Binance berkata pihaknya mengesan dan menghalang 57 serangan siber yang disyaki berkaitan Korea Utara pada 2026. Namun, seorang jurutera memuat turun kod hasad selepas dijemput ke temu duga kerja palsu, membolehkan penyerang mendapatkan akses dalaman secara berperingkat sehingga mencapai infrastruktur tandatangan dompet. Laporan keselamatan Binance yang diterbitkan pada 3 November memperincikan serangan itu. Pada 31 Oktober, Biro Penyiasatan Persekutuan AS (FBI) mengaitkan kecurian aset kripto bernilai kira-kira AS$6.34 bilion pada 29 Oktober dengan operasi TraderTraitor Korea Utara. Kes ini menunjukkan ancaman yang dikenal pasti masih boleh melepasi kawalan keselamatan, dengan proses pengambilan pekerja dan persekitaran pembangunan menjadi laluan masuk ke sistem dalaman platform kripto.
Kod hasad membawa penyerang ke sistem tandatangan dompet
Menurut laporan Binance, aktiviti berkaitan yang pertama dikesan berlaku pada Jun. Seorang jurutera yang mengendalikan infrastruktur dompet memuat turun pemasang Homebrew yang telah diubah suai ketika memasang alat pengaturcaraan AI popular. Selepas pasukan keselamatan mengesan kelainan, Binance menggantikan peranti pekerja itu dan menukar kelayakan akses berkaitan. Namun, penyerang sudah memperoleh maklumat mengenai tugas jurutera tersebut dan rakan sekerjanya.
Pada September, penyerang menghubungi seorang lagi jurutera perisian melalui platform pengambilan pekerja yang sah, dengan menyamar sebagai ketua projek sebuah syarikat rekaan. Seorang individu yang mengaku wakil sumber manusia kemudian mengadakan temu duga video secara langsung. Untuk meyakinkan calon, individu itu turut memberikan akaun media sosial yang memaparkan foto dan video peribadi. Dalam pusingan temu duga kedua, seorang lagi individu mengaku sebagai ketua pegawai eksekutif syarikat itu.
Menjelang akhir temu duga, jurutera tersebut diminta memuat turun tugasan ujian pengaturcaraan ke komputer kerja. Repositori kod itu kelihatan seperti projek pembangunan biasa, tetapi program hasad berjalan semasa pemasangan, menggantikan komponen alat pembangunan yang sah dan berhubung dengan pelayan yang dikawal penyerang. Binance berkata perisian hasad itu belum pernah dikenal pasti sebelum ini, berjaya mengelak perisian keselamatan endpoint dan menyembunyikan jejak pencerobohan.
Menjelang 20 Oktober, penyerang menggunakan komputer yang telah dikompromi dan alat AI dalaman untuk meluaskan kawalan ke atas peranti dua jurutera, termasuk pekerja yang menjadi sasaran dalam insiden Jun. Mereka kemudian mendapatkan token kebenaran untuk penggunaan kontena. Sembilan hari kemudian, penyerang menggunakan kelayakan yang dicuri untuk melaksanakan kontena hasad dan memasuki infrastruktur tandatangan dompet Binance.
Binance berkata penyerang memintas proses pengeluaran biasa untuk memulakan pemindahan tanpa kebenaran yang melibatkan aset di beberapa rangkaian blok rantai. Syarikat itu tidak menyatakan berapa banyak daripada 57 ancaman yang berjaya dihalang melibatkan temu duga palsu, atau kes mana yang berkait langsung dengan penyerang dalam insiden Oktober.
Binance ganti peranti dan bina semula infrastruktur dompet
Co-CEO Binance, He Yi, berkata pasukan keselamatan syarikat mengesan dan menghalang 57 ancaman siber yang disyaki berkaitan Korea Utara pada 2026. Taktik yang disenaraikannya termasuk temu duga kerja palsu, perisian hasad yang menyamar sebagai alat pembangunan biasa, pakej perisian dan sambungan pelayar yang diubah suai, aplikasi persidangan video palsu, serta serangan kejuruteraan sosial untuk mencuri kelayakan atau memasang perisian hasad akses jauh. Beliau mengakui banyak serangan berjaya disekat, tetapi satu yang terlepas membawa akibat serius dan perkara itu tidak sepatutnya berlaku.
Selepas kejadian itu, Binance menggantikan peranti pekerja yang terjejas, membatalkan kelayakan akses yang terdedah dan membina semula infrastruktur dompet yang terjejas. Syarikat itu turut berkata perlindungan persekitaran pembangunan akan dipertingkat dan pemantauan tingkah laku berasaskan kecerdasan buatan akan diperluas. Laporan tersebut tidak menjelaskan bagaimana langkah ini menangani penggunaan temu duga kerja sebagai pintu masuk dalam serangan berkenaan.
Taktik temu duga palsu pernah dikaitkan dengan operasi Korea Utara
Serangan ini mempunyai persamaan dengan operasi siber Korea Utara yang telah dijejaki penyelidik keselamatan dan pihak penguat kuasa AS selama beberapa tahun. Pada September 2024, FBI memberi amaran bahawa penggodam Korea Utara menggunakan tawaran kerja yang disesuaikan, identiti palsu yang dibina rapi dan komunikasi berterusan untuk menyusup ke syarikat mata wang kripto. Pekerja yang mempunyai kemahiran teknikal tinggi juga boleh menjadi sasaran penipuan yang direka berdasarkan latar belakang kerjaya mereka.
Pada Jun 2026, penyelidik Kudelski Security merekodkan operasi bernama “Contagious Interview”. Penyerang menyamar sebagai perekrut di LinkedIn, WhatsApp dan Discord sebelum memujuk pembangun menjalankan kod hasad. Pada September, penyelidik Atlassian pula menemui ujian teknikal palsu yang dihoskan pada platform pembangunan yang mantap, dengan arahan hasad disembunyikan dalam projek perisian yang kelihatan biasa.
Kes-kes ini menunjukkan bagaimana penyerang memanfaatkan proses pengambilan pekerja dan alat pembangun untuk membina kepercayaan, kemudian memperluas akses ke sistem dalaman syarikat. Perincian yang didedahkan Binance juga menunjukkan jangkitan peranti pada Jun tidak menghalang penyerang daripada menggunakan hubungan antara pekerja dan alat dalaman untuk meluaskan kawalan. Binance belum mendedahkan pecahan 57 ancaman yang dipintas atau kawalan keselamatan yang gagal dalam serangan ini. Maklumat yang diumumkan mengesahkan pencerobohan mencapai infrastruktur tandatangan dompet dan membawa kepada pemindahan aset tanpa kebenaran merentas beberapa rangkaian blok rantai.