L'operazione, afferma Binance, non è iniziata con un'irruzione spettacolare. È iniziata con una paziente attività di sondaggio del suo team dei wallet a giugno, quando un ingegnere ha scaricato una versione manomessa di uno strumento software ampiamente utilizzato. L'exchange afferma che la campagna era più sofisticata e più ingannevole di qualsiasi altra avesse affrontato in precedenza.¹

A settembre, gli aggressori sono passati all'ingegneria sociale. Una persona che si spacciava per direttore di progetto ha contattato un ingegnere software di Binance attraverso una piattaforma di lavoro, quindi ha inscenato due colloqui, incluso una videochiamata con una presunta rappresentante delle risorse umane. L'"incarico" finale inviato al computer di lavoro del dipendente conteneva codice dannoso che gli strumenti di sicurezza di Binance non hanno rilevato.¹

Il 20 ottobre, secondo il resoconto di Binance, gli hacker hanno utilizzato la macchina compromessa e uno strumento di IA interno per prendere il controllo dei computer di due ingegneri del team wallet. Uno dei due disponeva dell'autorizzazione per distribuire software. Nove giorni dopo, quell'accesso ha aperto un servizio di firma delle transazioni, consentendo agli aggressori di svuotare gli hot wallet — fondi detenuti per prelievi rapidi — nell'arco di quasi quattro ore.¹

Il verdetto di Binance è stato netto: «Questo non sarebbe dovuto accadere».¹ L'azienda afferma che il semplice blocco dei prelievi non avrebbe potuto fermare immediatamente il furto perché gli aggressori avevano ottenuto un accesso registrato sulla stessa Ethereum, al di là dei sistemi interni di Binance. Gli ingegneri hanno dovuto escogitare una soluzione alternativa mentre gli asset venivano trasferiti.¹

Sabato l'FBI ha dichiarato che TraderTraitor, un'unità di hacker nordcoreana, ha condotto l'attacco; la Corea del Nord ha negato l'accusa. Binance afferma di aver bloccato quest'anno altri 57 sospetti tentativi di hacking nordcoreani, inquadrando l'episodio come parte di una minaccia persistente piuttosto che come un fallimento isolato.¹

Martedì Binance ha dichiarato che circa 2,85 miliardi di dollari erano stati congelati o intercettati, che il 98% dei token interessati era stato ripristinato e che i clienti sarebbero stati rimborsati. Ha ricostruito i sistemi interessati, sostituito i computer compromessi e prevede una revisione esterna della sicurezza: rimedi che possono rassicurare gli utenti, ma non possono cancellare il modo in cui un unico colloquio di lavoro fraudolento ha contribuito a sbloccare una perdita di 6,3 miliardi di dollari.¹