W komunikacie z 3 listopada Binance opisało, jak atak, który rozpoczął się od przejęcia urządzeń pracowników, miał dotrzeć do wewnętrznej usługi podpisywania portfeli i wykorzystać delegacje EIP-7702. Kradzież nastąpiła 29 października 2026 roku; według firmy transakcje ominęły zwykły proces wypłat. Binance opisało przebieg ataku i swoją reakcję.
Wcześniejszy tekst NeoTeo omawiał ślad on-chain łączący kradzieże z Binance i Bitget. W swoim komunikacie Binance opisało drogę, która miała doprowadzić do nieautoryzowanych transferów.
Jak atak dotarł do usługi podpisywania
Według Binance pierwsze przejęcie urządzenia nastąpiło w czerwcu. Engineer A zainstalował zmodyfikowaną wersję Homebrew, gdy szukał narzędzia do programowania z użyciem AI. Binance wykryło nieprawidłowość, wymieniło urządzenie i zmieniło powiązane dane dostępowe. Firma podała jednak, że napastnicy później poznali rolę Engineer A i jego współpracowników.
We wrześniu Engineer B, którego napastnicy znaleźli przez prawdziwą platformę rekrutacyjną, otrzymał repozytorium złośliwego kodu przedstawione jako zadanie rekrutacyjne. Binance twierdzi, że 20 października napastnicy wykorzystali przejęty komputer Engineer B oraz wewnętrzne narzędzie AI, by uzyskać dostęp do urządzeń Engineer A i Wallet Software Engineer C. 29 października użyli danych dostępowych skradzionych Engineer A, zalogowali się na komputer Engineer C i uruchomili skrypt w kontenerze.
Binance podało, że dostęp do wewnętrznej usługi podpisywania portfeli pozwolił napastnikom inicjować transakcje poza zwykłą ścieżką wypłat. W jej relacji przejęty komputer był więc etapem prowadzącym do systemu autoryzującego transakcje.
Dlaczego delegacje EIP-7702 wymagały osobnej reakcji
Binance twierdzi, że napastnicy wykorzystali mechanizm Ethereum EIP-7702, aby przyznać kontrolowanemu przez siebie kontraktowi częściowe uprawnienia do wykonywania operacji na gorącym portfelu. Firma podała, że napastnicy wysłali 50 transakcji podpisujących, manipulując licznikiem transakcji konta i ustanawiając złośliwe delegacje.
Delegacje on-chain działały niezależnie od zwykłego systemu wypłat. Binance wyjaśniło, że jego portfel korzystał z obliczeń wielostronnych, czyli dzielił proces podpisywania między kilka elementów zamiast opierać go na jednym kluczu prywatnym. W rezultacie cofnięcie delegacji wymagało dodatkowych transakcji i specjalnej procedury.
Co Binance podało o aktywach i ich uzupełnieniu
W aktualizacji z 3 listopada Binance oszacowało wartość aktywów objętych kradzieżą na około 6,34 mld USD, a aktywów zamrożonych lub przejętych na około 2,85 mld USD. Firma zastrzegła, że druga kwota może ulec zmianie w wyniku uzgodnień i wahań cen rynkowych.
Binance podało też, że przeznaczyło na pokrycie strat środki przekraczające 100% wymaganej kwoty oraz że do 31 października uzupełniło 98% aktywów tokenowych objętych incydentem. To osobne informacje o zabezpieczeniu środków i uzupełnieniu aktywów.
W komunikacie z 3 listopada Binance określiło swoje ustalenia jako wstępne i poinformowało, że dochodzenie oraz niezależny przegląd były w toku.
Jakie przypisanie przedstawiło FBI
31 października FBI przypisało kradzież aktywów o wartości przekraczającej 6 mld USD Korei Północnej i użyło nazwy TraderTraitor dla powiązanej z nią aktywności cybernetycznej. Alert FBI przedstawia to przypisanie. Binance w swojej aktualizacji odwołało się do ustalenia FBI.
