Što se prema Binanceu dogodilo?
Burza Binance u svom sigurnosnom izvješću od 3. studenoga navela je da je tijekom 2026. zaustavila 57 sumnjivih kibernetičkih prijetnji povezanih sa Sjevernom Korejom (DPRK). Istodobno je ipak priznala da je jedan od njezinih inženjera podlegao prijevarnom scenariju zapošljavanja.
Prema izvješću, napadači su upotrijebili kombinaciju lažnog razgovora za posao, izmišljenih identiteta i zlonamjernog softvera kako bi došli do sustava koji su bili uključeni u krađu kriptovaluta u vrijednosti od oko 6,3 milijarde dolara (CryptoSlate navodi precizniju brojku od 6,34 milijarde). To tvrdi interna istraga koju je Binance opisao u objavljenom izvješću o incidentu.
Kako je napad prema izvorima tekao?
Načelo je staro, izvedba nova. Umjesto izravnog proboja u infrastrukturu, počinitelji su napali čovjeka.
- Lažno zapošljavanje. Prema CryptoSlateu, napadači su smislili razgovor za posao s lažnim identitetom i tijekom procesa podmetnuli žrtvi zlonamjerni softver.
- Kompromitirana računala i ukradeni podaci za prijavu. Cointelegraph, pozivajući se na istragu Binancea, opisuje da su hakeri zlorabili napadnuta računala zaposlenika i ukradene podatke za prijavu kako bi se probili u infrastrukturu novčanika.
- Interni AI alat. The Block navodi da su napadači pri dobivanju pristupa iskoristili i interni AI alat burze.
Tvrtka Chainalysis uz to dodaje kontekst: prema njihovoj analizi nije se radilo o prvom pokušaju. Sjevernokorejski akteri navodno su svoj scenarij s lažnim zaposlenjem usavršili u desecima napada još prije nego što su došli do Binancea.
Zašto je socijalni inženjering opasniji od tehničke rupe?
Socijalni inženjering (manipulacija čovjekom umjesto napada na kod) zaobilazi i dobro osiguranu infrastrukturu, jer napadač ne traži pogrešku u sustavu, nego u navikama ljudi. Lažni razgovor za posao idealna je ulazna točka: kandidat očekuje da će pokretati datoteke, instalirati testne alate ili dijeliti ekran. Upravo to napadač iskoristi.
Paradoks ovog slučaja je očit. Binance je prema vlastitom izvješću uhvatio 57 prijetnji, no propust je došao preko jednog čovjeka i jednog procesa zapošljavanja. To je podsjetnik da je kod velikih burza najslabija karika često zaposlenik, a ne server.
Što zasad ne znamo?
Objavljeni izvori ne opisuju niz detalja koji bi bili ključni za cjelovitu sliku:
- Koliko je od iznosa od oko 6,3 milijarde dolara eventualno zamrznuto, blokirano ili vraćeno, izvori ne navode.
- Točan identitet napadnutog inženjera ni uloga koju je imao nisu objavljeni.
- O kojem se konkretnom internom AI alatu radilo i kako je točno zlorabljen, The Block pobliže ne specificira.
- Jesu li i kako pojedini počinitelji kažnjeni ili identificirani, iz dostupnih izvora ne proizlazi.
Pripisivanje napada Sjevernoj Koreji temelji se na tvrdnji Binancea i analizi Chainalysisa. charliedesk ovu atribuciju reproducira kao tvrdnju tih subjekata, a ne kao neovisno provjerenu činjenicu.
Što kod ovog tipa incidenta pratiti dalje?
Korisno je pratiti tri stvari: hoće li Binance objaviti podrobniju tehničku analizu, hoće li on-chain analitičari (primjerice Chainalysis) ući u trag kretanju otuđenih sredstava, te hoće li se isti scenarij zapošljavanja pojaviti kod drugih tvrtki. Ponavljanje istog obrasca najjači je signal da se nije radilo o izoliranom incidentu, nego o sustavnoj kampanji.