Culisele jafului cripto de 6,3 miliarde de dolari. Hackerii au regizat un proces de recrutare pentru a accesa computerul unui inginer de la Binance. Prada a fost împărțită în 10.000 de portofele digitale ca să încurce anchetatorii

Cel mai mare jaf din istoria industriei cripto nu a început cu spargerea unui server și nici cu descifrarea unei parole imposibil de compromis. A început cu o ofertă de angajare. The Wall Street Journal (WSJ) a făcut, sâmbătă, noi dezvăluiri din culisele  atacului din 29 octombrie asupra platformei Binance, soldat cu pierderi estimate la 6,3 miliarde de dolari. Hackerii au combinat ingineria socială, programe malițioase, compromiterea unor instrumente interne și manipularea mecanismelor de autorizare a tranzacțiilor. O operațiune sofisticată. în mai multe etape, desfășurată pe parcursul a aproape cinci luni. Însă ancheta e abia la început și are implicații uriașe în întreg ecosistemul cripto.

Atacatorii, pe care un prim raport FBI  îi asociază cu regimul din Coreea de Nord – au distribuit fondurile sustrase în peste 10.000 de portofele digitale și au folosit servicii cripto pentru a transfera banii și a ascunde traseul acestora, potrivit unei noi investigații publicate sâmbătă de WSJ.  Hackerii au continuat să mute fondurile după breșa de securitate din 29 octombrie, în pofida eforturilor companiilor din industrie și ale autorităților de a îngheța activele furate. Pentru a trece de „filtrele” platformei, hackerii au convertit criptomonedele sustrase în mii de tokenuri de valori mai mici și au transferat o parte din fonduri prin servicii care permit utilizatorilor să transfere active cripto între diferite rețele blockchain.

SĂNĂTATE10 diete care pot încetini îmbătrânirea biologică. Ce au descoperit cercetătorii după ce au analizat peste 7.500 de persoane

14:16

FLASH NEWSTuriștii români aflați într-o stațiune populară din Egipt au surprins momentul în care unul dintre yachturile de agrement a luat foc

14:09

Însă breșa de securitate care a permis întreaga operațiune a fost un interviu de angajare.

Interviul de angajare de 6,3 miliarde dolari

Raportul Binance arată că, pe parcursul anului 2026, echipa de securitate a platformei cripto a detectat și a prevenit 57 de tentative suspectate de a avea legături cu Coreea de Nord.

„Tehnicile folosite au inclus interviuri de angajare frauduloase, software malițios deghizat în instrumente populare pentru dezvoltatori, pachete software și extensii de browser compromise, aplicații false de videoconferință și campanii de inginerie socială concepute pentru furtul acreditărilor sau instalarea unor programe care permit accesul de la distanță”, se precizează în raport.

Inginerul software B a fost contactat „prin intermediul unei platforme legitime de căutare a locurilor de muncă de o persoană care s-a prezentat drept director de proiect”, arată raportul. Profilul inginerului B de pe platformă menționa experiența sa profesională la Binance. Presupusul director de proiect a organizat un prim interviu cu un reprezentant al departamentului de resurse umane, urmat de un al doilea interviu cu o persoană care pretindea că este directorul general al unei companii fictive. În prima etapă, falsul reprezentant HR a susținut un interviu video în direct cu inginerul B.

Intervievatorul i-a distribuit un cont de social media, care conținea fotografii și videoclipuri personale publicate pe platformă, pentru a-i câștiga încrederea. Metoda a fost mai sofisticată și mai înșelătoare decât tehnicile de inginerie socială întâlnite anterior, se arată în raportul Binance.

Schema de inginerie socială prin care hackerii au creat breșa de securitate

Al doilea interviu s-a desfășurat într-o aplicație populară de chat și socializare. Spre finalul discuției, inginerului B i s-a cerut să descarce pe calculatorul de serviciu o „temă de lucru” (assignment), sub forma unui depozit de cod care conținea componente malițioase. Codul a fost executat în timpul procesului de instalare, declanșând o serie de activități neautorizate.

Potrivit Binance, pe 20 octombrie atacatorii au folosit calculatorul compromis al inginerului pentru a exploata accesul la un instrument intern de inteligență artificială. Prin intermediul acestuia au ajuns la alte două persoane din echipa de infrastructură a portofelelor digitale. Una dintre ele avea pe calculator un token de implementare a containerelor software, care oferea acces la operațiuni tehnice privilegiate.

Pe 29 octombrie, între orele 17:15 și 19:56, atacatorii au accesat calculatorul unui al treilea inginer, au utilizat acreditările furate ale primului angajat și au implementat un container care a declanșat scriptul malițios.

Ce s-a întâmplat pe 29 octombrie: Binance a intrat în alertă privind transferuri de mare valoare

Atacul s-a desfășurat rapid, pe mai multe rețele blockchain. Hackerii au exploatat accesul neautorizat la un serviciu intern de semnare a tranzacțiilor pentru portofele digitale, pentru a iniția transferuri în afara procedurii obișnuite de retragere.

Între 20:05 UTC și 20:09 UTC, cinci portofele online (hot wallets) ale Binance au transferat 233,46 milioane de XRP către o adresă controlată de atacator. Portofelele online ale Binance de pe rețelele Solana și Optimism au transferat, de asemenea, aproximativ 970.500 SOL, respectiv 44,2 milioane de OP, către adrese controlate de atacatori.

Ulterior, Binance a primit o alertă internă privind transferurile de mare valoare și a început imediat investigațiile. Un portofel online al Binance a transferat 18.270 BTC către o adresă controlată de atacator.

Atacatorul a folosit apoi serviciul de semnare a tranzacțiilor pentru a exploata mecanismul de autorizare EIP-7702 al rețelei Ethereum. EIP-7702 permite unui cont să delege anumite drepturi de execuție către un contract inteligent, fără a expune cheia privată. În acest caz, atacatorul a folosit mecanismul pentru a acorda unui contract inteligent aflat sub controlul său drepturi parțiale de execuție asupra unui portofel online al Binance.

O noapte furtunoasă pentru cripto

Binance a inițiat imediat mai multe măsuri de limitare a incidentului, printre care suspendarea retragerilor pentru a restricționa noi ieșiri de fonduri, coordonarea cu partenerii pentru blocarea tokenurilor afectate și demersuri pentru revocarea permisiunilor acordate fără autorizare. Aceste eforturi au permis blocarea unor active în valoare totală de 2,85 miliarde de dolari. Totuși, simpla suspendare a retragerilor nu putea opri toate transferurile neautorizate de active. Autorizațiile EIP-7702 malițioase existau direct pe blockchain și funcționau independent de infrastructura obișnuită de retragere a Binance.

Atacatorii au transmis 50 de tranzacții de semnare pentru a manipula parametrul nonce al contului și pentru a institui autorizații de delegare malițioase. Odată activate, acestea le-au permis să continue transferurile de active independent de infrastructura obișnuită de retragere a Binance. Pentru a revoca aceste autorizații on-chain, Binance a trebuit să execute tranzacții suplimentare.

Procesul de limitare a atacului a implicat și alte dificultăți tehnice. Deoarece portofelul online utiliza tehnologia MPC (Multi-Party Computation), nu exista o singură cheie privată care să poată fi folosită pentru revocarea imediată a autorizațiilor EIP-7702 malițioase. Prin urmare, echipa a trebuit să dezvolte și să execute o procedură specială pentru revocarea acestor autorizații, operațiune care a necesitat timp suplimentar.

Cum au „păcălit” hackerii securitatea platformei

Firma de analiză blockchain Chainalysis a identificat ulterior, într-un raport din 7 noiembrie, tranzacții în valoare de peste 46 de milioane de dolari în active furate care au trecut prin THORChain în primele 72 de ore de la atac. Tranzacțiile au generat comisioane de peste 200.000 de dolari pentru operatorii serviciului.

THORChain este un protocol descentralizat care permite schimbul direct de criptomonede între blockchainuri diferite, fără ca utilizatorii să fie nevoiți să treacă printr-o bursă centralizată. De exemplu, un utilizator poate schimba Bitcoin în active de pe alte rețele, iar transferul se realizează prin infrastructura protocolului. Însă acest lucru  poate fi exploatat de atacatori pentru a muta active cripto furate dintr-o rețea în alta și pentru a complica urmărirea lor.

Alte aproximativ 4 milioane de dolari au fost direcționate prin Wasabi Wallet, un portofel digital pentru Bitcoin care include funcții de protejare a confidențialității tranzacțiilor. Serviciul utilizează o tehnică prin care tranzacțiile mai multor utilizatori pot fi reunite într-o singură operațiune, făcând mai dificilă identificarea legăturii dintre expeditori și destinatari.

FBI le-a cerut operatorilor de servicii cripto, inclusiv celor care administrează noduri THORChain, să blocheze tranzacțiile asociate furtului. Cu toate acestea, unele transferuri au continuat. Dezvoltatorii asociați serviciilor descentralizate de criptomonede au transmis că sistemele lor nu sunt concepute astfel încât operatorii să poată exercita un control centralizat asupra tranzacțiilor individuale. Iar aceasta este – pe de o parte – infrastructura care definește arhitectura ecosistemului cripto, însă de cealaltă parte poate fi speculată de hackeri pentru a pierde urma activelor furate.

Bitquery a urmărit traseul a 333 de milioane de dolari în prima săptămână după atac

Într-o analiză separată, publicată tot pe 7 noiembrie, firma de analiză blockchain Bitquery a anunțat că a urmărit aproximativ 333 de milioane de dolari în criptomonede furate, transferate prin operațiuni de spălare a banilor sau direcționate către servicii prin care activele pot fi convertite în bani. Din această sumă, aproximativ 208 milioane de dolari au fost transferate în primele două zile și jumătate după atac.

Bitquery a identificat THORChain drept una dintre principalele rute folosite de atacatori, urmărind transferuri de aproximativ 113 milioane de dolari. Pe de altă parte, sume uriașe în Bitcoin și Ether furate se aflau încă în portofele digitale care puteau fi identificate și monitorizate. Cu alte cuvinte, faptul că fondurile au fost transferate prin mai multe adrese sau rețele nu înseamnă automat că traseul lor a devenit imposibil de urmăritri prin acest protocol în perioada analizată. Investigația a urmărit tranzacții desfășurate pe nouă rețele blockchain.

Recrutarea, folosită de hakeri ca instrument de infiltrare

Pe 31 octombrie, FBI a atribuit oficial atacul grupării nord-coreene TraderTraitor. Agenția americană spune că activele furate au fost convertite în principal în Ether și că atacatorii încearcă să le spele prin servicii DeFi și platforme de schimb instant.

TraderTraitor este asociată operațiunilor cibernetice nord-coreenes. Aceste grupări au devenit specializate în atacuri asupra burselor de criptomonede, infrastructurii blockchain, dezvoltatorilor și companiilor care administrează active digitale.  Iar recrutarea e folosită ca instrument de infiltrare. În unele operațiuni, hackerii se prezintă drept angajatori și conving angajații să descarce programe malițioase. În altele, se prezintă drept candidați la posturi IT și obțin acces direct în companii, sub identități false. În cazul Binance, operațiunea a presupus mai multe niveluri de infiltrare: un software compromis, o ofertă de angajare fictivă, un cod malițios deghizat în probă profesională, exploatarea unui instrument intern de inteligență artificială și folosirea acreditărilor unor angajați cu permisiuni privilegiate.

Chainalysis a identificat pierderi de peste 14,3 milioane de dolari în ultimii 18 luni asociate unor scheme similare de interviuri false și infectare cu malware. Aceste atacuri au vizat inclusiv portofele individuale, organizații, protocoale și organizații autonome descentralizate.

Cazul Binance se înscrie într-o serie de jafuri cripto atribuite Phenianului

Atacul asupra Binance se înscrie într-o serie de operațiuni de amploare atribuite hackerilor nord-coreeni. În februarie 2025, FBI a atribuit Coreei de Nord furtul de aproximativ 1,5 miliarde de dolari din platforma Bybit. Atacatorii au mutat rapid activele către mii de adrese de pe mai multe blockchainuri, convertind o parte dintre acestea în Bitcoin și alte criptomonede.

În septembrie 2026, o altă bursă, Bitget, a fost ținta unui atac în care au fost sustrase aproximativ 387 de milioane de dolari, operațiune atribuită de firme de analiză blockchain unor actori nord-coreeni. Chainalysis a identificat ulterior transferuri care au amestecat fonduri provenite din atacul Bitget cu cele furate de la Binance, consolidând legătura dintre cele două operațiuni. Potrivit Chainalysis, hackerii nord-coreeni au furat cel puțin 2,02 miliarde de dolari în criptomonede numai în 2025, cu 51% mai mult decât în anul precedent. Valoarea cumulată a furturilor atribuite Phenianului ajunsese la cel puțin 6,75 miliarde de dolari până la finalul acelui an, înainte de atacurile din 2026.