Binance, 6,3 miliardi rubati con un finto colloquio di lavoro

Binance ha spiegato come i nordcoreani sono riusciti a portarle via 6,3 miliardi di dollari in criptovalute, il furto più grande mai registrato nel settore. Non c’è stato nessun exploit esotico contro i server: è bastato un finto colloquio di lavoro. La ricostruzione arriva da una dichiarazione aggiornata pubblicata dall’azienda su X, dopo i giorni in cui si parlava solo della sospensione dei prelievi.

Il bersaglio era un ingegnere che lavorava sui wallet. I ladri si sono presentati come un’azienda che assume, con profili social credibili. Due colloqui, poi il classico compito di programmazione da scaricare e aprire. Dentro c’era il malware. Gli strumenti di sicurezza di Binance non hanno rilevato niente. È il dettaglio più scomodo della vicenda, perché sposta il problema dall’ingenuità di una persona all’architettura che si fida del suo portatile.

Due colloqui e un compito di programmazione avvelenato

La sequenza raccontata da Binance è quella di un attacco preparato con calma. I nordcoreani hanno creato profili social falsi, si sono costruiti una copertura da reclutatori e hanno contattato un ingegnere del team wallet.

La vittima ha sostenuto due colloqui con la presunta azienda. Alla fine le è stato chiesto di scaricare un compito di programmazione, la prova tecnica che molte aziende tech mandano davvero. Aperto il file, il portatile aziendale era compromesso.

Dal primo portatile ai sistemi che muovono miliardi

Quel punto d’appoggio ha aperto ai ladri uno strumento interno capace di prendere il controllo dei computer di lavoro di altri due ingegneri del team wallet. Uno dei due aveva scaricato mesi prima un’app manomessa, trovata nei risultati di un motore di ricerca, con dentro un ladro di password.

Binance ha sostituito il portatile compromesso. Non è bastato: le credenziali rubate sono servite a entrare nel computer di un terzo ingegnere, quello con accesso ai sistemi capaci di muovere miliardi di dollari in cripto. Da lì il furto.

Binance: non sarebbe dovuto succedere

L’azienda ammette che l’attacco non sarebbe dovuto accadere e dice di aver rinforzato la rete. Ha annunciato esperti esterni per la revisione e nuove misure per evitare il bis.

Sul resto il silenzio: un portavoce ha rimandato alla dichiarazione pubblica, senza rispondere alle domande su come Binance impedisca l’esecuzione di codice non autorizzato sui portatili dei dipendenti e se qualcuno avesse fatto audit prima del furto. Secondo l’azienda gli attacchi nordcoreani sospetti sono stati 57.

Perché la truffa del finto recruiter riguarda tutti

Il copione non è nuovo. Da anni i gruppi legati al regime nordcoreano si fingono venture capitalist, investitori e reclutatori, usando dossier di identità americane rubate per guadagnarsi la fiducia. L’FBI e gli investigatori blockchain attribuiscono a Pyongyang il colpo da 6,3 miliardi.

La scala è il punto: circa metà delle intrusioni nelle aziende tech statunitensi dell’anno scorso sarebbe opera di nordcoreani presentatisi come lavoratori IT remoti o finti recruiter. Lo stesso schema arriva per email a chi cerca lavoro, con un allegato al posto del compito.

Chi scarica app da risultati di ricerca rischia la stessa fine del secondo ingegnere. Un’app con dentro un ladro di password non fa rumore e non manda avvisi: lavora mentre il telefono sembra normale. Sul tema abbiamo raccolto anche il caso delle estensioni Chrome che dirottavano le ricerche per 13,4 milioni di installazioni.

Domande frequenti sul furto di Binance

Quanto hanno rubato i nordcoreani a Binance?

6,3 miliardi di dollari in criptovalute, secondo la ricostruzione dell’azienda. È il furto più grande mai registrato nel settore.

Chi ha fatto l’attacco?

L’FBI e gli investigatori blockchain attribuiscono il colpo alla Corea del Nord, che da anni usa i furti di cripto per finanziare il programma nucleare.

Come hanno convinto l’ingegnere a scaricare il malware?

Con un finto processo di selezione: profili social falsi, due colloqui e una prova di programmazione da scaricare. Il file conteneva codice malevolo che i sistemi di Binance non hanno rilevato.

I prelievi su Binance sono ancora bloccati?

Sono stati sospesi su tutta la rete dopo il furto. Binance non ha indicato una data per la riapertura e ha parlato solo di rete rinforzata.

Cosa faccio se ricevo un test tecnico da un recruiter?

Non aprirlo sul computer di lavoro. Controlla il dominio del mittente, chiedi che il file arrivi da un indirizzo aziendale verificabile e usa una macchina virtuale o un dispositivo separato. Attiva anche la verifica in due passaggi con un secondo fattore che non stia sullo stesso portatile.