Bezpieczeństwo5 lis 2026, 16:51 UTC·2 min czytania

Kradzież 6,3 mld dolarów z Binance zaczęła się od fałszywego Homebrew

Włamanie do Binance, w którym skradziono około 6,3 mld dolarów, zaczęło się od pobrania fałszywego Homebrew na Macu przez inżyniera DevOps.

Zdjęcie: اليوم السابع

Jeden z największych skoków w historii branży kryptowalut zaczął się od zwykłej pomyłki pracownika. Jak wynika z nowych ustaleń, atak na giełdę Binance, w którym skradziono około 6,3 mld dolarów, rozpoczął się od pobrania fałszywej wersji programu Homebrew na komputerze Mac.

Atakujący dotarli do urządzeń pracowników zajmujących się portfelami kryptowalutowymi platformy dzięki inżynierii społecznej. Nie potrzebowali skomplikowanych luk w zabezpieczeniach ani zaawansowanych narzędzi.

Fałszywy Homebrew i fałszywa rekrutacja

W czerwcu 2026 roku inżynier DevOps z Binance szukał narzędzia do programowania z użyciem sztucznej inteligencji. Przez wyniki wyszukiwarki Google pobrał złośliwą kopię Homebrew, czyli menedżera pakietów dla komputerów Mac. Według danych Binance firma szybko wykryła incydent i zapobiegła bezpośrednim szkodom. Nie wiedziała jednak, że dzięki temu napastnicy zidentyfikowali osoby pracujące przy portfelach firmy.

Złośliwe oprogramowanie celowało w ścieżkę /opt/homebrew, używaną na Macach z procesorami Apple Silicon. Sugeruje to, że ofiarą padł MacBook z układem serii M.

Po kilku mies, we wrześniu 2026 roku, hakerzy namówili innego inżyniera od portfeli Binance do udziału w fikcyjnej rozmowie kwalifikacyjnej. Poproszono go o wykonanie zadania programistycznego na służbowym komputerze. To popularny trik: chęć zdobycia pracy skłania ofiarę do uruchomienia szkodliwych plików lub poleceń. Systemy bezpieczeństwa Binance nie wykryły tego etapu, a 29 października wyszły na jaw szczegóły kradzieży.

Wskazania na Koreę Północną

Sprawców powszechnie podejrzewa się o powiązania z Koreą Północną, choć dostępne informacje nie wyjaśniają wszystkich szczegółów włamania.

Metody nie są nowe: na początku 2025 roku w górnych wynikach Google widziano fałszywe reklamy Homebrew, które rozprowadzały malware Atomic Stealer wymierzony w użytkowników Maców. Binance nie potwierdziła, czy pracownik trafił na płatną reklamę, czy na zwykły wynik wyszukiwania.

Sprawa budzi pytania o bezpieczeństwo komputerów Apple, bo największy tego typu atak zaczął się na Macu. Mechanizmy ochronne nie zatrzymają jednak programisty, który sam uruchamia polecenia lub skrypty. Ostrzeżenia przy wklejaniu poleceń w Terminalu, dodane przez Apple w macOS 26.4, mogłyby pomóc, ale nie dają gwarancji: kto wierzy, że wykonuje test rekrutacyjny, może zignorować alert.