Binance-varkaus alkoi valetyöhaastattelusta – koodikoe toi haittaohjelman insinöörin koneelle
Binancen oma selvitys kuvaa kuukausia kestäneen ketjun, jossa hyökkääjä eteni insinööriltä toiselle kesäkuusta lokakuuhun.
Tiivistelmä
Binancen 3.11. julkaisema selvitys kertoo, että lokakuun kryptovarkaus eteni kuukausien ajan peukaloidusta työkalupaketista valetyöhaastatteluun ja sisäisen tekoälytyökalun väärinkäyttöön. Haastattelussa annettu koodikoe asensi insinöörin koneelle haittaohjelman. Tapaus on muistutus siitä, että työtarjous voi olla hyökkäyksen väline.
Työnhakupalvelussa yhteyttä ottanut "projektijohtaja" ja hänen antamansa koodikoe olivat yksi lenkki ketjussa, joka päättyi lokakuun lopussa noin 6,34 miljardin dollarin kryptovarkauteen Binancelta.
Pörssi julkaisi tiistaina ensimmäisen selvityksensä varkaudesta. Binance kuvaa raportissaan hyökkäystä hienostuneeksi, monivaiheiseksi kampanjaksi eikä yksittäiseksi tietomurroksi tai tavalliseksi kalastelutapaukseksi.
– Näin ei olisi pitänyt tapahtua, ja pahoittelemme, raportissa todetaan.
Ensin peukaloitu työkalu
Binancen raportin mukaan ensimmäinen vaihe ajoittuu kesäkuuhun. Binance Walletin DevOps-insinööri etsi verkosta suosittua tekoälyavusteista koodaustyökalua ja asensi peukaloidun Homebrew-ohjelmistopaketin.
Binance havaitsi tartunnan, vaihtoi laitteen ja uusi tunnukset. Tiedot insinöörin tehtävistä ja hänen kollegoistaan olivat kuitenkin jo vuotaneet.
Raportti ei nimeä työkalua eikä hakukonetta, jonka kautta paketti löytyi.
Haastattelu olemattomaan yhtiöön
Syyskuussa vuorossa oli insinööri, jota raportissa kutsutaan B:ksi ja joka etsi tuolloin uutta työpaikkaa.
Häntä lähestyi aidossa työnhakupalvelussa tekaistu projektijohtaja. B kävi kaksi haastattelua, ensin valehenkilöstöpäällikön kanssa ja sitten pikaviestisovelluksessa sellaisen yhtiön "toimitusjohtajan" kanssa, jota ei ole olemassa.
Lopuksi B:tä pyydettiin lataamaan "tehtävä", joka oli koodivarasto. Sen mukana tullut haittaohjelma korvasi erään kehitystyökalun osan, eikä Binancen päätelaitesuojaus havainnut sitä.
Lokakuun 20. päivänä hyökkääjä käytti B:n konetta ja väärinkäytti Binancen sisäistä tekoälytyökalua tavoittaakseen insinöörit A ja C. A:n tietokoneella oli tunniste, joka antoi oikeuden ottaa palvelinkontteja käyttöön.
Varkaus alkoi torstaina 29. lokakuuta noin kello 20.05 UTC-aikaa. Tunnisteella otettiin käyttöön kontti, jossa ajettu haitallinen skripti tyhjensi lompakon Ethereum-verkon EIP-7702-valtuutuksia hyödyntäen.
Aiemmin julkisuudessa puhuttiin yhden kehittäjän kannettavasta, mutta selvityksen perusteella ketjussa oli mukana ainakin neljän eri insinöörin laitteet, jotka hyökkääjä valtasi vaihe kerrallaan kesäkuun ja lokakuun välillä.
– Kyse ei ollut yhdestä virheestä tai yhdestä murrosta, vaan kuukausia kestäneestä kampanjasta, kirjoitti Richard Teng, Binancen toimitusjohtaja, X:ssä.
Tekoälyä ei murrettu
Osa otsikoista on väittänyt, että Binancen tekoäly hakkeroitiin. Niin ei käynyt.
Hyökkääjä käytti sisäistä työkalua B:n kaapatuilla käyttöoikeuksilla. Tekoälymallissa ei ollut haavoittuvuutta, eikä hyökkäyksessä manipuloitu kehotteita (prompt injection).
Rahat ja tekijä
Binance kertoo nyt korvanneensa 98 prosenttia varkauden kohteena olleista varoista, kun Huijausvahdin 2.11. julkaisemassa jutussa luku oli vielä noin 90 prosenttia.
Pörssi kertoo, että varoja on jäädytetty tai pysäytetty noin 2,85 miljardin dollarin edestä.
FBI nimesi jo 31. lokakuuta tekijäksi Pohjois-Korean TraderTraitor-ryhmän, joka tunnetaan myös Lazarus-nimellä, kertoivat NBC News ja Reuters.
Valetyöhaastattelu (Contagious Interview)
Pohjoiskorealaiset hakkerit esiintyvät rekrytoijina ja antavat kehittäjälle ajettavaksi "koodikokeen" tai koodivaraston, joka asentaa haittaohjelman. BleepingComputer kertoi, että 18.9.2026 julkaistu yhteisvaroitus yhdisti kampanjan yli 30 000 saastuneeseen laitteeseen. Binance ei ole itse nimennyt tätä kampanjaa, mutta sen kuvaama ketju muistuttaa tunnettua menetelmää.
Tunnistusmerkit
- Rekrytoija ottaa yhteyttä itse ja siirtää keskustelun pikaviestisovellukseen.
- Yhtiöstä tai sen johdosta ei löydy tietoja muualta kuin rekrytoijan antamista linkeistä.
- Haastatteluun kuuluu tehtävä, joka pitää ladata ja ajaa omalla koneella.
- Työkalun asennuspaketti löytyy hakutuloksesta eikä valmistajan omilta sivuilta.
Mitä tehdä
Huijausvahti ei löytänyt Kyberturvallisuuskeskukselta varoitusta valerekrytoijista tai koodikokeista. Huijausvahti ei löytänyt tietoja myöskään Suomessa liikkuneista Binance-aiheisista palautushuijausviesteistä.
- Älä aja rekrytoijan lähettämää tehtävää tai koodivarastoa työkoneella äläkä koneella, jolla on kryptovaroja tai tunnuksia. Käytä erillistä, kertakäyttöistä ympäristöä.
- Varmista yhtiön ja rekrytoijan olemassaolo muuta kautta kuin sitä, jota pitkin he ottivat yhteyttä.
- Asenna kehitys- ja tekoälytyökalut vain niiden virallisilta sivuilta.
- Binance kertoo, että sen korvaukset tehdään automaattisesti. Viesti, jossa pyydetään "vahvistamaan" tai "lunastamaan" palautus, on huijaus. Ilmoita siitä osoitteessa ilmoita.kyberturvallisuuskeskus.fi.
Lähteet
- Binance (X): 29 October Binance Security Incident: Initial Findings and Response Update (03.11.2026)
- The Block (03.11.2026)
- Security Affairs (03.11.2026)
- NBC News / Reuters (03.11.2026)
- BleepingComputer (18.09.2026)