Napad na Binance, u kojem je 29. listopada pogođena kriptoimovina vrijedna približno 6,34 milijarde dolara, pripreman je još od lipnja. Hakeri su tijekom sljedećih mjeseci kompromitirali računala zaposlenika, organizirali lažni postupak zapošljavanja i iskoristili interni AI alat kako bi došli do infrastrukture za autorizaciju transakcija.
Prema preliminarnom izvješću Binancea objavljenom 3. studenoga, prvi sigurnosni incident otkriven je četiri mjeseca prije krađe. Sigurnosni tim tada je zamijenio kompromitirano računalo i promijenio pristupne podatke. Napadači su ipak nastavili operaciju i 29. listopada pristupili sustavu za potpisivanje transakcija.
Istraga otvara pitanje kako su informacije prikupljene tijekom ranijeg incidenta i kasnije pribavljene pristupne ovlasti omogućile napadačima prijenos milijardi dolara iz Binanceovih digitalnih novčanika.
Prvi incident otkriven je četiri mjeseca prije krađe
U lipnju je inženjer Binanceova tima za infrastrukturu digitalnih novčanika pokušao instalirati AI alat za programiranje. Nakon pretraživanja interneta preuzeo je izmijenjenu instalaciju razvojnog alata Homebrew.
Sigurnosni tim otkrio je nepravilnost, zamijenio računalo i promijenio povezane pristupne podatke. Napadači su, međutim, već prikupili informacije o inženjerovoj ulozi i njegovim kolegama iz tima za digitalne novčanike.
Zamjena zaraženog računala uklonila je otkrivenu prijetnju na uređaju, ali nije mogla poništiti informacije koje su napadači već prikupili o zaposlenicima.
Iz javno objavljenog izvješća nije moguće utvrditi jesu li te informacije tada procijenjene kao zaseban sigurnosni rizik ni koje su dodatne mjere poduzete kako bi se spriječilo njihovo kasnije iskorištavanje.
Lažni razgovor za posao otvorio je pristup drugom računalu
U rujnu su napadači preko platforme za zapošljavanje kontaktirali Binanceova softverskog inženjera, čiji je profil otkrivao da radi za kompaniju. Predstavili su se kao zaposlenici izmišljene tvrtke i organizirali postupak selekcije.
Prvi kontakt ostvarila je osoba koja se predstavljala kao direktor projekta. Uslijedio je razgovor s lažnim predstavnikom ljudskih resursa, a zatim videopoziv s osobom koja se predstavljala kao direktor kompanije.
Pred kraj drugog razgovora inženjer je dobio programski zadatak koji je uključivao preuzimanje repozitorija sa zlonamjernim kodom na službeno računalo. Program se aktivirao tijekom postavljanja razvojnog okruženja.
Zlonamjerni kod zamijenio je legitimnu komponentu alata pyenv i uspostavio komunikaciju s vanjskim poslužiteljem pod kontrolom napadača. Prema Binanceu, tadašnji sustavi zaštite nisu prepoznali zlonamjerni program.
Time su napadači kompromitirali još jedno službeno računalo i dobili mogućnost daljnjeg širenja pristupa unutar Binanceove infrastrukture.
Interni AI alat iskorišten za širenje napada
Sljedeća faza dogodila se 20. listopada. Napadači su preko kompromitiranog računala drugog inženjera iskoristili interni AI alat kako bi stekli kontrolu nad računalima još dvojice zaposlenika.
Među njima je bio i inženjer čije je računalo kompromitirano u lipnju. Na njegovu računalu pronašli su pristupnu ovlast za postavljanje softverskih kontejnera, što im je omogućilo pripremu sljedeće faze napada.
Dana 29. listopada, između 17:15 i 19:56, napadači su pristupili računalu trećeg inženjera. Iskoristili su ranije pribavljene pristupne podatke i pokrenuli zlonamjerni program.
Time su došli do internog servisa za potpisivanje transakcija, povezanog s upravljanjem Binanceovim digitalnim novčanicima.
Prvi neovlašteni prijenosi započeli su u 20:05 UTC-a. Binanceovo izvješće ne navodi vremensku zonu za prethodno razdoblje pristupa računalu trećeg inženjera, pa se ne može pouzdano izračunati koliko je vremena prošlo između tih aktivnosti.
Binance nije objavio koji je AI model korišten ni puni opseg njegovih pristupnih ovlasti. Dostupni nalazi ne potvrđuju da je umjetna inteligencija samostalno donosila odluke ili izvršavala prijenose.
Kako su napadači preuzeli kontrolu nad kriptoimovinom vrijednom 6,34 milijarde dolara
Prvi veliki prijenosi zabilježeni su 29. listopada između 20:05 i 20:09 UTC-a. Pet Binanceovih internetski povezanih novčanika poslalo je ukupno 233,46 milijuna XRP-a na adresu pod kontrolom napadača.
Uslijedili su prijenosi približno 970.500 SOL-a i 44,2 milijuna OP-a. Binance je zabilježio i neovlašteni prijenos 18.270 BTC-aBitcoin je decentralizirana, distribuirana, anonimna platna ....
Nakon upozorenja o velikim transferima kompanija je pokrenula istragu i suspendirala isplate. Ipak, dio neovlaštenih prijenosa nastavljen je.
Napadači su iskoristili Ethereumov mehanizam EIP-7702, koji omogućuje delegiranje određenih ovlasti pametnom ugovoru bez otkrivanja privatnog ključa. Poslali su 50 transakcija za potpisivanje kako bi uspostavili neovlaštene autorizacije.
Zaustavljanje redovitih isplata nije automatski poništilo te autorizacije. One su već postojale na blockchainuTermin blockchain jednostavno se može prevesti na hrvatski ... i djelovale neovisno o Binanceovu uobičajenom sustavu isplata.
Binanceovi novčanici koristili su tehnologiju MPC, u kojoj je upravljanje kriptografskim ključevima raspodijeljeno između više sudionika. Zato nije postojao jedan privatni ključ kojim bi se neovlaštene autorizacije mogle odmah poništiti.
Posljednji neovlašteni prijenos, u iznosu od 2.961,9 ETH-a, potvrđen je na blockchainu u 23:56 UTC-a. Transakcija je bila poslana ranije, ali je do tada čekala potvrdu.
Zlonamjerna delegacija uklonjena je 30. listopada u 00:10 UTC-a.
Financa.ba ranije je detaljno opisala kako je kompromitirano računalo Binanceova inženjera omogućilo napadačima pristup infrastrukturi digitalnih novčanika. Novo izvješće dodatno razjašnjava kako su napadači došli do pristupnih ovlasti i zašto obustava isplata nije odmah zaustavila neovlaštene prijenose.
Koliko je imovine zamrznuto, a koliko nadoknađeno?
Prema Binanceovu izvješću od 3. studenoga, napadom je pogođena digitalna imovina vrijedna približno 6,34 milijarde dolara.
Kompanija navodi da je zamrznula ili presrela imovinu procijenjenu na 2,85 milijardi dolara, odnosno približno 45 posto ukupne pogođene vrijednosti. To ne znači da je sva ta imovina vraćena kompaniji.
Prema istom izvješću, do 31. listopada nadomješteno je 98 posto pogođene imovine izražene u tokenima. Binance je naveo da je izdvojio više od 100 posto sredstava potrebnih za pokriće gubitaka.
Nadoknada imovine iz Binanceovih sredstava razlikuje se od povrata imovine od napadača. Preostalih dva posto tokena također ne mora odgovarati dvama postocima ukupne dolarske vrijednosti.
Konačan financijski teret incidenta još nije moguće neovisno potvrditi.
Saniranje gubitaka nije zaustavilo povlačenje korisničkih sredstava. Financa.ba ranije je izvijestila da su korisnici u prvih devet i pol sati nakon ponovnog otvaranja isplata neto povukli 3,64 milijarde dolara. Taj iznos odgovarao je približno 2,1 posto imovine koju je Binance držao prije napada.
Podaci o povlačenjima pritom ne pokazuju konačan gubitak kompanije. Riječ je o sredstvima koja su korisnici premjestili s platforme, dok se trošak nadoknade ukradene imovine utvrđuje zasebno.
FBI napad povezuje sa Sjevernom Korejom
Američki FBI pripisao je napad sjevernokorejskoj operaciji poznatoj pod nazivom TraderTraitor.
Prema službenom upozorenju FBI-ja od 31. listopada, napadači su počeli pretvarati ukradenu imovinu ponajprije u Ether. Američke vlasti očekuju i daljnje pokušaje prikrivanja njezina podrijetla preko decentraliziranih financijskih servisa i usluga brze zamjene kriptovaluta.
FBI je objavio adrese digitalnih novčanika povezane s napadom i pozvao pružatelje usluga s virtualnom imovinom da blokiraju transakcije povezane s tim adresama.
Prema vlastitim podacima Binancea, sigurnosni tim tijekom 2026. identificirao je i spriječio 57 sumnjivih kibernetičkih prijetnji povezanih sa Sjevernom Korejom.
Što ostaje otvoreno nakon Binanceove istrage?
Binance navodi da je obnovio pogođenu infrastrukturu digitalnih novčanika i interni AI alat, zamijenio kompromitirane uređaje te ukinuo povezane pristupne podatke.
Kompanija je pooštrila kontrole servisa za digitalne novčanike i proširila sustave za otkrivanje neuobičajenog ponašanja pomoću umjetne inteligencije.
Binance je najavio angažiranje neovisnih sigurnosnih stručnjaka koji bi trebali provjeriti nalaze interne istrage i predložiti dodatne mjere. Rezultati te provjere još nisu objavljeni.
Jedno od otvorenih pitanja jest jesu li postojeće kontrole mogle spriječiti da informacije prikupljene tijekom lipanjskog incidenta budu iskorištene za napad četiri mjeseca kasnije.
Autor: financa.ba
Prilikom preuzimanja obvezno navesti izravni link na članak.
