W październiku 2026 roku północnokoreańscy hakerzy okradli największą giełdę kryptowalut – Binance. Przepadło 6,34 miliarda dolarów. Jak wykazało śledztwo, złodzieje wykorzystali do kradzieży m.in. fałszywą rozmowę o pracę. Jednak główną robotę wykonała za nich sztuczna inteligencja, która włamała się do cyfrowego skarbca giełdy. Choć śledztwo wciąż trwa, dzięki opublikowanemu przez firmę szczegółowemu raportowi możemy odtworzyć, co się stało i jaki udział miała w tym AI.
Akt I: Szukanie naiwniaka
Czerwiec. Zaczęło się od zwykłego lenistwa. Programista firmy odpowiedzialny za bezpieczeństwo portfeli kryptowalutowych zaczął szukać w sieci narzędzi AI, które ułatwiłyby mu codzienną, nudną pracę przy pisaniu kodów programu. Nie wiedział, że przestępcy czekali na ten krok. Wcześniej podrzucili do internetu własną, zainfekowaną wersję programu Homebrew. To darmowy program dla programistów, który działa jak sklep z aplikacjami. Nie ma on oprawy graficznej. Obsługuje się go, wpisując tekstowe komendy. Nie ma przycisków „Pobierz”, „Dalej” itp. Programista wpisuje w konsoli jedną krótką komendę (np. brew install [nazwa_programu]), a Homebrew sam wszystko znajduje, pobiera i bezpiecznie instaluje w komputerze. To właśnie ta wiedza ułatwiła kradzież.
Pracownik pobrał zainfekowany program na swój komputer, a systemy obronne giełdy „niemal natychmiast” wykryły infekcję i odcięły intruza. Wymieniono też komputer na inny. Znaczenie ma jednak określenie „niemal natychmiast”. Hakerzy zdążyli w tym krótkim czasie poznać tożsamość pracownika, dowiedzieli się, za co dokładnie odpowiada w firmie i z kim współpracuje. To pozwoliło im zaplanować kolejny krok.
Akt II: Dbaj o pracownika swego!
We wrześniu hakerzy wzięli na celownik kolejnego inżyniera z Binance. Na prawdziwym, istniejącym do dziś portalu z ofertami pracy podszyli się pod rekruterów z nieistniejącej, luksusowej firmy i zaprosili go do udziału w procedurze rekrutacyjnej. Przestępcy zorganizowali całą serię profesjonalnych rozmów kwalifikacyjnych online, w których podstawieni aktorzy udawali pracowników z działu kadr, a jeden z nich – dyrektora generalnego. Ich fałszywe profile w mediach społecznościowych, zdjęcia, a nawet zmanipulowane nagrania wideo uśpiły czujność ofiary. „Zatrudniony” przez oszustów inżynier nie był osobą przypadkową – hakerzy szukali kogoś, kto pracuje w Binance i chce zmienić pracę. W końcu znaleźli. Zachwycony wysokimi stawkami za oferowaną pracę inżynier zgodził się wykonać „zadanie rekrutacyjne” i pobrał na swój służbowy komputer plik testowy. W rzeczywistości był to niewykrywalny dla antywirusów trojan, którego zadaniem było przejęcie kontroli nad komputerem rekruta. Gdy to się stało, drzwi do wnętrza firmy Binance stanęły dla przestępców otworem.
Akt III: AI, czyli pracownik, którego nie było
Październik. Gdy hakerzy przejęli już komputer wewnątrz Binance, mieli dostęp niemal do wszystkich ważnych plików. Problem w tym, że takich są miliony. Zamiast więc błądzić po systemach firmy, zatrudnili do współpracy wewnętrznego asystenta AI. Ten znał wszystkie jej cyfrowe zakamarki. Sztuczna inteligencja nie rozpoznała, że ma do czynienia z intruzami zamiast pracownikiem firmy, przeanalizowała sieć i zdobyła dane kont dwóch kolejnych inżynierów. Co najważniejsze, działanie asystenta AI pomogło wskazać przestępcom urządzenie zawierające najważniejszy klucz do systemu (tzw. token wdrożeniowy). Z jego pomocą napastnicy wdrożyli tzw. kontener i uruchomili złośliwy skrypt, uzyskując dostęp do wewnętrznej usługi podpisywania transakcji. W uproszczeniu: system zobaczył nowe, niewidzialne z na zewnątrz stanowisko pracy. Nowy, nieistniejący pracownik uruchomił wtedy program dający włamywaczom pełną władzę nad usługą zatwierdzającą przelewy. Czyli klucz do sejfu z miliardami dolarów.
Akt IV: Wielki skok
Dokładnie 29 października złodzieje przystąpili do ataku. W ciągu zaledwie pierwszych czterech minut z cyfrowych portfeli Binance wyparowało ponad 233 miliony tokenów XRP (to kryptowaluta, czyli cyfrowe pieniądze). Zaraz po nich zniknęły kolejne kryptowaluty z sejfu giełdy. Binance natychmiast zorientowała się, że traci środki, i zablokowała wypłaty. A jednak strumień uciekających pieniędzy nie ustał. Dlaczego? Hakerzy wykorzystali tzw. mechanizm EIP-7702, który pozwolił im przekazać swojemu kontraktowi część uprawnień do gorącego portfela Binance. Dzięki temu mogli nadal realizować transfery, nawet po zablokowaniu wypłat. W ten sposób przechytrzyli wirtualną ochronę giełdy. Dopiero po prawie czterech godzinach dramatycznej walki, podczas której musiano ręcznie odebrać hakerom uprawnienia, giełdzie udało się zakręcić kurek, z którego wyciekały pieniądze.
Tego dnia hakerzy „wynieśli” z Binance kryptowaluty o wartości około 6,34 mld dolarów.
Akt V: Konsekwencje i śledztwo
Gigantyczny cios wywołał natychmiastową panikę. Rynek kryptowalut mocno zanurkował – Bitcoin tąpnął o 3 proc., osiągając najniższy poziom od sześciu tygodni. Spadły również notowania akcji konkurencyjnej, publicznie notowanej giełdy Coinbase – o 4,8 proc. na amerykańskiej giełdzie. Spanikowani klienci w kolejnych dniach wypłacili dodatkowe dziesiątki miliardów dolarów. Inni zaczęli przenosić środki do konkurencyjnych giełd lub prywatnych portfeli. Zyski firmy drastycznie spadły z dnia na dzień. Przed upadkiem uratowały ją zgromadzone wcześniej ogromne rezerwy finansowe.
Do akcji wkroczyło FBI i Secret Service (USSS).
Agencje oficjalnie powiązały atak z elitarną północnokoreańską grupą hakerską TraderTraitor, działającą na zlecenie rządu Korei Północnej. Jak ją zidentyfikowano? Analizując m.in. charakterystyczny styl pisania kodu, adresy serwerów oraz stosowane metody socjotechniczne.
Już 1 listopada FBI ujawniło, że hakerzy za pomocą zautomatyzowanych algorytmów masowo wymieniają skradziony łup na inną kryptowalutę Ethereum (ETH). Służby rozesłały więc do wszystkich światowych giełd jawną listę adresów hakerów i wezwały do natychmiastowego blokowania każdej transakcji pochodzącej z tych źródeł.
W ten sposób udało się zabezpieczyć blisko 45 proc. skradzionej z Binance kwoty. Północnokoreańscy hakerzy, ponownie wykorzystując AI, zautomatyzowali jednak proces i agresywnie wymieniali zablokowane coiny na ether (ETH). Dlatego pozostałej sumy, wynoszącej około 3,5 mld dolarów, do tej pory nie udało się odzyskać.
Pjongjang kategorycznie odrzucił oskarżenia. Kim Yo Jong, siostra Kim Dzong Una, nazwała doniesienia kolejną „nikczemną” próbą ze strony USA, mającą na celu zaszkodzenie wizerunkowi jej kraju. Giełda Binance w pełni pokryła gigantyczne straty z własnych rezerw.
Epilog?
Atak na Binance to nowy, hybrydowy scenariusz kryminalny, który dziś stał się gotowym podręcznikiem dla przestępców na całym świecie. Po raz pierwszy na tak gigantyczną skalę można było obserwować cyfrową wojnę algorytmów w czasie rzeczywistym. Algorytmy hakerów zmanipulowały i przejęły wewnętrzną AI giełdy Binance, a autonomiczne systemy obronne (napędzane przez AI) w niecałe dwie minuty wykryły anomalię, na co przestępczy kod sterowany przez AI błyskawicznie zareagował, w ułamku sekundy zmieniając strategię, tasując i rozbijając pozostałe środki na tysiące adresów. Człowiek nigdy nie będzie w stanie tak zainterweniować.
Przypadek ten pokazał tradycyjnym kartelom i grupom mafijnym, że inwestycja w automatyczne algorytmy może pozwolić na bezkarne wyprowadzanie fortun zgromadzonych w kryptowalutach. Jednocześnie obnażył bezsilność prawa i prokuratury wobec tego rodzaju przestępczości. A mówiąc szerzej – bezsilność człowieka wobec potęgi AI.
Przeczytajcie też: Cyberzagrożenie nowej ery. NCSC ostrzega: AI przyspiesza ataki
.5042037947778868704.jpg/jcr:content/Krzysztof%20Sobczak.jpg)
