Binance Ungkap Peretasan US$6,3 Miliar Berawal dari Wawancara Kerja Palsu, Hacker Korea Utara Jadi Dalang
Binance mengungkap bahwa pencurian aset kripto senilai US$6,34 miliar pada 29 Oktober 2026 bermula dari sebuah wawancara kerja palsu yang digunakan hacker untuk menginfeksi komputer karyawan dengan malware.
Dalam laporan investigasi terbaru yang diterbitkan pada 3 November 2026, Binance menjelaskan bahwa penyerang menyamar sebagai perekrut perusahaan teknologi untuk mendekati seorang software engineer melalui platform pencarian kerja yang sah.
Korban kemudian diminta mengunduh tugas pemrograman dari repository online. Tanpa disadari, kode tersebut mengandung malware yang memberikan akses tersembunyi kepada penyerang.
Serangan berkembang selama beberapa minggu hingga hacker berhasil menjangkau infrastruktur pengelolaan wallet Binance dan memindahkan aset kripto melalui sejumlah jaringan blockchain.
Badan investigasi federal Amerika Serikat, FBI, telah mengatribusikan serangan tersebut kepada kelompok hacker Korea Utara yang dikenal sebagai TraderTraitor, juga dikaitkan dengan Lazarus Group.
Hacker Menyamar sebagai Perekrut Perusahaan Teknologi
Menurut Binance, rangkaian serangan dimulai pada September 2026 ketika seorang software engineer menerima tawaran pekerjaan melalui platform rekrutmen.
Pelaku menggunakan identitas palsu sebagai Project Director dari perusahaan fiktif dan mengatur dua sesi wawancara.
Pada wawancara pertama, seseorang yang mengaku sebagai staf Human Resources melakukan panggilan video langsung.
Untuk meningkatkan kepercayaan, perekrut palsu tersebut memperlihatkan akun media sosial yang berisi foto dan video pribadi.
Wawancara kedua dilakukan melalui aplikasi komunikasi populer dengan seseorang yang mengaku sebagai CEO perusahaan.
Menjelang akhir wawancara, korban diminta mengunduh repository berisi tugas pemrograman sebagai bagian dari proses seleksi.
Namun, repository tersebut telah disusupi kode berbahaya yang langsung dijalankan ketika proses setup dilakukan.
Teknik ini menyerupai kampanye Contagious Interview dan Operation Dream Job yang sebelumnya digunakan kelompok hacker Korea Utara untuk menargetkan developer serta perusahaan cryptocurrency.
Malware Menyamar sebagai Tool Developer di macOS
Binance menemukan bahwa malware menggunakan teknik penyamaran untuk menghindari deteksi software keamanan.
Salah satu mekanismenya adalah mengganti komponen sah bernama pyenv, tool yang biasa digunakan developer untuk mengelola versi Python.
Script berbahaya membuat file pengganti bernama pyenv_ pada direktori instalasi Homebrew di macOS.
Setelah itu, malware menghapus executable pyenv asli, menggantinya dengan file berbahaya, lalu mengubah symbolic link agar kode penyerang dijalankan melalui proses yang terlihat normal.
Malware kemudian menjalankan shell zsh dan membangun komunikasi dengan server eksternal yang dikendalikan hacker.
Melalui mekanisme tersebut, penyerang dapat mengirimkan instruksi dan menjalankan perintah pada komputer korban.
Binance menyatakan malware khusus tersebut tidak terdeteksi oleh perlindungan endpoint yang digunakan saat kejadian.
Pelaku juga berupaya menghapus jejak aktivitas untuk mempersulit proses investigasi.
Hacker Manfaatkan Tool AI Internal untuk Memperluas Akses
Setelah berhasil mengkompromikan komputer software engineer, penyerang mulai mencari jalur menuju infrastruktur wallet Binance.
Pada 20 Oktober 2026, hacker memanfaatkan akses komputer korban dan sebuah tool AI internal untuk mengkompromikan dua karyawan lainnya yang bekerja pada sistem wallet.
Salah satu korban merupakan engineer dari tim Wallet DevOps yang memiliki token deployment container.
Token tersebut kemudian menjadi bagian penting dalam serangan karena memungkinkan penyerang menjangkau komponen infrastruktur yang lebih sensitif.
Investigasi juga menemukan bahwa pada Juni 2026, seorang engineer Wallet DevOps pernah menjadi target serangan melalui installer Homebrew yang telah dimodifikasi.
Saat itu, tim keamanan Binance berhasil mendeteksi aktivitas mencurigakan, mengganti perangkat, dan melakukan rotasi kredensial.
Namun, insiden sebelumnya diduga membantu penyerang mengenali karyawan serta hubungan kerja di lingkungan pengembangan wallet.
Temuan ini menunjukkan bahwa serangan Binance merupakan operasi bertahap, bukan sekadar kompromi satu laptop yang langsung menyebabkan pencurian.
Penyerang Ambil Alih Layanan Penandatanganan Wallet
Pada 29 Oktober 2026, penyerang menggunakan kredensial curian untuk melakukan deployment container dan menjalankan script berbahaya.
Langkah tersebut memberikan akses tidak sah terhadap wallet signing service, komponen yang digunakan untuk mengotorisasi transaksi cryptocurrency.
Mulai sekitar pukul 20.05 UTC, penyerang memindahkan aset dari sejumlah hot wallet Binance.
Transaksi melibatkan berbagai cryptocurrency, termasuk Bitcoin, Ethereum, XRP, Solana, serta token pada jaringan lainnya.
Hacker juga menyalahgunakan mekanisme EIP-7702 pada Ethereum untuk memberikan sebagian kemampuan eksekusi kepada smart contract yang mereka kendalikan.
Akibatnya, penyerang masih dapat memindahkan sejumlah aset meskipun Binance telah menghentikan sementara layanan penarikan.
Binance menjelaskan bahwa menghentikan withdrawal tidak otomatis mencabut otorisasi yang sudah tercatat secara on-chain.
Perusahaan akhirnya menjalankan prosedur khusus untuk menghapus otorisasi berbahaya tersebut.
Transaksi tidak sah terakhir diselesaikan pada 29 Oktober pukul 23.56 UTC.
Binance Bekukan US$2,85 Miliar dan Pulihkan Aset Pengguna
Berdasarkan laporan 3 November 2026, Binance memperkirakan total aset yang terdampak mencapai sekitar US$6,34 miliar.
Dari jumlah tersebut, sekitar US$2,85 miliar telah berhasil dibekukan atau dicegat melalui kerja sama dengan penerbit stablecoin dan mitra industri blockchain.
Binance juga menyatakan bahwa hingga 31 Oktober, sekitar 98% aset token yang terdampak telah diisi kembali menggunakan dana perusahaan.
Perusahaan berkomitmen menanggung kerugian melalui dana Secure Asset Fund for Users (SAFU) dan kas internal agar saldo pelanggan tetap terlindungi.
Sebagai bagian dari pemulihan, Binance telah membangun ulang sistem wallet yang terdampak, mengganti perangkat karyawan, mencabut kredensial curian, serta memperkuat pengawasan terhadap penggunaan tool AI internal.
Perusahaan juga menunjuk firma keamanan independen untuk meninjau hasil investigasi dan mengevaluasi langkah pengamanan.
Wawancara Kerja Palsu Jadi Ancaman bagi Developer
Kasus Binance memperlihatkan bagaimana penyerang dapat memanfaatkan proses rekrutmen untuk memperoleh akses menuju infrastruktur perusahaan.
Developer menjadi target menarik karena komputer mereka sering memiliki akses ke repository, kredensial cloud, token deployment, dan sistem pengembangan internal.
Dalam kasus ini, kode berbahaya yang menyamar sebagai tugas wawancara akhirnya menjadi pintu masuk menuju sistem transaksi cryptocurrency bernilai miliaran dolar.
Karena itu, developer disarankan tidak menjalankan repository atau tugas pemrograman dari pihak yang belum diverifikasi pada perangkat kerja yang memiliki akses ke lingkungan produksi.
Pengujian kode dari sumber tidak dikenal sebaiknya dilakukan dalam lingkungan terisolasi dengan akses jaringan dan kredensial yang dibatasi.
Serangan Binance menunjukkan bahwa social engineering yang terlihat sederhana dapat berkembang menjadi kompromi infrastruktur berskala besar ketika penyerang berhasil menggabungkan malware, pencurian kredensial, dan penyalahgunaan layanan internal.
Sumber: Binance — October 29, 2026 Binance Security Incident: Initial Findings and Response Update
