Binance ha descritto il furto di asset per 6,43 miliardi di dollari come il risultato di una campagna in più fasi che ha coinvolto ingegneria sociale, software dannoso e strumenti interni compromessi. La società ha dichiarato che gli aggressori hanno preso di mira due ingegneri e sono infine riusciti ad accedere a un servizio interno di firma dei wallet per avviare transazioni al di fuori della normale procedura di prelievo.

La prima fase è iniziata nel giugno 2026, quando un ingegnere del team Wallet DevOps di Binance ha scaricato un programma di installazione di Homebrew manomesso mentre cercava un popolare strumento di IA. Binance ha dichiarato di aver rilevato l’incidente e modificato le credenziali correlate, ma che erano state esposte informazioni sul ruolo dell’ingegnere e sui suoi colleghi del team dedicato all’infrastruttura dei wallet.

A settembre, gli aggressori hanno contattato un secondo ingegnere tramite una piattaforma per la ricerca di lavoro, fingendosi un direttore di progetto. L’ingegnere è stato invitato a sostenere due colloqui: uno con un presunto rappresentante delle risorse umane e un altro con una persona che si è presentata come amministratore delegato di un’azienda che, secondo Binance, non esisteva. Al termine del secondo colloquio, all’ingegnere è stato chiesto di scaricare su un computer di lavoro un compito contenente un repository di codice dannoso.

Il codice del repository è stato eseguito durante la configurazione. Binance ha dichiarato che il malware ha utilizzato tecniche di offuscamento e di elusione, tra cui la sostituzione di un componente legittimo di uno strumento di sviluppo con una versione compromessa, per eseguire comandi e connettersi a un server controllato dagli aggressori. Gli aggressori hanno inoltre rimosso le prove forensi relative alla compromissione.

Il 20 ottobre, gli aggressori hanno utilizzato il computer compromesso e abusato di uno strumento interno di IA per prendere il controllo del primo ingegnere e di un altro ingegnere addetto al software dei wallet. Binance ha dichiarato che sul computer del primo ingegnere hanno trovato un token di autorizzazione per il deployment dei container. Il 29 ottobre, hanno effettuato l’accesso al computer del terzo ingegnere usando credenziali rubate, hanno distribuito un container e avviato uno script dannoso.

Binance ha dichiarato di aver ricostruito il sistema dei wallet interessato in un nuovo ambiente e di aver ricreato il proprio strumento interno di IA e i controlli di accesso. La società ha inoltre sostituito i dispositivi interessati, revocato le credenziali e i token correlati, eseguito scansioni sui dispositivi dei dipendenti, rafforzato i controlli sui rischi del servizio dei wallet e ampliato il rilevamento delle anomalie comportamentali basato sull’IA. Ha affermato di collaborare con le forze dell’ordine, le società di intelligence blockchain e i partner del settore per tracciare e congelare gli asset interessati.

Binance ha aggiunto di aver chiuso i punti di accesso individuati e ricostruito o sostituito i sistemi coinvolti nell’attacco. La società ha inoltre dichiarato di aver sventato 57 casi sospetti di minacce informatiche collegate alla Corea del Nord dall’inizio dell’anno e ha descritto i falsi colloqui di lavoro, gli strumenti di sviluppo dannosi e l’ingegneria sociale finalizzata al furto di credenziali come tecniche utilizzate negli attacchi contro il settore delle criptovalute.

Fonti: The Hacker News.