Jak zaczęło się włamanie do Binance: fałszywe pobranie i fałszywa rozmowa o pracę

Kiedy pisaliśmy o włamaniu do Binance z 29 października, jedno pytanie pozostało otwarte: jak napastnicy dostali się do środka? 3 listopada Binance opublikował swój pierwszy szczegółowy opis. Według niego atak nie zaczął się od wadliwego kodu, lecz od fałszywego pobrania i fałszywej rozmowy o pracę. Oto co, zdaniem Binance, się wydarzyło i czego każdy może się z tego nauczyć.

Najważniejsze: jak zaczęło się włamanie do Binance?

• Binance mówi o „wielomiesięcznej kampanii”, a nie o jednym błędzie jednej osoby.
• W czerwcu inżynier szukający popularnego narzędzia do programowania z AI pobrał zmodyfikowaną wersję.
• We wrześniu fałszywi rekruterzy dali innemu inżynierowi test programistyczny z ukrytym złośliwym oprogramowaniem.
• Napastnicy przechodzili następnie między komputerami pracowników, aż dotarli do systemu zatwierdzającego transakcje portfeli.
• To przede wszystkim opis samego Binance. Sprawdza go zewnętrzna firma zajmująca się bezpieczeństwem.
• Te same sztuczki działają na zwykłych ludzi: fałszywe pobrania, fałszywe oferty i źle ulokowane zaufanie.

Jak napastnicy dostali się do środka?

Początkowo Binance podał, że incydent „może dotyczyć przejętego laptopa inżyniera DevOps”. Współprezes Richard Teng odrzuca teraz myśl o jednym słabym punkcie i mówi, że napastnicy „przez miesiące budowali sobie drogę do środka”. Według CNBC i The Record Binance opisuje cztery etapy:

• Czerwiec: fałszywe pobranie. Inżynier Binance pobrał zmodyfikowany instalator, „aby zainstalować popularne narzędzie do programowania z AI po wyszukaniu go w wyszukiwarce”. Binance to zauważył, wymienił komputer i zmienił dane logowania. Twierdzi jednak, że napastnicy poznali już rolę inżyniera i jego współpracowników z zespołu portfeli.
• Wrzesień: fałszywa rozmowa o pracę. Napastnicy „podawali się za rekruterów i przeprowadzili serię rozmów kwalifikacyjnych z innym inżynierem”, powiedział Teng stacji CNBC. Skończyło się to zadaniem programistycznym zawierającym „ukryte złośliwe oprogramowanie zaprojektowane tak, by omijać zabezpieczenia”.
• Do 20 października: ruch wewnątrz firmy. Napastnicy rozprzestrzenili się na inne komputery pracowników, podał The Record. Teng mówi, że przez wewnętrzne narzędzia AI dotarli do „systemu, który autoryzował nasze transakcje portfeli”.
• 29 października: kradzież. Do pierwszych przelewów użyto wewnętrznej usługi podpisywania transakcji, podał The Record, a potem nastąpił transfer bitcoina o wartości 1,4 mld USD i 50 innych transakcji. Binance szacuje łączną kwotę na 6,34 mld USD.

Binance mówił już wcześniej, że nie znalazł dowodów na wyciek kluczy prywatnych portfeli. Klucz prywatny to tajny kod, który kontroluje portfel. Zgodnie z tym opisem napastnicy nie musieli więc kraść kluczy. Dostali się do systemu, który mógł ich używać.

Czego jeszcze nie wiadomo?

Większość tych informacji pochodzi od samego Binance. Firma mówi, że odbudowała dotknięte systemy i zatrudniła firmę ds. bezpieczeństwa do zbadania incydentu; wyniki nie zostały opublikowane. FBI twierdzi, że odpowiedzialna jest Korea Północna. Korea Północna temu zaprzecza, a Teng sam nie wskazał napastnika. Binance mówi, że uzupełnił 98% utraconych aktywów własnymi pieniędzmi.

Dlaczego to ważne, jeśli nie jesteś inżynierem?

Nie prowadzisz systemu portfeli. Ale pierwsze kroki tego ataku zadziałałyby niemal na każdego, bo uderzają w nawyki, a nie w technologię:

• Zaufanie do wyniku wyszukiwania. Amerykańska Federalna Komisja Handlu (FTC) ostrzega, że oszuści „umieszczają fałszywe reklamy oprogramowania w mediach społecznościowych i wyszukiwarkach”.
• Zaufanie do okazji. Oferta pracy, zadanie testowe albo narzędzie inwestycyjne mogą skłonić cię do otwarcia pliku, który normalnie byś zignorował.
• Zaufanie budowane w czasie. Nie każde oszustwo cię pogania. Ci napastnicy najpierw przeprowadzili serię rozmów.

Jak rozpoznać e-mail lub wiadomość phishingową?

Phishing to wiadomość udająca kogoś, komu ufasz, żebyś kliknął, zapłacił lub zdradził sekret. Porady FTC i amerykańskiej agencji cyberbezpieczeństwa CISA sprowadzają się do tych sygnałów:

• Presja: pilny ton lub poważne konsekwencje, jeśli nie odpowiesz od razu.
• Prośba o sekrety: twój login, dane płatnicze, dane osobowe lub kod.
• Dziwny adres: nadawca lub link ze zmienioną jedną literą albo skrócony link.
• Niespodzianka: problem z kontem, faktura, zwrot pieniędzy lub nagroda, której się nie spodziewałeś.
• Załącznik, o który nie prosiłeś: FTC ostrzega, że może zainstalować złośliwe oprogramowanie, czyli program stworzony, by szkodzić.

Poprawna pisownia niczego nie dowodzi: CISA zwraca uwagę, że AI potrafi pisać dopracowane wiadomości. A jak ujmuje to FTC, „legalne firmy nie wyślą e-maila ani SMS-a z linkiem do aktualizacji danych płatniczych”.

Co robić, a czego nie robić?

• Pobieraj ze źródła. Korzystaj z oficjalnego sklepu z aplikacjami albo sam wpisz adres strony. Nie klikaj reklam oprogramowania.
• Nie otwieraj i nie uruchamiaj plików od nieznajomych, nawet jeśli to test rekrutacyjny, „przydatne narzędzie” albo udostępniony arkusz inwestycyjny.
• Sprawdź inną drogą. Jeśli wiadomość może być prawdziwa, zignoruj jej linki i numery. Otwórz oficjalną aplikację lub znajdź kontakt na oficjalnej stronie.
• Aktualizuj urządzenia i ustaw automatyczne aktualizacje oprogramowania zabezpieczającego.
• Do każdego konta używaj innego hasła i włącz uwierzytelnianie dwuskładnikowe (2FA), drugą weryfikację oprócz hasła. CISA zaleca wersje „odporne na phishing”.
• Nigdy nie udostępniaj frazy odzyskiwania, kluczy prywatnych ani kodów jednorazowych. Nikt uczciwy ich nie potrzebuje.

Co, jeśli już kliknąłeś?

Działaj szybko i nie wstydź się: te sztuczki oszukały profesjonalistów. FTC radzi w sprawie złośliwego oprogramowania:

1. Przestań logować się na konta online.
2. Zaktualizuj oprogramowanie zabezpieczające lub je zainstaluj.
3. Uruchom skanowanie i usuń to, co znajdzie.
4. Zmień hasła i włącz 2FA.

Jeśli problem może dotyczyć konta krypto, skontaktuj się z dostawcą przez jego oficjalną aplikację lub stronę. Uważaj na każdego, kto proponuje odzyskanie pieniędzy: IC3 z FBI nazywa takie oferty „podstępem, by ponownie poszkodować tych, którzy już stracili pieniądze”.

O co zapytać każdego dostawcę krypto?

Niezależnie od tego, czy korzystasz z firmy, czy sam przechowujesz klucze, ataki celują w ludzi i systemy wokół kluczy. Zanim zaufasz dostawcy, zapytaj:

• Kto przechowuje klucze: ta firma czy osobny powiernik?
• Ile środków jest online i kto może zatwierdzić wypłatę?
• Czy ma zezwolenie tam, gdzie mieszkasz, i czyje?
• Co dzieje się z twoimi pieniędzmi po włamaniu lub upadłości?

Żadna odpowiedź nie usuwa ryzyka. Podczas włamania do Bybit w 2025 roku napastnicy dostali się do środka przez komputer programisty u zewnętrznego dostawcy oprogramowania do portfeli. Korzystanie z innej firmy przenosi ryzyko, ale go nie usuwa. Więcej w naszym artykule o tym, gdzie giełda przechowuje twoje kryptowaluty.

Co warto zapamiętać

Firma analityczna TRM Labs nazywa to największą odnotowaną kradzieżą kryptowalut. Według opisu Binance zaczęła się od wyniku wyszukiwania i oferty pracy. Obrona rzadko bywa skomplikowana: zwolnij, sprawdź inną drogą i nigdy nie uruchamiaj ani nie udostępniaj tego, co przysyła nieznajomy.

Co możesz zrobić teraz

• Zbuduj codzienne nawyki w naszym wprowadzeniu do bezpieczeństwa.
• Ćwicz na prawdziwych przykładach w kursie rozpoznaj oszustwo.
• Poznaj działanie portfeli i kluczy w kursie przechowywanie kryptowalut.

Pytania czytelników

Czy włamanie do Binance spowodował jeden pracownik?

Binance mówi, że nie. Opisuje miesiące pracy przez komputery kilku inżynierów i wewnętrzne narzędzia i nikogo nie obwinia.

Czy oszustwa na oferty pracy to ryzyko dla zwykłych ludzi?

Tak. Jeśli do „zadania testowego” masz zainstalować program lub otworzyć plik, najpierw sam sprawdź firmę.

Czy poprawna pisownia oznacza, że wiadomość jest prawdziwa?

Nie. CISA ostrzega, że AI potrafi pisać dopracowane wiadomości, więc sprawdzaj raczej nadawcę i prośbę.

Ceny kryptowalut mogą gwałtownie rosnąć i spadać, a ty możesz stracić część lub całość zainwestowanych pieniędzy. Kryptowaluty nie są objęte gwarancją depozytów. Ten artykuł ma charakter edukacyjny i nie stanowi porady finansowej.