Binance afferma che il percorso verso il più grande furto di criptovalute mai noto sia iniziato non con una violazione clamorosa, ma con un inganno paziente. A giugno, un dipendente dell'infrastruttura dei wallet ha installato un pacchetto software manomesso durante la configurazione di uno strumento di programmazione basato sull'IA; l'exchange afferma di aver sostituito il dispositivo e ruotato le credenziali, ma il team più ampio era già stato esposto.¹

Entro settembre, gli aggressori erano passati a un secondo obiettivo: un ingegnere software contattato tramite una piattaforma di lavoro legittima da un presunto direttore di progetto. L'operazione includeva due colloqui, una videochiamata in diretta e materiale sui social media progettato per instaurare credibilità prima che al candidato venisse chiesto di scaricare un «incarico». Binance ha definito la tattica «più avanzata e ingannevole degli approcci di ingegneria sociale visti in precedenza».¹

Il 20 ottobre, secondo la ricostruzione di Binance, gli aggressori hanno utilizzato la macchina compromessa e uno strumento di IA interno per prendere il controllo di due computer del team wallet, incluso quello di un ingegnere in grado di distribuire software.² Nove giorni dopo, quell'accesso ha raggiunto un servizio di firma delle transazioni e gli hot wallet dell'exchange. La dettagliata ricostruzione di Binance afferma che solo cinque trasferimenti da wallet XRP hanno spostato 233,46 milioni di XRP tra le 20:05 e le 20:09 UTC; ha descritto il furto complessivo come un'operazione di quattro minuti.¹

La ricostruzione dell'exchange sottolinea una distinzione preoccupante: bloccare i prelievi non è stato sufficiente una volta che gli aggressori avevano ottenuto un controllo incorporato nelle autorizzazioni di un account Ethereum. Binance ha affermato che gli ingegneri hanno dovuto ideare una soluzione alternativa perché i controlli distribuiti dell'account non potevano essere revocati rapidamente.³

Il 31 ottobre, l'FBI ha identificato il presunto responsabile come TraderTraitor, un'unità di hacker nordcoreana. Binance afferma di aver bloccato quest'anno altri 57 tentativi sospetti collegati alla Corea del Nord e si assume la responsabilità: «Questo non sarebbe dovuto accadere».²

La Corea del Nord, tuttavia, ha respinto categoricamente l'attribuzione. Kim Yo Jong ha definito l'accusa dell'FBI una «retorica assurda» e ha affermato che rappresentare il Paese come responsabile di crimini informatici in tutto il mondo fosse «una grave provocazione politica».¹ Binance afferma che coprirà le perdite dei clienti e che circa 2,85 miliardi di dollari sono stati congelati o intercettati.³