L'operazione, afferma Binance, è iniziata silenziosamente a giugno, quando gli aggressori hanno cominciato a sondare il suo team dei wallet e un ingegnere ha scaricato una versione manomessa di uno strumento software molto diffuso. L'exchange afferma che la campagna era più elaborata dei precedenti tentativi che aveva subito, costruita attorno all'ingegneria sociale piuttosto che a un assalto diretto ai suoi sistemi.¹

A settembre, gli aggressori si sarebbero spacciati per un direttore di progetto su una piattaforma di reclutamento e avrebbero attirato un ingegnere software di Binance attraverso due colloqui, inclusa una videochiamata con una presunta rappresentante delle risorse umane. L'"incarico" finale scaricato sul computer di lavoro del dipendente conteneva codice dannoso che gli strumenti di sicurezza di Binance non sono riusciti a rilevare.¹

Il 20 ottobre — nove giorni prima del furto — Binance afferma che la macchina compromessa e uno strumento di IA interno sono stati usati per assumere il controllo dei computer di due ingegneri del team dei wallet. Uno di loro disponeva di privilegi di distribuzione del software. Gli aggressori hanno poi raggiunto un servizio di firma delle transazioni e, nell'arco di quasi quattro ore, hanno iniziato a svuotare gli hot wallet dell'exchange. «Questo non sarebbe dovuto accadere», ha dichiarato Binance.¹

La violazione non è terminata quando i prelievi si sono fermati. Binance afferma che gli aggressori hanno ottenuto il controllo parziale di un account Ethereum attraverso sistemi compromessi; poiché tale autorizzazione era registrata sulla blockchain e non esclusivamente all'interno di Binance, revocarla rapidamente si è rivelato difficile. Gli ingegneri hanno dovuto escogitare una soluzione alternativa mentre i fondi continuavano a transitare attraverso circa 12.000 wallet, secondo Elliptic.¹

Sabato l'FBI ha dichiarato che il gruppo di hacker nordcoreano TraderTraitor ha condotto l'attacco, un'accusa che Pyongyang nega. Binance afferma di aver già intercettato quest'anno altri 57 presunti tentativi nordcoreani.¹

Binance afferma che sono stati congelati o intercettati 2,85 miliardi di dollari, che il 98% dei token interessati è stato reintegrato e che i clienti saranno integralmente rimborsati. Ha ricostruito i sistemi compromessi, sostituito i computer interessati e prevede una revisione della sicurezza esterna — rimedi che arrivano dopo un fallimento che ora ammette non sarebbe mai dovuto verificarsi.¹