Binance afferma che un falso colloquio di lavoro e il download di un software malevolo hanno aiutato gli aggressori a ottenere accesso ai suoi sistemi, prima che venissero sottratti 6,34 miliardi di dollari dai wallet dell’exchange. In un aggiornamento sulla sicurezza pubblicato martedì, la società ha dichiarato che il furto si è verificato il 29 ottobre e che gli aggressori hanno spostato i fondi in circa 20 minuti.

Secondo l’indagine preliminare di Binance, gli aggressori hanno sfruttato l’accesso ai computer degli ingegneri per muoversi attraverso la rete aziendale e sfruttare uno strumento interno di intelligenza artificiale. Alla fine hanno avuto accesso a un servizio di firma dei wallet, che ha permesso loro di avviare transazioni al di fuori della normale procedura di prelievo di Binance.

La società ha ricondotto le attività sospette a giugno, quando un ingegnere identificato come Engineer A ha scaricato online un’installazione manomessa di Homebrew. Binance ha dichiarato di aver rilevato e risolto l’incidente, ma che in seguito alcune informazioni sul dipendente sono state esposte agli aggressori.

All’inizio di settembre, un altro ingegnere, Engineer B, è stato contattato tramite una piattaforma per la ricerca di lavoro e invitato a un colloquio video da una persona che si spacciava per un selezionatore. Durante un successivo colloquio condotto via chat online, all’ingegnere è stato chiesto di scaricare su un computer di lavoro un compito contenente un repository di codice malevolo, ha dichiarato Binance. Il malware era progettato per camuffarsi da strumento di sviluppo legittimo e comunicare con un server controllato dagli aggressori.

Binance afferma che verso la fine di ottobre gli aggressori hanno sfruttato l’accesso al computer di Engineer B per prendere il controllo dei wallet associati a Engineer A e a un altro ingegnere del software. Il giorno del furto hanno anche usato credenziali di accesso rubate per accedere al computer di un membro del personale, prima di prendere di mira il servizio di firma dei wallet.

L’exchange ha dichiarato di aver accantonato fondi per coprire le perdite e di aver ricostruito o sostituito i sistemi interni interessati dall’attacco. Si è scusato per i disagi e l’incertezza, sottolineando al contempo che l’incidente ha coinvolto più di una singola violazione o di un semplice tentativo di phishing.

Quasi la metà delle criptovalute rubate è stata congelata da alcune realtà del settore, dove ciò era possibile, ha dichiarato Binance. I fondi rimanenti vengono trasferiti attraverso un complesso processo di riciclaggio. Tom Robinson di Elliptic ha affermato che, nei primi tre giorni e mezzo, l’attività ha coinvolto circa 12.000 wallet su 11 blockchain e oltre 40.000 transazioni.

Binance non ha identificato direttamente gli aggressori, ma ha osservato che il 31 ottobre l’FBI ha attribuito l’hacking alla Corea del Nord. Anche diverse società di tracciamento lo hanno collegato ad Hacker nordcoreani, tra cui il gruppo TraderTraitor. Rafe Pilling della società di sicurezza Sophos ha affermato che il metodo descritto era coerente con le tattiche del gruppo, che prevedono la compromissione degli ingegneri e lo studio del modo in cui i sistemi della vittima gestiscono le transazioni.

Binance ha dichiarato che nel corso del 2026 il suo team di sicurezza ha rilevato e sventato 57 casi sospetti di attacchi informatici collegati alla Corea del Nord. Le indagini sul furto sono ancora in corso.

Fonti: WIRED.