A Binance detalhou como o ataque de US$ 6,34 bilhões começou meses antes de 29 de outubro, em uma campanha que combinou falsas entrevistas de emprego, malware e acesso lateral até os sistemas internos. Segundo a exchange, o roubo foi o resultado de uma operação de quatro meses que envolveu engenharia social contra engenheiros da empresa, e o FBI e a TRM Labs atribuem a ação ao grupo norte-coreano TraderTraitor, enquanto a Coreia do Norte nega responsabilidade.
De acordo com o relato da Binance, a invasão começou em junho, quando um engenheiro de DevOps de carteiras baixou um pacote adulterado do Homebrew ao procurar uma ferramenta de programação com IA. Em setembro, um segundo engenheiro foi contatado por uma plataforma de recrutamento por alguém que se passava por representante de uma empresa inexistente e, após entrevistas, baixou uma tarefa de teste com malware. Em 20 de outubro, os invasores usaram o computador comprometido e uma ferramenta de IA interna para acessar as máquinas do primeiro engenheiro e de um terceiro, obtendo um token de implantação de contêineres. Em 29 de outubro, por volta das 20h05 UTC, os hackers usaram esses acessos e um método avançado de autorização de transações para drenar cerca de US$ 6,3 bilhões em dez blockchains, em uma janela de cerca de 20 minutos.
Para a segurança de plataformas de criptoativos, a sequência mostra que a engenharia social contra equipes técnicas pode abrir caminho a um ataque de grande escala, porque um único equipamento comprometido serviu de ponte para ferramentas internas e para outras estações de trabalho. A investigação da Binance indica que o ponto de partida foi um aparelho de trabalho usado também para instalar software e interagir com recrutadores, o que coloca em foco a separação entre equipamentos de trabalho e atividades externas e a verificação de pacotes instalados em ambientes de desenvolvimento. A empresa afirma ter congelado cerca de US$ 2,85 bilhões com parceiros e reservado mais de US$ 6,34 bilhões para cobrir as perdas, e as conclusões finais dependem do que as autoridades e a investigação interna ainda divulgarem.