Programátor chcel lepšiu prácu: Falošný pohovor spustil NAJROZSIAHLEJŠÍ hackerský útok v dejinách kryptomien

Podrobnosti o rozsiahlej kybernetickej operácii priniesol portál CoinDesk, ktorý citoval predstaviteľov burzy Binance. Útočníci podľa zverejnených zistení nevyužili iba technické zraniteľnosti, ale predovšetkým dôveru zamestnancov. Pripravili falošné výberové konanie, pomocou ktorého sa dostali do interných systémov spoločnosti. Samotná krádež bola pritom vyvrcholením operácie, na ktorej hackeri pracovali niekoľko mesiacov.

Hackeri si pripravili dokonalé divadlo

Celý podvod sa začal na skutočnej pracovnej platforme, kde si útočníci vyhliadli inžiniera s pracovnými skúsenosťami v Binance. Kontaktoval ho človek vystupujúci ako projektový riaditeľ inej spoločnosti a predstavil mu zdanlivo serióznu pracovnú príležitosť. Namiesto obyčajnej podvodnej správy nasledoval prepracovaný náborový proces, ktorý mal odstrániť akékoľvek podozrenie.

Uchádzač najskôr absolvoval videohovor s údajným personalistom. Ten sa snažil pôsobiť dôveryhodne a dokonca mu sprístupnil profil na sociálnej sieti s osobnými fotografiami a videami. V ďalšom kole sa inžinier rozprával s človekom, ktorý sa predstavil ako riaditeľ firmy. Pohovor prebiehal natoľko presvedčivo, že zamestnanec nemal dôvod predpokladať, že komunikuje s kybernetickými zločincami. Na záver dostal programátorskú úlohu. Jej vypracovanie si vyžadovalo stiahnutie pripraveného projektu do pracovného počítača. Práve v tomto okamihu sa pasca uzavrela.

Stačilo spustiť programátorský projekt

Podľa bezpečnostného šéfa Binance Jimmyho Sua bol škodlivý kód ukrytý priamo v súboroch, ktoré si zamestnanec stiahol v rámci údajného výberového konania. Keď začal projekt nastavovať, aktivoval sa škodlivý program. Ten podľa bezpečnostnej správy Binance, o ktorej informoval portál BleepingComputer, nahradil časť vývojárskeho nástroja a vytvoril komunikačné spojenie so serverom ovládaným útočníkmi.

Hackeri tak získali možnosť preniknúť hlbšie do firemnej infraštruktúry. Bezpečnostné mechanizmy počítača pritom škodlivý kód v danom okamihu nezachytili. Útočníci navyše postupovali tak, aby po sebe zanechali čo najmenej digitálnych stôp. Falošné pracovné pohovory sa uskutočnili v septembri, no vyšetrovanie ukázalo, že išlo iba o jednu fázu oveľa rozsiahlejšieho plánu.

Prvé stopy viedli až do júna

Začiatky hackerskej operácie siahajú podľa vyšetrovania do júna, keď sa terčom útočníkov stal ďalší inžinier spoločnosti. Ten hľadal nástroj, ktorý by mu pomohol pri programovaní s využitím umelej inteligencie. Počas vyhľadávania si však stiahol upravený inštalačný súbor nástroja Homebrew, do ktorého útočníci vložili škodlivý kód. Bezpečnostnému tímu Binance sa tento incident podarilo odhaliť. Napadnutý počítač bol vymenený a súvisiace prístupové údaje obnovené.

Hoci sa zdalo, že hrozbu sa podarilo odstrániť, hackeri už získali cenné informácie. Dozvedeli sa viac o pracovnom zaradení zamestnanca aj o jeho kolegoch, ktorí sa podieľali na správe infraštruktúry kryptomenových peňaženiek. Práve tieto poznatky im neskôr pomohli pri plánovaní ďalších krokov. „Bola to operácia pripravovaná dlhé mesiace,“ uviedol podľa CoinDesku Richard Teng z vedenia Binance.

Rozhodujúci útok prišiel v októbri

Po úspešnom preniknutí do počítača prostredníctvom falošného pracovného pohovoru útočníci pokračovali v rozširovaní svojho prístupu. Dňa 20. októbra využili kompromitované zariadenie a interný nástroj umelej inteligencie na napadnutie počítačov ďalších dvoch inžinierov. O deväť dní neskôr prišla rozhodujúca fáza operácie.

Hackeri pomocou odcudzených prístupových údajov prenikli k službe, ktorá zabezpečovala digitálne podpisovanie transakcií kryptomenových peňaženiek. Takéto podpisy sú nevyhnutné na autorizáciu presunov digitálnych aktív. Po získaní prístupu mohli útočníci spustiť rozsiahle prevody kryptomien.

Binance na incident reagovala pozastavením výberov, no ani tento krok nedokázal všetky odchádzajúce transakcie zastaviť. Útočníci totiž využili aj mechanizmus siete Ethereum, ktorý umožňuje delegovať určité oprávnenia kryptomenovej peňaženky počítačovému programu. Vďaka tomu dokázali presúvať aktíva aj mimo štandardného systému výberov burzy.

Za niekoľko hodín zmizli miliardy dolárov

Skutočný rozsah útoku odhalila analýza spoločnosti Elliptic, ktorá sa špecializuje na sledovanie kryptomenových transakcií. Podľa jej zistení útočníci počas niekoľkých hodín odčerpali digitálne aktíva z peňaženiek fungujúcich na jedenástich blockchainových sieťach. Celkovú hodnotu odcudzených kryptomien Elliptic vyčíslila na približne 6,43 miliardy dolárov, čo predstavuje viac ako 5,5 miliardy eur.

Ide o mimoriadne vysokú sumu aj na pomery kryptomenového sektora. Na porovnanie, pri hackerskom útoku na burzu Bybit vo februári 2025 zmizli digitálne aktíva v hodnote približne 1,5 miliardy dolárov. Najnovší incident tak svojím rozsahom prekonal túto krádež viac než štvornásobne. Samotná Binance odhaduje hodnotu odcudzených prostriedkov na približne 6,34 miliardy dolárov.

Časť ukradnutých kryptomien sa podarilo zmraziť

Napriek obrovskému rozsahu útoku sa bezpečnostným expertom a spolupracujúcim subjektom podarilo zablokovať značnú časť odcudzených aktív. Spoločnosť Elliptic potvrdila zmrazenie alebo zaistenie kryptomien v hodnote približne 2,85 miliardy dolárov, čo predstavuje asi 44 percent celkovej ukradnutej sumy. Išlo predovšetkým o stablecoiny USDT a USDC, teda digitálne tokeny, ktorých hodnota je naviazaná na americký dolár.

Zmrazenie kryptomien však automaticky neznamená, že sa peniaze už vrátili pôvodnému vlastníkovi. Ide predovšetkým o opatrenie, ktoré má zabrániť ich ďalšiemu presúvaniu. Binance zároveň ubezpečila zákazníkov, že finančné následky útoku nebude prenášať na používateľov.

„Finančný dosah odcudzených prostriedkov ponesie Binance, nie naši používatelia,“ uviedla spoločnosť. Podľa správy zverejnenej 3. novembra už burza vyčlenila finančné prostriedky presahujúce hodnotu celkovej straty. Vyšetrovanie incidentu pokračuje a jeho závery majú byť podrobené nezávislému preskúmaniu.

FBI ukázala na Severnú Kóreu

Do prípadu sa zapojil aj americký Federálny úrad pre vyšetrovanie (FBI), ktorý zodpovednosť za krádež pripísal severokórejskej hackerskej skupine TraderTraitor. Podľa oficiálneho upozornenia FBI americké úrady spolupracujú pri sledovaní pohybu odcudzených digitálnych aktív. Kryptomenové burzy a ďalších poskytovateľov služieb zároveň vyzvali, aby blokovali transakcie spojené s identifikovanými adresami útočníkov.

Severná Kórea však akúkoľvek zodpovednosť za incident odmieta. Ako informoval portál The Record, Kim Jo-čong, sestra severokórejského vodcu Kim Čong-una, označila americké obvinenia za absurdné. Podľa jej vyjadrenia ide o pokus poškodiť medzinárodný obraz krajiny.

Nebezpečenstvo sa neskrývalo v technológii

Prípad Binance ukazuje, aké sofistikované metódy dnes kybernetickí útočníci využívajú. Namiesto priameho prelomenia bezpečnostných systémov sa zamerali na ľudí, ktorí mali k týmto systémom oprávnený prístup. Falošné pracovné ponuky, presvedčivé videopohovory a zdanlivo bežné programátorské zadania im umožnili postupne preniknúť do prostredia jednej z najvýznamnejších kryptomenových spoločností.

Zamestnanec, ktorý sa domnieval, že iba plní úlohu v rámci výberového konania, tak nevedomky otvoril útočníkom cestu k digitálnym aktívam za miliardy dolárov. Vyšetrovanie ešte nie je ukončené, no už teraz je zrejmé, že útok predstavuje vážne varovanie pre technologické a finančné spoločnosti. Aj dôkladne zabezpečená infraštruktúra môže byť ohrozená, ak sa útočníkom podarí zneužiť dôveru jej zamestnancov.