Pe 31 octombrie 2026, FBI, împreună cu Secret Service și IRS Criminal Investigation, a atribuit furtul a peste 6 miliarde de dolari în active virtuale de la Binance grupului TraderTraitor, aliniat Coreei de Nord și urmărit și sub numele Jade Sleet, UNC4899, Slow Pisces, PUKCHONG și Pressure Chollima. Furtul s-a produs în jurul datei de 29 octombrie. Este cel mai mare furt de criptoactive înregistrat vreodată, de câteva ori mai mare decât cel de 1,46 miliarde de dolari de la Bybit din februarie 2025, iar aproximativ 2,85 miliarde au fost între timp înghețate on-chain de Tether, Circle, Ripple, Arbitrum și Optimism.
Cifra care a circulat cel mai mult e însă alta: un singur laptop compromis. Merită tratată cu grijă, pentru că e în același timp cel mai instructiv detaliu al incidentului și cel mai exagerat.
Ce a spus de fapt Binance
Actualizarea Binance din 30 octombrie spune că incidentul „ar putea implica laptopul compromis al unui inginer DevOps", care i-a permis atacatorului să ajungă la un container de serviciu și să trimită tranzacții de retragere neautorizate. Compania nu a găsit dovezi că vreo cheie privată de portofel ar fi fost expusă. Cifra de circa 6,3 miliarde de dolari este estimarea preliminară și neauditată a Binance; FBI vorbește despre peste 6 miliarde, iar relatările care pornesc de la lista de portofele publicată de FBI citează 6,43 miliarde.
De atunci, Binance a declarat că investigația în curs a identificat și alte puncte de breșă, fără să spună care, iar co-CEO-ul Richard Teng a precizat că atacatorul nu s-a folosit pur și simplu de permisiunile unui singur inginer și că nu a fost o acțiune de „un singur clic". Binance a promis o analiză tehnică după verificarea faptelor. Cum a fost compromis laptopul nu s-a explicat.
Versiunea corectă e, așadar, mai îngustă decât titlul și mai utilă. O stație de lucru a unui dezvoltator apare în lanț. Nu a fost tot lanțul, iar dacă o tratezi ca atare ajungi direct la remedierea greșită: cumperi un agent de endpoint mai bun și consideri subiectul închis.
De ce inginerii sunt populația vizată
TraderTraitor construiește de ani buni o cale specifică de intrare în companii, iar ea nu trece prin departamentul financiar. Raportarea Microsoft din 29 octombrie 2026 descrie grupul prezentându-se drept recrutori ai unei companii inventate de „blockchain intelligence" cu AI, folosind domenii dedicate, profiluri de social media și cunoștințe reale din industrie pentru a aborda ingineri software cu oferte de job și a programa interviuri. Zscaler ThreatLabz și SentinelOne au documentat mecanismul de livrare care urmează: un provider Terraform troianizat care rulează un loader Bash, acesta alege malware-ul potrivit sistemului de operare al victimei — macOS, Linux sau Windows — și instalează un implant multiplatformă care fură date, înainte de a lăsa în urmă un backdoor pentru control complet.
Citește traseul acesta încă o dată din perspectiva unui program de conștientizare. Momeala e o discuție despre carieră pe LinkedIn, nu o factură. Payload-ul vine sub formă de unelte de infrastructure-as-code pe care inginerul avea un motiv legitim să le ruleze. Nu se dă clic pe nimic într-un email, deci nu apare nimic într-o rată de clic. Ingineria socială e susținută de persoane și momeli generate cu AI, ceea ce elimină exact semnalul pe care îl mai predă majoritatea trainingurilor: formularea stângace.
Un program de conștientizare construit integral în jurul simulărilor de phishing pe email și al unei rate de clic la nivel de companie va raporta o cifră sănătoasă prin tot acest traseu. Inginerii sunt o populație-țintă separată, cu o cale de atac separată, și au nevoie de scenarii separate: abordarea unui recrutor care mută conversația pe un canal privat, o „evaluare tehnică" ce cere rularea de cod local, o dependință sau un provider descărcat dintr-o sursă aflată la o literă distanță de cea reală.
Controalele care stau între stația de lucru și producție
Dacă stația de lucru a unui dezvoltator va fi țintită atât de precis, întrebarea de proiectare nu e cum o faci imposibil de compromis. E ce poate atinge una compromisă.
- Separă stația privilegiată de cea de uz general. Mașina care ține credențiale de producție sau ajunge la un pipeline de deployment nu ar trebui să fie mașina pe care se deschid atașamente de la recrutori, exerciții de interviu și unelte neverificate. Mașinile virtuale sunt o graniță acceptabilă acolo unde hardware separat nu e posibil.
- Fă în așa fel încât drumul de la stația de lucru la producție să ceară ceva ce stația nu poate furniza singură. Credențiale de scurtă durată emise per sarcină, autentificare legată de un dispozitiv hardware și aprobarea unui al doilea om pentru acțiunile care mișcă valoare sau schimbă ce rulează în producție. „Atacatorul a ajuns la un container de serviciu și a trimis tranzacții" e o frază despre un model de autorizare, nu despre un endpoint.
- Limitează ce poate face accesul fiecărui inginer și reconstruiește-l, nu îl moșteni. Revizuirile de acces privilegiat care confirmă cine are acces sunt mai puțin utile decât cele care întreabă la ce ajunge fiecare cale de acces atunci când o folosește altcineva decât titularul.
- Tratează uneltele de dezvoltare ca pe lanț de aprovizionare. Versiuni fixate, proveniență verificată și o sursă cunoscută pentru providere, plugin-uri, extensii și pachete — mai ales cele instalate în timpul unui proces de recrutare sau de evaluare. Provider-ul Terraform troianizat e aceeași clasă de problemă ca un pachet otrăvit; doar că vine pe un canal pe care achizițiile nu îl văd niciodată.
- Jurnalizează și urmărește traficul de ieșire al stațiilor de lucru, în special pentru inginerii cu acces privilegiat. Majoritatea organizațiilor monitorizează serverele mult mai atent decât laptopurile care le administrează.
Ce schimbă asta într-un program de risc uman
Trei lucruri, concret.
Lista de ținte devine bazată pe rol. Inginerii, DevOps, platforma și oricine ține credențiale de producție sunt modelați ca populație distinctă, cu propriul set de scenarii, propria linie de bază și propria așteptare de raportare. O singură cifră la nivel de organizație ascunde exact grupul aflat sub atac.
Comportamentul măsurat se schimbă. Pentru această populație, indicatorul util nu e dacă cineva a dat clic, ci dacă a raportat o abordare — un recrutor neașteptat, un exercițiu de interviu care cere rularea de cod local, un pachet sau un provider care se rezolvă într-un loc nefamiliar. Rata de raportare și timpul până la raportare se măsoară, iar spre deosebire de rata de clic descriu chiar comportamentul care întrerupe lanțul. Articolul nostru despre indicatori de risc uman dincolo de rata de clic explică de ce cifra principală arată atât de des bine în timp ce organizația e expusă.
Scenariile se scriu după tradecraft-ul actual. Momeli de recrutare, persoane generate cu AI și o cerere care e o sarcină tehnică, nu un credențial — toate pot fi simulate în siguranță și își au locul în rotație, alături de frauda cu facturi și notificările de livrare. Asta face practica noastră de management al riscului uman, iar obiceiurile de partea de inginerie de care depinde — igiena dependințelor, manipularea credențialelor, disciplina pipeline-ului de release — sunt scopul unui training de securitate pentru dezvoltatori.
Pentru organizațiile reglementate există și un strat de guvernanță deasupra. Sub NIS 2, transpusă în România prin OUG nr. 155/2024, managementul accesului privilegiat, managementul activelor și securitatea lanțului de aprovizionare sunt măsuri nominalizate, iar conștientizarea și instruirea sunt obligații în sine, nu un bonus. Entitățile financiare au echivalentul sub DORA, unde cadrul de risc TIC trebuie să acopere explicit accesul privilegiat și componentele terțe. Maparea acestor controale pe dovezi pe care un evaluator le acceptă e subiectul activității noastre de audit, risc și conformitate; dacă ele rezistă atunci când cineva chiar apasă pe ele e o întrebare pentru o testare de penetrare.
Un laptop compromis al unui inginer nu e un eveniment exotic. Ce a făcut ca acesta să coste 6 miliarde de dolari a fost tot ce se afla în aval de el.
Surse: FBI — North Korea responsible for $6 billion+ Binance attack, The Hacker News — FBI links North Korea's TraderTraitor to record Binance heist, BleepingComputer — FBI links $6.3 billion Binance crypto heist to North Korean hackers, CSO Online — A compromised DevOps laptop and the Binance breach, Microsoft Security Blog — Tracking AI adoption in North Korean threat actor tradecraft, Elliptic — cel mai mare furt din istorie. Laptopul ca punct de intrare este relatarea preliminară și explicit neconfirmată a Binance, nu o constatare a FBI, iar Binance a declarat ulterior că au fost implicate și alte puncte de breșă; cum a fost compromis laptopul nu a fost dezvăluit. Cifra de 6,3 miliarde de dolari este estimarea neauditată a Binance. Coreea de Nord a negat public orice responsabilitate.
Acest articol este informație generală, nu consultanță juridică sau de conformitate.