Et falskt jobbintervju hjalp hackere å stjele $ 6,3 milliarder fra Binance. Angriperne brukte måneder på å infiltrere børsen ved å ta i bruk metoder andre kryptoselskaper hadde advart om lenge før innbruddet.
Den 3. november avslørte Binance at angrepet 29. oktober startet med to ingeniører hvis datamaskiner ble kompromittert hver for seg.
Den første hendelsen skjedde i juni, da en ingeniør lastet ned en manipulert programvarepakke mens vedkommende lette etter et AI-verktøy.
Binance oppdaget infeksjonen, byttet ut datamaskinen og endret påloggingsinformasjon. Men angriperne hadde allerede samlet inn informasjon om den ansatte og wallet-teamet.
Deretter kom de falske jobbintervjuene.
Jobbsvindel kostet Binance over $ 6 milliarder
I september ble en annen ingeniør kontaktet gjennom en seriøs rekrutteringsplattform. Den påståtte arbeidsgiveren arrangerte videointervjuer med en HR-representant og en person som utga seg for å være selskapets CEO.
Til slutt fikk ingeniøren en kodeoppgave. Filene som ble lastet ned inneholdt skadevare som omgås sikkerhetsprogramvaren på datamaskinen.
Innen 20. oktober hadde angriperne brukt den kompromitterte datamaskinen og et internt AI-verktøy for å komme seg videre til andre Binance-ingeniører.
De stjal deretter utplasseringsnøkler og brukte disse til å infisere Binance sin wallet-infrastruktur med ondsinnet programvare.
Den 29. oktober startet de falske uttakene. I løpet av noen timer ble omtrent $ 6,3 milliarder stjålet.
Binance opplyser at omtrent $ 2,85 milliarder er fryst og at 98 % av tapte tokens er erstattet med selskapets egne midler.
Andre børser hadde allerede advart om slike angrep
Rekrutteringstrikset var allerede godt dokumentert.
I mai 2025 avslørte Kraken en mistenkt nordkoreansk agent som forsøkte å bli med i ingeniørteamet deres.
Coinbase avslørte et annet mistenkelig forsøk på infiltrasjon i august 2026, og forklarte hvordan uvanlig aktivitet hjalp dem med å avdekke en mulig kompromittert innleid medarbeider.
Enda tydeligere advarte Microsoft i mars om at Nord-Korea-tilknyttede hackere brukte falske kodeintervjuer for å infisere utvikleres datamaskiner.
Hvorfor stoppet ikke Binance dette
Tre sikkerhetsspørsmål krever nå svar.
For det første: Hvorfor kunne en ansatt kjøre en upålitelig kodeoppgave på en datamaskin tilkoblet bedriftsinterne systemer?
For det andre: Hvorfor fikk infeksjonen i juni fortsatt store følger selv etter at Binance oppdaget og håndterte den?
For det tredje: Hvordan kunne stjålne utplasseringsnøkler til slutt gi angripere tilgang til systemer som autoriserte uttak for milliarder?
Binance har ikke forklart hvilke sikringstiltak som sviktet, eller om tidligere bransjeadvarsler førte til ekstra sikkerhetstiltak.
FBI har tilskrevet tyveriet til TraderTraitor-gruppen fra Nord-Korea.
For Binance er hovedspørsmålet hvordan en kjent rekrutteringssvindel til slutt kunne nå infrastrukturen som beskytter milliarder i kundemidler.
