Jika kakitangan anda mencari kerja atau mencuba perisian baharu pada komputer pejabat, itulah laluan yang diambil oleh kecurian terbesar dalam sejarah kripto. Pada 3 November 2026, Binance menerbitkan dapatan awalnya: serangan yang menjejaskan kira-kira AS$6.34 bilion pada 29 Oktober bermula dengan dua temu duga kerja palsu bersama seorang jurutera dan berakhir dengan ujian pengaturcaraan yang dimuat turunnya ke komputer riba pejabat. Pengajaran praktikal untuk syarikat anda: tiada fail daripada perekrut luar pada peranti kerja, tiada perisian di luar senarai yang diluluskan, dan tiada kebenaran yang lebih luas daripada keperluan tugas. Pada 31 Oktober kami menulis tentang siapa yang boleh memindahkan wang syarikat anda tanpa tandatangan anda; artikel ini membincangkan pintu yang dilalui penyerang.
Apakah yang berlaku, langkah demi langkah?
Menurut penerangan Binance tentang siasatan awalnya, serangan itu melalui empat peringkat:
- Jun 2026: seorang jurutera pasukan dompet yang sedang mencari alat pengaturcaraan AI telah memuat turun pemasang Homebrew yang diubah suai dan mengandungi perisian hasad. Pasukan keselamatan mengesannya, menggantikan peranti dan menukar kelayakannya, tetapi maklumat tentang dirinya dan rakan sepasukan telah pun bocor.
- September 2026: seseorang yang menyamar sebagai pengarah projek menghubungi jurutera kedua melalui platform pekerjaan dan mengadakan dua temu duga: panggilan video dengan seorang yang didakwa wakil sumber manusia, kemudian dengan individu yang mengaku sebagai CEO sebuah syarikat rekaan. Dalam temu duga kedua, dia diminta memuat turun tugasan pengaturcaraan ke komputer pejabatnya; kod berniat jahat berjalan semasa persediaan dan alat perlindungan titik akhir tidak mengesannya.
- 20 Oktober 2026: penyerang menggunakan komputer yang telah dikompromi dan sebuah alat AI dalaman Binance untuk mengambil alih komputer dua jurutera lain.
- 29 Oktober 2026: antara jam 17:15 dan 19:56 UTC, penyerang mengakses komputer jurutera ketiga menggunakan kelayakan yang dicuri daripada jurutera pertama, melancarkan sebuah kontena dan mencetuskan skrip berniat jahat; pemindahan daripada dompet panas menyusul antara jam 20:05 dan 20:09.
Binance menyatakan kira-kira AS$2.85 bilion telah dibekukan atau dipintas, bahawa ia telah menggantikan 98% aset yang terjejas setakat 31 Oktober, dan bahawa sepanjang 2026 ia telah mengesan dan menghalang 57 kes ancaman yang disyaki berkaitan Korea Utara. Dalam erti kata lain, platform itu menangkis berpuluh-puluh cubaan, kemudian tewas pada satu.
Mengapakah temu duga palsu itu berjaya?
Kerana ia langsung tidak menyerupai e-mel pancingan data. Pekerja itu tidak mengklik pautan mencurigakan daripada pengirim yang tidak dikenali; dia menyertai proses pengambilan yang kelihatan benar: platform terkenal, temu duga video, wakil sumber manusia yang berkongsi kandungan daripada akaun peribadinya untuk membina kepercayaan, kemudian seorang CEO. Memuat turun dan menjalankan projek ialah bahagian biasa ujian untuk pembangun, jadi permintaan itu tidak menimbulkan syak.
Taktik ini bukan baharu. TechCrunch menyebut bahawa laporan CrowdStrike mengaitkan kira-kira separuh daripada pencerobohan ke atas syarikat teknologi Amerika Syarikat tahun lalu dengan warga Korea Utara yang menyamar sebagai pekerja IT jarak jauh atau perekrut. Sasarannya bukan sahaja platform kripto, tetapi sesiapa sahaja yang mempunyai akses kepada sistem atau wang.
Kelemahan kedua: perisian yang dimuat turun daripada hasil carian
Kisah ini tidak bermula dengan temu duga. Tiga bulan sebelumnya, seorang jurutera lain memasang perisian yang diubah suai ketika mencari alat AI. Perkara ini berlaku setiap hari di banyak syarikat: seorang pekerja mendengar tentang alat baharu, mencarinya, mengklik hasil pertama dan memasangnya dengan hak pentadbir. Pengajaran yang lebih penting ialah Binance telah menggantikan peranti dan menukar kata laluan, tetapi maklumat pasukan yang sudah bocor kekal di tangan penyerang dan digunakan berbulan-bulan kemudian.
6 peraturan untuk peranti kakitangan anda minggu ini
- Tiada fail pengambilan luar pada peranti kerja: setiap ujian, projek atau fail yang dihantar oleh pihak luar dibuka pada mesin berasingan yang tiada akses kepada sistem syarikat. Ini selaras dengan nasihat pakar yang dipetik oleh TechTarget: jauhkan kod temu duga daripada mana-mana mesin yang hampir dengan persekitaran pengeluaran.
- Hanya perisian daripada senarai yang diluluskan: tarik balik hak pentadbir tempatan daripada kakitangan, dan pastikan pemasangan dibuat melalui ketua IT anda daripada laman web rasmi pembekal, bukan daripada iklan dalam hasil carian.
- Keistimewaan minimum: sesiapa yang boleh memindahkan wang atau mengubah sistem sensitif melakukannya daripada akaun dan peranti khusus, bukan daripada mesin yang digunakannya untuk melayari internet dan mencuba alat.
- Hadkan kebenaran alat AI dalaman: di Binance, sebuah alat AI dalaman menjadi jambatan antara peranti. Setiap alat yang sampai ke peranti kakitangan atau sistem anda memerlukan kebenaran yang sempit dan log bagi segala yang dilakukannya.
- Pengesanan bukan penamat insiden: jika sesebuah peranti dikompromi, jangan sekadar menggantikannya. Anggap kandungannya telah bocor, tukar semua kata laluan, kunci dan token yang berkaitan dengannya dan pasukannya, serta pantau akaun rakan sekerja.
- Latih pasukan anda tentang pancingan data melalui tawaran kerja: tawaran menarik yang meminta anda memuat turun fail atau menjalankan kod ialah tanda amaran, dan mencari kerja daripada peranti pejabat mendedahkan seluruh syarikat. Jika anda mengambil pekerja secara jarak jauh, sahkan identiti calon sebelum memberikan sebarang akses.
Apakah kata Kawalan Keselamatan Siber Penting?
Kawalan Keselamatan Siber Penting ECC-2:2024 oleh Pihak Berkuasa Keselamatan Siber Kebangsaan Arab Saudi (NCA) adalah wajib bagi agensi kerajaan dan entiti yang memiliki, mengendalikan atau menjadi hos infrastruktur kritikal negara, dan NCA amat menggalakkan semua entiti lain menggunakannya. Tiga daripadanya meliputi insiden ini secara langsung:
- Kawalan 1-10-3: program kesedaran merangkumi pengendalian selamat e-mel dan pancingan data, pelayaran internet dan penggunaan media sosial.
- Kawalan 2-2-3-3: kebenaran berdasarkan prinsip perlu tahu dan perlu guna, keistimewaan minimum dan pengasingan tugas.
- Kawalan 2-3-3-1: perlindungan stesen kerja dan pelayan daripada virus, program mencurigakan dan perisian hasad menggunakan teknologi moden.
Pandangan Origami
Kami melihat corak yang sama yang menjatuhkan Binance dalam syarikat Saudi: satu peranti yang digunakan pekerja untuk bekerja, melayari internet, mencari peluang dan mencuba setiap alat baharu, dengan hak pentadbir penuh kerana lebih mudah. Penyerang tidak memerlukan eksploit yang canggih jika pekerja sendiri akan menjalankan fail itu.
Penyelesaiannya bukan melarang kakitangan belajar atau mencuba alat AI, tetapi membenarkan mereka mencubanya dalam persekitaran yang tidak sampai kepada wang dan data. Apabila kami membina sistem untuk pelanggan, kami mengasingkan akaun harian daripada akaun berkeistimewaan sejak awal, dan merekodkan setiap akses kepadanya.
Kesimpulan
Pencerobohan bernilai AS$6.34 bilion tidak bermula dengan kelemahan pelayan, tetapi dengan temu duga kerja dan aplikasi yang dimuat turun daripada carian. Luangkan satu jam minggu ini bersama ketua IT anda: tarik balik hak pentadbir tempatan kakitangan, tulis senarai perisian yang diluluskan, asingkan peranti berakses sensitif, dan beritahu pasukan bahawa tiada fail daripada perekrut dibuka pada peranti kerja. Jika anda mahukan semakan kebenaran dalam sistem anda, hubungi kami atau lihat perkhidmatan kami.
Sumber
- Binance — Security incident investigation update, 3 November 2026: kronologi Jun, September, 20 dan 29 Oktober, kedua-dua temu duga, jumlah yang dibekukan dan digantikan, serta 57 kes ancaman.
- Pihak Berkuasa Keselamatan Siber Kebangsaan (NCA) — Essential Cybersecurity Controls ECC-2:2024: skop dan kawalan 1-10-3, 2-2-3-3 dan 2-3-3-1.
- TechCrunch — Researchers warned of North Korean hacking tactics years before record $6.3B Binance heist, 3 November 2026: angka CrowdStrike dan amaran terdahulu.
- TechTarget — Binance details recruiter impersonation behind $6.3B wallet breach, 3 November 2026: nasihat pakar tentang peranti pembangun.
- Nextgov/FCW — Binance says fake job interview helped North Korean hackers steal $6.3 billion, November 2026: atribusi FBI kepada Korea Utara.
Soalan lazim
Syarikat kami tidak terlibat dalam kripto. Adakah penggodaman Binance berkaitan dengan kami?
Ya, kerana serangan itu tidak menyasarkan apa-apa yang khusus kepada kripto, sebaliknya seorang pekerja yang mempunyai akses. Temu duga kerja palsu dan perisian yang diubah suai daripada hasil carian boleh menembusi mana-mana syarikat yang mempunyai kakitangan dengan akses kepada portal bank, sistem perakaunan atau data pelanggan.
Bagaimanakah kakitangan saya boleh mengenal pasti tawaran kerja palsu?
Tanda paling jelas ialah permintaan untuk memuat turun dan menjalankan fail atau projek pada peranti sendiri, terutamanya selepas temu duga ringkas dengan syarikat yang tiada maklumat boleh dipercayai. Walaupun tawaran itu kelihatan tulen, peraturannya tetap sama: tiada fail daripada perekrut dibuka pada peranti kerja.
Adakah perisian antivirus mencukupi untuk menghalang serangan seperti ini?
Tidak. Dalam kes Binance, kod berniat jahat telah berjalan dan alat perlindungan titik akhir tidak mengesannya. Perisian perlindungan hanyalah satu lapisan; ia perlu disertai dengan penarikan hak pentadbir tempatan daripada kakitangan, senarai perisian yang diluluskan, dan pengasingan peranti berakses sensitif daripada peranti untuk melayari internet.
Adakah Kawalan Keselamatan Siber Penting NCA wajib bagi syarikat swasta saya?
Ia wajib bagi agensi kerajaan dan entiti yang memiliki, mengendalikan atau menjadi hos infrastruktur kritikal negara. Bagi syarikat lain, Pihak Berkuasa Keselamatan Siber Kebangsaan amat menggalakkan penggunaannya, dan kawalan kesedaran, akses dan perlindungan peranti di dalamnya menjadi senarai semak yang sedia digunakan.
