En fejkad jobbintervju hjälpte hackare att stjäla 6,3 miljarder USD från Binance. Hackarna tillbringade flera månader med att infiltrera företaget och använde metoder som andra kryptoföretag varnade för redan innan attacken.
Den 3 november meddelade Binance att attacken den 29 oktober startade med två ingenjörer vars datorer angriparna hade komprometterat var för sig.
Det första angreppet skedde i juni när en ingenjör laddade ner ett manipulerat mjukvarupaket när hen letade efter ett AI-verktyg.
Binance upptäckte infektionen, bytte ut datorn och ändrade inloggningsuppgifter. Men hackarna hade redan fått information om den anställda och plånboksteamet.
Därefter kom fejkintervjuerna.
Fejkjobb kostade Binance över 6 miljarder USD
I september kontaktade någon en annan ingenjör via en seriös rekryteringsplattform. Den påhittade arbetsgivaren ordnade videointervjuer med en HR-representant och en som låtsades vara vd.
Till slut fick ingenjören ett kodningsuppdrag. Filen hen laddade ner innehöll skadlig kod som tog sig förbi datorns säkerhetsprogram.
Senast den 20 oktober hade angriparna använt den infekterade datorn och ett internt AI-verktyg för att nå fler ingenjörer på Binance.
Därefter stal de inloggningsuppgifter till driftsystemen och använde dem för att lägga in skadlig kod i Binance plånboksinfrastruktur.
Den 29 oktober började bedrägliga uttag. På några timmar stals runt 6,3 miljarder USD.
Binance säger att cirka 2,85 miljarder USD har frysts och att de har fyllt på 98 % av de drabbade tillgångarna med företagets egna pengar.
Andra börser hade redan varnat för dessa attacker
Rekryteringstricket var redan välkänt.
I maj 2025 avslöjade Kraken en misstänkt nordkoreansk operatör som försökte ta sig in i deras ingenjörsteam.
Coinbase berättade om ännu ett misstänkt infiltreringsförsök i augusti 2026 och förklarade hur ovanlig aktivitet hjälpte dem att upptäcka en misstänkt komprometterad konsult.
Ännu tydligare varnade Microsoft i mars för nordkoreanska hackare som använde fejkintervjuer med kodare för att infektera deras datorer med skadlig kod.
Varför stoppade inte Binance attacken?
Tre säkerhetsfrågor behöver nu svar.
För det första, varför fick en anställd köra ett okänt kodningsuppdrag på en dator som var kopplad till företagets system?
För det andra, varför fick juni-attacken fortsätta få betydelse även efter att Binance upptäckte och hanterade den?
För det tredje, hur kunde stulna inloggningsuppgifter till driftsystemen till slut ge angriparna åtkomst till system som godkänner uttag på miljarder USD?
Binance har inte förklarat vilka skyddsåtgärder som brast eller om varningarna inom branschen ledde till fler säkerhetsinsatser.
FBI säger att den nordkoreanska gruppen TraderTraitor låg bakom stölden.
För Binance är den viktigaste frågan hur ett känt rekryteringsbedrägeri till slut nådde skyddet för kundernas miljarder i tillgångar.
