L'attacco, afferma Binance, non è iniziato con una clamorosa violazione dei suoi portafogli. È iniziato mesi prima con attività di ricognizione — e un'esca rivolta a un dipendente.

A giugno, gli aggressori avrebbero iniziato a sondare il team dei portafogli dell'exchange, anche tramite una versione manomessa di un popolare strumento software. Poi, a settembre, qualcuno che si spacciava per direttore di progetto ha contattato un ingegnere software di Binance attraverso una piattaforma per la ricerca di lavoro. Sono seguiti due colloqui, tra cui una videochiamata con un presunto rappresentante delle risorse umane. L'ultimo «incarico» era un file da scaricare sul computer di lavoro dell'ingegnere; conteneva codice malevolo che gli strumenti di sicurezza di Binance non hanno rilevato.¹

L'inganno era costruito per sembrare ordinario. Binance ha affermato che il falso selezionatore utilizzava un account sui social media pieno di foto e video personali per rafforzare la credibilità — un livello di cura che la società ha descritto come più sofisticato e ingannevole delle tattiche incontrate in precedenza.²

Il 20 ottobre, circa una settimana prima del furto, gli aggressori hanno utilizzato la macchina compromessa e uno strumento di IA interno di Binance per prendere il controllo dei computer di due ingegneri del team dei portafogli. Uno degli ingegneri aveva l'autorità di distribuire software. Nove giorni dopo, quell'accesso ha aperto un servizio di firma delle transazioni, consentendo agli aggressori di svuotare i portafogli hot — fondi detenuti per prelievi rapidi — nell'arco di quasi quattro ore. «Questo non sarebbe dovuto accadere», ha dichiarato Binance.¹

Bloccare i prelievi da solo non è stato sufficiente, ha affermato Binance. Gli aggressori avevano ottenuto il controllo parziale di un account Ethereum in un modo registrato sulla blockchain anziché esclusivamente nei sistemi di Binance, costringendo gli ingegneri a elaborare una soluzione alternativa mentre il furto proseguiva.²

L'FBI ha dichiarato sabato che l'unità di hackeraggio nordcoreana TraderTraitor ha condotto l'operazione; la Corea del Nord ha negato l'accusa. Binance afferma di aver bloccato quest'anno altri 57 sospetti tentativi di hacking nordcoreani. Afferma che circa 2,85 miliardi di dollari sono stati congelati o intercettati e che ha ripristinato il 98% dei token colpiti, mentre ricostruisce i sistemi e coinvolge revisori esterni della sicurezza.¹