Le prime conclusioni della ricerca interna aperta da Binance per chiarire il presunto 'hack' che ha causato un danno di 6.300 milioni di dollari (5.650 milioni di euro) alla piattaforma di criptovalute indicano che gli autori dell’attacco hanno preparato per mesi un’operazione complessa in cui hanno combinato diverse tecniche e sono arrivati persino a organizzare false interviste di lavoro.
Secondo la cronologia diffusa dalla società, l’incidente è iniziato a giugno, quando un ingegnere dell’area di infrastruttura dei wallet ha scaricato un’installazione manomessa mentre cercava uno strumento di programmazione di IA. Il team di sicurezza ha rilevato l’anomalia, ha sostituito il dispositivo interessato e ha ruotato le credenziali, ma il posto dell’ingegnere e quello dei suoi colleghi sono rimasti esposti all’attaccante.
Ad settembre, un secondo ingegnere è stato contattato tramite una piattaforma ufficiale di ricerca di lavoro da un presunto direttore di progetto, che ha fissato due colloqui: uno via videoconferenza con un falso responsabile delle Risorse Umane e l’altro via chat con un presunto amministratore delegato di una società fittizia. Al termine di quest’ultimo, gli è stato chiesto di scaricare sul suo computer di lavoro una "attività", un repository che, durante l’installazione, ha eseguito codice maligno.
Il 'malware' ha sostituito un componente legittimo di uno strumento di sviluppo con una variante maliziosa in grado di eseguire comandi, collegarsi a un server controllato dall’attaccante ed eliminare tracce della sua attività. Le soluzioni di protezione installate sui computer non hanno identificato questo malware di giorno zero.
Il 20 ottobre, l’attaccante ha sfruttato il computer compromesso e uno strumento interno di IA per prendere il controllo delle macchine di un ingegnere DevOps e di un altro ingegnere del software e ha trovato in una di esse un token con privilegi per distribuire container.
Il 29 ottobre, tra le 17:15 e le 19:56, l’attaccante ha avuto accesso al computer del secondo ingegnere, ha utilizzato le credenziali sottratte, ha avviato un container e ha attivato uno script maligno con cui ha eseguito l’attacco sulle operazioni di firma dei wallet.
Binance, che afferma di aver rilevato e bloccato 57 tentativi di cyberattacco presumibilmente collegati alla Corea del Nord per quanto va del 2026, ha ricostruito il sistema di portafogli e lo strumento di IA interessati, sostituito i dispositivi compromessi, revocato credenziali e token e rafforzato sia l’analisi della sicurezza sia il rilevamento di anomalie e i controlli di rischio.
L’azienda ha indicato che manterrà in riserva parte delle contromisure implementate per non offrire indizi a potenziali aggressori e che l’indagine continua aperta.