da otvorite datoteku koju biste inače zanemarili.
• Povjerenje kroz vrijeme. Ne požuruje vas svaka prevara. Ovi su napadači najprije održali niz razgovora.

Kako prepoznati lažnu e-poštu ili poruku?

Phishing je poruka koja se lažno predstavlja kao netko kome vjerujete, kako biste kliknuli, platili ili otkrili tajnu. Savjeti FTC-a i američke agencije za kibernetičku sigurnost CISA svode se na ove znakove:

• Pritisak: hitan ton ili teške posljedice ako ne odgovorite odmah.
• Traženje tajni: vaša prijava, podaci o plaćanju, osobni podaci ili kod.
• Čudna adresa: pošiljatelj ili poveznica s jednim promijenjenim slovom ili skraćena poveznica.
• Iznenađenje: problem s računom, faktura, povrat novca ili nagrada koju niste očekivali.
• Privitak koji niste tražili: FTC upozorava da može instalirati zlonamjerni softver, program napravljen da nanosi štetu.

Dobar pravopis ne dokazuje ništa: CISA napominje da umjetna inteligencija može pisati besprijekorne poruke. A riječima FTC-a, »legitimne tvrtke neće e-poštom ili SMS-om slati poveznicu za ažuriranje vaših podataka o plaćanju.«

Što učiniti, a što ne?

• Preuzimajte s izvora. Koristite službenu trgovinu aplikacijama ili sami upišite adresu web-mjesta. Ne klikajte oglase za softver.
• Ne otvarajte i ne pokrećite datoteke neznanaca, čak ni za probni zadatak, »praktičan alat« ili dijeljenu investicijsku tablicu.
• Provjerite drugim putem. Ako bi poruka mogla biti stvarna, zanemarite njezine poveznice i brojeve. Otvorite službenu aplikaciju ili pronađite kontakt na službenom web-mjestu.
• Redovito ažurirajte uređaje i postavite automatsko ažuriranje sigurnosnog softvera.
• Za svaki račun koristite drugu lozinku i uključite dvofaktorsku autentifikaciju (2FA), drugu provjeru uz lozinku. CISA preporučuje verzije »otporne na phishing«.
• Nikad ne dijelite frazu za oporavak, privatne ključeve ili jednokratne kodove. Nitko pošten ih ne treba.

Što ako ste već kliknuli?

Reagirajte brzo i nemojte se sramiti: ti su trikovi prevarili i stručnjake. Savjet FTC-a o zlonamjernom softveru glasi:

1. Prestanite se prijavljivati na internetske račune.
2. Ažurirajte sigurnosni softver ili ga instalirajte.
3. Pokrenite skeniranje i uklonite ono što pronađe.
4. Promijenite lozinke i uključite 2FA.

Ako je možda pogođen vaš kripto račun, obratite se pružatelju putem njegove službene aplikacije ili web-mjesta. Budite oprezni prema svakome tko nudi vraćanje novca: IC3, centar FBI-ja, takve ponude naziva »trikom kojim se ponovno oštećuje one koji su već izgubili novac«.

Što pitati svakog pružatelja kriptousluga?

Bez obzira na to koristite li tvrtku ili sami čuvate ključeve, napadi ciljaju ljude i sustave oko ključeva. Prije nego što povjerujete pružatelju, pitajte:

• Tko čuva ključeve: ova tvrtka ili odvojeni skrbnik?
• Koliko se drži na internetu i tko može odobriti isplatu?
• Ima li odobrenje tamo gdje živite i čije?
• Što se događa s vašim novcem nakon hakiranja ili stečaja?

Nijedan odgovor ne uklanja rizik. U hakiranju Bybita 2025. napadači su ušli preko računala razvojnog programera kod vanjskog dobavljača softvera za novčanike. Korištenje druge tvrtke premješta rizik, ali ga ne uklanja. Više u našem članku o tome gdje burza drži vaše kriptovalute.

Što zapamtiti

Analitička tvrtka TRM Labs ovo naziva najvećom krađom kriptovaluta dosad. Prema opisu Binancea, počela je rezultatom pretraživanja i ponudom za posao. Obrana je rijetko složena: usporite, provjerite drugim putem i nikad ne pokrećite i ne dijelite ono što vam pošalje neznanac.

Što možete učiniti sada

• Izgradite svakodnevne navike u našem uvodu u sigurnost.
• Vježbajte na stvarnim primjerima u tečaju prepoznaj prevaru.
• Naučite kako rade novčanici i ključevi u tečaju pohrana kriptovaluta.

Pitanja čitatelja

Je li hakiranje Binancea uzrokovao jedan zaposlenik?

Binance kaže da nije. Opisuje mjesece rada preko računala nekoliko inženjera i internih alata, a nikoga pojedinačno nije okrivio.

Jesu li prevare s poslovima rizik i za obične ljude?

Da. Tko mora za »probni zadatak« instalirati softver ili otvoriti datoteku, neka najprije sam provjeri tvrtku.

Je li dobar pravopis znak da je poruka stvarna?

Ne. CISA upozorava da umjetna inteligencija može pisati besprijekorne poruke, stoga radije provjerite pošiljatelja i zahtjev.

Cijene kriptovaluta mogu naglo rasti i padati, pa možete izgubiti dio ili sav uloženi novac. Kriptovalute nisu obuhvaćene osiguranjem depozita. Ovaj je članak namijenjen edukaciji i nije financijski savjet.