Подготовка к атаке началась в июне, когда один из работавший над инфраструктурой кошельков Binance инженер искал инструменты для разработки. Работник воспользовался поисковой ИИ-системой и скачал по попавшей в выдачу подмененную злоумышленниками версию менеджера пакетов Homebrew. Так в инфраструктуру компании проник вредоносный код.
Служба безопасности Binance заметила аномалию: устройство сотрудника заменили, а все связанные учетные данные сменили. Однако к этому моменту хакеры уже успели выяснить роли инженера и его коллег по команде — эти сведения помогли начать настоящую атаку.
В сентябре злоумышленники воспользовались украденными данными о сотрудниках и вышли на другого инженера Binance через платформу для поиска работы. Представившись руководителями вымышленной компании, они организовали двухэтапное собеседование. На первом этапе фальшивый HR‑специалист провел с сотрудником биржи видеовстречу и даже поделился личным аккаунтом в соцсети, с фото и видео. На втором этапе, уже через личную переписку в неназванном мессенджере, инженеру поручили скачать «тестовое задание». На деле это был репозиторий с вредоносным кодом. Как сотрудник смог скачать вирус на рабочий компьютер и почему тот не был защищен, биржа объяснить не смогла.
После установки вредоносная программа незаметно вторглась в некий инструмент для программной разработки и установила связь с сервером злоумышленников, применив неназванную специальную технологию, из-за которой системы защиты не смогли обнаружить угрозу, объяснили в Binance.
20 октября хакеры, действуя со скомпрометированного компьютера, получили доступ к устройствам еще двух сотрудников, в том числе инженера из команды, работающей с инфраструктурой кошельков. Злоумышленники нашли на его компьютере токен, дающий право разворачивать программные контейнеры. В ночь атаки хакеры подключились к компьютеру третьего инженера, использовали украденные учетные данные, развернули свой несанкционированный контейнер и запустили скрипт, позволивший провести транзакции по выводу средств.
Вскоре после взлома в соцсетях разошлась версия, согласно которой инженер Binance состоял в тайных отношениях с девушкой‑хакером из КНДР, и именно через эту связь злоумышленники получили доступ к системам компании. По версии анонима в соцсети Х с ником doomerfied, работник Binance познакомился с девушкой онлайн, завязалась переписка, а позже — романтические отношения. Со временем девушка начала мягко вытягивать из него рабочие детали: как устроены процессы, какие инструменты используют сотрудники, как проходят согласования. Она делала это не напрямую, а через бытовые вопросы, чтобы не вызывать подозрений. Девушка-шпионка попросила влюбленного инженера установить «полезную утилиту» или скачать файл «для общего проекта» — и так на рабочем устройстве сотрудника оказался вредоносный код, рассказывал со знанием дела аноним.
Атака на биржу произошла в ночь с 29 на 30 октября. Федеральное бюро расследований США возложило ответственность за инцидент на хакеров из КНДР.
