Μια ψεύτικη συνέντευξη και η ληστεία των $6,34 δισ. στη Binance
Πόσο μακριά μπορεί να φτάσει μια ψεύτικη προσφορά εργασίας όταν ο υποψήφιος δουλεύει στα πορτοφόλια ενός ανταλλακτηρίου;
Στις 29 Οκτωβρίου 2026, επιτιθέμενοι μετέφεραν περίπου 6,34 δισ. δολάρια σε ψηφιακά περιουσιακά στοιχεία από τη Binance, στη μεγαλύτερη καταγεγραμμένη κλοπή κρυπτονομισμάτων. Μια ψεύτικη συνέντευξη εργασίας άνοιξε σημαντική δίοδο, αλλά η αρχική τεχνική περιγραφή του ανταλλακτηρίου δείχνει επιχείρηση μηνών, με παραβιασμένους υπολογιστές και πρόσβαση στην υπηρεσία υπογραφής συναλλαγών. Μέχρι τις 4 Νοεμβρίου, δεν είχε δημοσιευτεί ανεξάρτητο τελικό πόρισμα.
Πώς στήθηκε η ψεύτικη συνέντευξη εργασίας;
Η παγίδα χτίστηκε γύρω από μια επαγγελματική διαδικασία που έμοιαζε κανονική, όχι γύρω από ένα προφανώς ύποπτο μήνυμα. Κάποιος που παρουσιαζόταν ως διευθυντής project προσέγγισε μηχανικό λογισμικού της Binance μέσω νόμιμης πλατφόρμας αναζήτησης εργασίας. Το προφίλ του υποψηφίου ανέφερε την εμπειρία του στο ανταλλακτήριο.
Ακολούθησε ζωντανή βιντεοσυνέντευξη με υποτιθέμενη εκπρόσωπο ανθρώπινου δυναμικού. Εκείνη μοιράστηκε λογαριασμό κοινωνικού δικτύου με προσωπικές φωτογραφίες και βίντεο, προφανώς για να ενισχύσει την αξιοπιστία της. Στη δεύτερη συνέντευξη, μέσω εφαρμογής συνομιλιών, εμφανίστηκε ο δήθεν διευθύνων σύμβουλος της πλασματικής εταιρείας.
Στο τέλος ήρθε το τεχνικό τεστ: μια προγραμματιστική άσκηση από διαδικτυακό αποθετήριο κώδικα. Ο εργαζόμενος την κατέβασε στον εταιρικό υπολογιστή. Κατά τη ρύθμιση εκτελέστηκε κώδικας που, όπως περιγράφει η Binance, εγκατέστησε προηγουμένως άγνωστο κακόβουλο λογισμικό και απέφυγε τα εργαλεία προστασίας της συσκευής.
Το λογισμικό αντικατέστησε μέρος νόμιμου εργαλείου ανάπτυξης, επιτρέποντας εντολές από διακομιστή των δραστών. Δεν ζητούσαν τον κωδικό ενός πορτοφολιού. Είχαν βάλει πόδι σε υπολογιστή μέσα στην εταιρεία.
Το χρονολόγιο από την πρώτη μόλυνση μέχρι την κλοπή
Η ψεύτικη συνέντευξη ήταν ενδιάμεσο στάδιο μιας επιχείρησης που, κατά τη Binance, είχε αρχίσει τουλάχιστον από τον Ιούνιο. Οι τρεις εμπλεκόμενοι μηχανικοί αναφέρονται ως Α, Β και Γ· τα ονόματά τους δεν έχουν δημοσιοποιηθεί.
- Ιούνιος 2026 Ο μηχανικός Α, μέλος της ομάδας υποδομών πορτοφολιών, κατέβασε παραποιημένη εγκατάσταση του Homebrew, εργαλείου διαχείρισης πακέτων λογισμικού. Η Binance εντόπισε την ανωμαλία, αντικατέστησε τη συσκευή και άλλαξε σχετικά διαπιστευτήρια, αλλά εκτιμά ότι είχαν ήδη αποκαλυφθεί ο ρόλος και οι συνάδελφοί του.
- Σεπτέμβριος 2026 Ο μηχανικός Β πέρασε τις εικονικές συνεντεύξεις και κατέβασε τη μολυσμένη προγραμματιστική άσκηση στον υπολογιστή εργασίας του.
- 20 Οκτωβρίου 2026 Από τον υπολογιστή του Β και μέσω εσωτερικού εργαλείου, οι επιτιθέμενοι φέρονται να απέκτησαν έλεγχο στους υπολογιστές των Α και Γ. Στη συσκευή του Α εντόπισαν ψηφιακό διαπιστευτήριο που επέτρεπε εγκατάσταση περιέκτη λογισμικού, δηλαδή ενός απομονωμένου περιβάλλοντος εκτέλεσης εφαρμογών.
- 29–30 Οκτωβρίου 2026 Οι δράστες χρησιμοποίησαν τον υπολογιστή του Γ και διαπιστευτήρια του Α για να εκτελέσουν κακόβουλο πρόγραμμα. Η τελευταία μη εξουσιοδοτημένη μεταφορά οριστικοποιήθηκε στις 23:56 UTC και η κακόβουλη εξουσιοδότηση στο Ethereum αφαιρέθηκε στις 00:10 UTC της 30ής Οκτωβρίου.
- 31 Οκτωβρίου–1 Νοεμβρίου 2026 Το FBI απέδωσε δημόσια την επίθεση στη Βόρεια Κορέα. Οι αναλήψεις επανήλθαν σταδιακά και μέχρι αργά την 1η Νοεμβρίου η Binance ανέφερε αναλήψεις περίπου 4,65 δισ. δολαρίων και καταθέσεις 1,01 δισ.
- 3 Νοεμβρίου 2026 Η Binance δημοσίευσε τα αρχικά ευρήματα, ανακοίνωσε αντικατάσταση ή ανακατασκευή επηρεασμένων συστημάτων και συνεργασία με ανεξάρτητες εταιρείες ασφαλείας για έλεγχο.
Για το περιστατικό του Ιουνίου, πηγή με γνώση της υπόθεσης ανέφερε στο Reuters ότι η κακόβουλη εγκατάσταση είχε τοποθετηθεί σε διαφήμιση αναζήτησης, πάνω από τη νόμιμη έκδοση. Ο ακριβής μηχανισμός μετακίνησης μεταξύ των υπολογιστών παραμένει ανεπαρκώς εξηγημένος στη δημόσια περιγραφή.
Γιατί το πάγωμα αναλήψεων δεν σταμάτησε αμέσως την επίθεση;
Η αναστολή αναλήψεων δεν ακύρωνε τις εξουσιοδοτήσεις που είχαν ήδη δημιουργηθεί στο blockchain. Αυτή η διαφορά εξηγεί γιατί το κλείσιμο της κανονικής εξόδου πελατών δεν αρκούσε.
Οι δράστες απέκτησαν μη εξουσιοδοτημένη πρόσβαση σε εσωτερική υπηρεσία υπογραφής συναλλαγών. Στις 20:05–20:09 UTC της 29ης Οκτωβρίου, πέντε συνδεδεμένα στο διαδίκτυο πορτοφόλια, τα λεγόμενα hot wallets, έστειλαν 233,46 εκατ. XRP σε διεύθυνση των επιτιθέμενων. Άλλες μεταφορές περιλάμβαναν περίπου 970.500 SOL, 44,2 εκατ. OP και 18.270 bitcoin. Εσωτερική ειδοποίηση μεγάλων μεταφορών ενεργοποίησε την έρευνα.
Στο Ethereum αξιοποιήθηκε ο μηχανισμός εξουσιοδότησης EIP-7702, ώστε έξυπνο συμβόλαιο των δραστών να αποκτήσει μερικά δικαιώματα εκτέλεσης πάνω σε πορτοφόλι της Binance. Η εταιρεία αναφέρει 50 συναλλαγές υπογραφής για χειραγώγηση της ακολουθίας συναλλαγών και εγκατάσταση κακόβουλων εξουσιοδοτήσεων.
Σκεφτείτε μια επιχείρηση που κλείνει το ταμείο, αλλά κάποιος έχει ήδη εξουσιοδότηση πληρωμής αλλού. Το κλείσιμο του ταμείου δεν ανακαλεί την εξουσιοδότηση.
Το πορτοφόλι χρησιμοποιούσε πολυμερή υπολογισμό (multi-party computation), ώστε να μη φυλάσσεται ένα ενιαίο ιδιωτικό κλειδί σε ένα σημείο. Η Binance λέει ότι αυτό περιέπλεξε την άμεση ανάκληση. Η τελευταία μεταφορά, 2.961,9 ETH, είχε μεταδοθεί νωρίτερα και παρέμενε εκκρεμής μέχρι την οριστικοποίησή της.
Πόσα χρήματα δεσμεύτηκαν και ποιος καλύπτει τη ζημιά;
Η Binance ανέφερε περίπου 2,85 δισ. δολάρια δεσμευμένα ή αναχαιτισμένα στις 3 Νοεμβρίου, αλλά αυτό δεν σημαίνει ότι είχαν επιστραφεί. Προηγούμενη ενημέρωση μιλούσε στρογγυλοποιημένα για 3 δισ., ενώ οι αποτιμήσεις υπόκεινται σε συμφωνία στοιχείων και μεταβολές τιμών.
Ο επικεφαλής της Tether, Paolo Ardoino, δήλωσε ότι η εταιρεία πάγωσε περισσότερα από 1,5 δισ. δολάρια συνδεδεμένα με το περιστατικό. Εκδότες stablecoins, δηλαδή token που επιδιώκουν σταθερή αξία έναντι κάποιου στοιχείου αναφοράς, μπορούν να διαθέτουν τέτοιες δυνατότητες. Το Bitcoin δεν έχει αντίστοιχο κεντρικό εκδότη που απλώς παγώνει νομίσματα.
Ο συνδιευθύνων σύμβουλος Richard Teng δήλωσε ότι η Binance θα καλύψει τις απώλειες με εταιρικά κεφάλαια και το ταμείο προστασίας χρηστών SAFU. Η ανακοίνωση ότι είχε αναπληρωθεί το 98% των επηρεασμένων token μέχρι τις 31 Οκτωβρίου αφορούσε αντικατάσταση περιουσιακών στοιχείων, όχι ανάκτηση του 98% των κλοπιμαίων. Το υπόλοιπο μη δεσμευμένο ποσό επίσης δεν ισοδυναμεί αυτομάτως με πραγματοποιημένο κέρδος των δραστών.
Το CoinDesk εντόπισε άδειο πορτοφόλι σε παλαιότερες γνωστοποιήσεις απόδειξης αποθεματικών ως κάλυψη υπολοίπων πελατών. Η δέσμευση απορρόφησης της ζημιάς από την εταιρεία έχει συνεπώς συγκεκριμένο βάρος για τους χρήστες.
Ποιος βρίσκεται πίσω από την επίθεση;
Το FBI αποδίδει την κλοπή σε βορειοκορεατική δραστηριότητα που ονομάζει TraderTraitor, ενώ η Πιονγκγιάνγκ αρνείται την εμπλοκή. Η Kim Yo Jong χαρακτήρισε την κατηγορία πρόκληση, χωρίς να δημοσιεύσει τεχνική αντίκρουση.
Η αμερικανική υπηρεσία δημοσίευσε ύποπτες διευθύνσεις και ανέφερε μετατροπές κλοπιμαίων κυρίως σε ether, όχι όμως ολόκληρη την αποδεικτική βάση της απόδοσης ευθύνης. Προηγούμενες υποθέσεις και ομοιότητες μεθόδων προσφέρουν πλαίσιο, όχι αυτοτελή απόδειξη για αυτή την επίθεση.
Έφταιξε ένας εργαζόμενος ή οι δικλίδες ασφαλείας;
Η δική μας θέση είναι ότι η εξαπάτηση του εργαζομένου εξηγεί μια είσοδο, όχι ολόκληρη την κατάρρευση των ελέγχων. Δεν έχει τεκμηριωθεί δημόσια ότι παραβίασε εν γνώσει του συγκεκριμένη πολιτική.
Η Binance περιγράφει επίμονη επιχείρηση και αναφέρει ότι απέτρεψε 57 ύποπτες απειλές συνδεδεμένες με τη Βόρεια Κορέα μέσα στο 2026. Παράλληλα, ειδικοί προειδοποιούσαν επί χρόνια για ψεύτικες συνεντεύξεις. Η Chainalysis αποδίδει σε παρόμοια σχήματα απώλειες άνω των 14,3 εκατ. δολαρίων στους προηγούμενους 18 μήνες. Ο Michael Barnhart της DTEX περιέγραψε στο Reuters καταιγισμό προσπαθειών εναντίον της Binance.
Αυτά δείχνουν και πίεση και προϋπάρχουσα γνώση του κινδύνου. Για να ολοκληρωθεί η κλοπή χρειάστηκαν άλλοι υπολογιστές, διαπιστευτήρια, πρόσβαση σε υπογραφές και δικαιώματα στο blockchain. Εκεί αναζητούμε τις απαντήσεις για τον διαχωρισμό συστημάτων και τις διαδικασίες έκτακτης ανάκλησης.
Για τον χρήστη στην Ελλάδα ισχύει η ίδια ουσία: η εταιρική υπόσχεση κάλυψης δεν αντικαθιστά την ασφάλεια της θεματοφυλακής. Ένας ανεξάρτητος έλεγχος που θα εξηγεί ποιοι φραγμοί υπήρχαν και πώς παρακάμφθηκαν θα μπορούσε να αλλάξει την αξιολόγησή μας. Μέχρι τότε, το «έφταιξε η συνέντευξη» αφήνει τη μισή ιστορία απέξω.