بایننس می گوید هکرها از ترفندهای شناخته شده برای انجام یک سرقت 6.34 میلیارد دلاری استفاده کردند.

بایننس در یک به‌روزرسانی امنیتی جدید که در روز سه‌شنبه منتشر شد، یافته‌های اولیه خود را در مورد اینکه چگونه این شرکت در معرض خطر قرار گرفت و هکرها توانستند میلیاردها دلار را تنها در 20 دقیقه به سرقت ببرند، شرح داد. به گفته بایننس، این هک نتیجه گرفتار شدن یک مهندس در یک مصاحبه شغلی جعلی و دانلود نرم افزارهای مخرب بود.

هکرها سپس توانستند از طریق شبکه شرکت حرکت کنند، از یک ابزار هوش مصنوعی داخلی بهره برداری کنند و به سرویس امضای کیف پول دسترسی پیدا کنند که به آنها اجازه می داد خارج از مراحل عادی برداشت تراکنش انجام دهند. بایننس در به‌روزرسانی امنیتی خود نوشت: «این نباید اتفاق می‌افتاد، و ما به خاطر نگرانی، اختلال و عدم اطمینانی که باعث کاربران، شرکا و صنعت گسترده‌تر ما شد، عذرخواهی می‌کنیم.» بایننس همچنین می‌گوید بودجه‌ای را برای پوشش خسارات کنار گذاشته و سیستم‌های داخلی آسیب‌دیده در حمله را «بازسازی یا جایگزینی» کرده است.

این شرکت می‌گوید: «این یک نقض مجزا یا یک حادثه ساده فیشینگ نبود. اگرچه بیش از 6 میلیارد دلار از حساب‌های بایننس به سرقت رفت، تقریبا نیمی از آن - در جایی که امکان انجام این کار وجود داشت - توسط بخش‌هایی از صنعت ارزهای دیجیتال مسدود شد، به این معنی که هکرها نمی‌توانستند به وجوه دسترسی پیدا کنند. با این حال، هنوز میلیاردها دلار توسط هکرهای کره شمالی کنترل می‌شوند که سعی می‌کنند پول‌های دزدیده شده را به شکلی بشورند که بتوان به آن دسترسی پیدا کرد و آن‌ها را نقد کرد.

این روند ممکن است ماه ها طول بکشد. تحلیل بایننس می‌گوید هک انباشت ماه‌ها کار توسط هکرها بود و حمله نهایی در 29 اکتبر انجام شد. مدت کوتاهی پس از انتقال وجوه از کیف‌پول‌های داغ بایننس، در بیش از 10 بلاک چین مختلف، چندین شرکت ردیابی ارزهای دیجیتال این حملات را به جمهوری هکرهای دموکراتیک خلق کره (RK) نسبت دادند. گروه TraderTraitor که قبلا بیش از 1.5 میلیارد دلار را در یک هک جداگانه در سال گذشته سرقت کرده بود.

FBI به سرعت TraderTraitor را به هک Binance در 31 اکتبر مرتبط کرد. راف پیلینگ، مدیر ارشد اطلاعات تهدید در شرکت امنیتی Sophos می‌گوید: «حساب بایننس با آنچه در مورد کتاب بازی TraderTraitor می‌دانیم مطابقت دارد. مهاجمان به سادگی یک کلید کیف پول را سرقت نکردند، آنها مهندسان را به خطر انداختند، از این دسترسی برای درک و حرکت در محیط استفاده کردند و در نهایت سیستم‌های مورد استفاده برای مجوز تراکنش‌ها را زیر و رو کردند. بایننس مستقیما خود هکرهای TraderTraitor را مقصر نمی داند. با این حال، این شرکت به انتساب FBI به کره شمالی اشاره می کند و می پذیرد

اکنون از هدف گیری قبلی توسط مجرمان سایبری کره شمالی خبر داده است. در به‌روزرسانی این شرکت آمده است: «در طول سال 2026، تیم امنیتی بایننس 57 مورد مظنون به تهدید سایبری مرتبط با کره شمالی را شناسایی و از آن جلوگیری کرد. بایننس می‌گوید فعالیت‌های مرتبط با هک را می‌توان ابتدا تا ژوئن سال جاری ردیابی کرد. در آن زمان، به‌روزرسانی آن می‌گوید، مهندسی که شرکت از او به عنوان مهندس A یاد می‌کند، یک «نصب دستکاری شده Homebrew» را که در جستجوی آنلاین یافتند، دانلود کرد.

در حالی که شرکت می‌گوید این موضوع شناسایی و با آن برخورد شد، اطلاعات مربوط به کارمند بعدا "در معرض هکر قرار گرفت". در آغاز ماه سپتامبر، بایننس می‌گوید با مهندس نرم‌افزار دیگری که فقط مهندس B نام داشت، از طریق «یک پلت‌فرم قانونی کاریابی» تماس گرفته شد و سپس در یک مصاحبه ویدیویی شرکت کرد که در آن استخدام‌کننده جعلی حساب‌های رسانه‌های اجتماعی و عکس‌های شخصی با ظاهر قانونی را به اشتراک گذاشت تا آنها را واقعی جلوه دهد. مهندس Binance، بدون تعجب، به یک مصاحبه دور دوم که با استفاده از یک چت آنلاین انجام شد، پیشرفت کرد.

گزارش Binance می‌گوید: «نزدیک به پایان مصاحبه، به مهندس B دستور داده شد که یک «تکلیف» حاوی یک مخزن کد مخرب را در رایانه کاری خود دانلود کند. این شرکت می نویسد: «این بدافزار از تکنیک های پیچیده مبهم سازی و فرار استفاده می کرد، از جمله جایگزینی یک جزء ابزار توسعه قانونی با یک نسخه مخرب برای اجرای دستورات و برقراری ارتباط با یک سرور خارجی تحت کنترل مهاجم».

این می افزاید که هکرها اقداماتی را برای مخفی کردن فعالیت خود انجام دادند که یک روش معمول است. بایننس می‌گوید در اواخر اکتبر، کمی بیش از یک هفته قبل از هک، مهاجمان از دسترسی خود به ماشین مهندس برای «کنترل کردن» کیف پول مهندس A که ماه‌ها قبل به خطر افتاده بود و «یکی دیگر از مهندس نرم‌افزار کیف پول C» استفاده کردند. بایننس می‌گوید سپس در 29 اکتبر، مهاجمان به رایانه یکی دیگر از کارکنان، مهندس نرم‌افزار C، وارد شدند و قبل از شروع حمله از جزئیات ورود به سیستم سرقت شده استفاده کردند.

به گفته بایننس، در عصر سرقت، حمله به سرعت آشکار شد. این شرکت می‌نویسد: «مهاجم از دسترسی غیرمجاز به سرویس امضای کیف پول داخلی برای شروع تراکنش‌های خارج از فرآیند برداشت عادی سوء استفاده کرد. Sophos’s Pilling می‌گوید که TraderTraitor در حملات خود از طریق برنامه‌ریزی دقیق و توانایی درک نحوه عملکرد سرویس‌های آنهایی که هک می‌کند، برتری می‌یابد. او می گوید: «مصالحه اولیه فقط یک تکیه گاه است.

"حمله واقعی به دقت در مورد نحوه جابجایی پول توسط قربانی طراحی شده است." در حالی که بایننس می‌گوید یافته‌هایش تنها گام اولیه تحقیقاتش است، کارشناسان امنیتی و ردیابی رمزنگاری می‌گویند که هکرها تلاش‌هایی را برای شستن و نقد کردن ارز دیجیتال دزدیده شده انجام می‌دهند. از ابتدای سال 2017، طبق تجزیه و تحلیل آزمایشگاه های TRM، هکرهای مرتبط با کره شمالی حدود 12 میلیارد دلار ارز دیجیتال را سرقت کرده اند که بیش از نیمی از آن مربوط به سرقت های امسال است. با وجود مبالغ نجومی، مشخص نیست چه مقدار از این پول به کره شمالی باز می گردد.

مانند مورد بایننس، برخی از ارزهای دیجیتال را می توان مسدود و غیرقابل دسترس کرد، در حالی که سایر تراکنش ها می توانند توسط برخی صرافی های ارزهای دیجیتال مسدود شوند. شرکت ردیابی کریپتو Elliptic گفته است که شستشوی ناشی از حمله بایننس «بسیار پیچیده» بوده و احتمالا خودکار خواهد بود. تام رابینسون، یکی از بنیانگذاران و دانشمند ارشد Elliptic در یک پست وبلاگی نوشت: "در سه روز و نیم اول خود از حدود 12000 کیف پول در 11 بلاک چین، تقریبا یک کیف پول جدید در هر 25 ثانیه و بیش از 40000 تراکنش استفاده کرد." اگر بتوان پول را با موفقیت شستشو داد، این احتمال وجود دارد

بر اساس گزارشی که سال گذشته از تیم نظارت بر تحریم‌های چندجانبه که شامل کارشناسانی از ایالات متحده آمریکا، کره جنوبی و 9 کشور دیگر است، به پول نقد تبدیل و برای تقویت توسعه برنامه تسلیحات هسته‌ای کره شمالی و سامانه‌های موشکی بالستیک استفاده شود. آنها به شدت به بانکداری زیرزمینی چین و تسهیلگران مستقر در چین متکی هستند، اگرچه گاهی اوقات به تسهیلگران در کشورهای دیگر متکی هستند.