En junio, los ciberdelincuentes infectaron el ordenador de uno de los ingenieros de DevOps mediante un instalador de Homebrew modificado que este descargó al configurar una herramienta de IA para programar. Los empleados detectaron el programa malicioso y sustituyeron el dispositivo, pero los hackers ya habían obtenido la lista de personas de la empresa que trabajan con monederos.
En septiembre, los hackers contactaron con uno de los empleados de esa lista haciéndose pasar por reclutadores: tras varias entrevistas, le enviaron una prueba con software malicioso.
Una vez con acceso a los ordenadores de los empleados, los atacantes pudieron usar la herramienta interna de IA de Binance y obtener los permisos necesarios para gestionar los monederos calientes de la plataforma. El 29 de octubre desplegaron un contenedor malicioso y, a través del servicio interno de firma de transacciones, eludieron el procedimiento habitual de retirada de fondos.
En cuatro minutos, cinco monederos calientes enviaron a una dirección de los atacantes 233,46 millones de XRP; después salieron 970.000 SOL, 44,2 millones de OP y 18.270 BTC. Además, en la red Ethereum los hackers recurrieron al mecanismo EIP-7702 para ceder a un contrato inteligente malicioso parte de las facultades de gestión del monedero. Eso les permitió seguir operando incluso después de que Binance detuviera las retiradas: desactivar los servicios no anuló los permisos ya concedidos en la cadena de bloques.
El ataque afectó a activos por unos 6.340 millones de dólares. Según Binance, al 31 de octubre se había recuperado el 98 % de los fondos, y alrededor de 2.850 millones de dólares se habían congelado o interceptado.
Según el FBI, detrás del ataque está un grupo de Corea del Norte. Binance también señala que en el último año la plataforma bloqueó 57 amenazas presuntamente vinculadas con Corea del Norte.