Rola AI w ataku na Binance + audio

Wolisz słuchać? Włącz podcast na YT →

Gdy przy kradzieży miliardów dolarów pojawia się skrót AI, łatwo wyobrazić sobie cyfrowego włamywacza, który sam planuje operację i opróżnia portfele. Ja zaczynam od prostszego pytania: co konkretnie zrobiła sztuczna inteligencja, a co zrobili ludzie, wykorzystując dostęp do systemów? Bez tego można napisać efektowny nagłówek i niczego nie wyjaśnić.

W tej historii rozdzielam trzy rzeczy: oprogramowanie reklamowane jako AI, wewnętrzne narzędzie wykorzystane przez napastników oraz autonomię modelu. To różne pytania. Odpowiedź na jedno nie rozstrzyga pozostałych.

Co Binance ujawniło o udziale AI

Według wstępnego raportu Binance z 3 listopada 2026 r. atak z 29 października objął aktywa warte około 6,34 mld dolarów. AI pojawia się w dwóch etapach:

• Czerwiec: inżynier pobrał zmodyfikowany instalator Homebrew, chcąc zainstalować narzędzie AI do programowania. Binance wykryło incydent, wymieniło urządzenie i zmieniło dane dostępowe, ale napastnik poznał strukturę zespołu.
• 20 października: napastnik wykorzystał wcześniej zainfekowany komputer i wewnętrzne narzędzie AI do przejęcia kolejnych komputerów. Znalazł token pozwalający wdrażać kontenery, czyli uruchamiać odizolowane pakiety oprogramowania.

Pomiędzy tymi etapami fałszywa rekrutacja skłoniła drugiego inżyniera do pobrania złośliwego zadania. Finałem było wykorzystanie skradzionych uprawnień i usługi podpisywania transakcji. To opis wieloetapowego włamania; raport nie potwierdza samodzielnego działania AI.

Raport pozostaje wstępny. Nie ujawnia dokładnego mechanizmu wykorzystania wewnętrznego AI ani nie potwierdza deepfake’ów, prompt injection czy napisania malware przez model. Nie dopisuję tych elementów do rekonstrukcji.

AI jako przynęta: instalujesz pomocnika, wpuszczasz złodzieja

Nazwa popularnej technologii może budować wiarygodność instalatora. Człowiek chce szybciej pracować, więc szuka aplikacji, trafia na stronę pobierania i wykonuje instrukcję. Na tym etapie nie trzeba żadnej inteligencji po stronie złośliwego programu. Wystarczy, że użytkownik uruchomi go z odpowiednimi uprawnieniami.

Sam mechanizm fałszywego instalatora jest udokumentowany niezależnie. SANS Internet Storm Center opisał kampanię z reklamą podszywającą się pod Homebrew. Homebrew to menedżer pakietów, czyli narzędzie do instalowania oprogramowania. W analizowanym przez SANS przypadku reklama prowadziła do fałszywej strony, a podana instrukcja instalowała program kradnący dane MacSync Stealer. To przykład sposobu działania, a nie dowód identyczności złośliwego oprogramowania w obu sprawach.

Dla mnie praktyczny wniosek jest prosty: popularność produktu nie uwierzytelnia strony, z której go pobierasz. Podobnie działa nazwa giełdy w wiadomości od rzekomego konsultanta. Najpierw sprawdzam źródło, dopiero potem obietnicę wygody.

Jeżeli instalacja wymaga wklejenia polecenia do terminala, traktuję je jak uruchomienie programu. Ładna strona i wynik wysoko w wyszukiwarce nie zastępują sprawdzenia oficjalnej dokumentacji. Szczególnie gdy na komputerze są już sesje giełdowe, dokumenty finansowe albo klucze dostępowe.

Wewnętrzne AI może stać się przejściem między systemami

Słowo „wewnętrzne” mówi, gdzie narzędzie funkcjonuje. Nie opisuje jeszcze jego bezpieczeństwa. Przy ocenie takiego systemu interesuje mnie, czy tylko odpowiada na pytania, czy również czyta pliki, uruchamia polecenia i korzysta z kont pracowników.

OWASP opisuje ryzyko nadmiernej sprawczości AI: system może wyrządzić szkody, gdy ma zbyt wiele funkcji, uprawnień albo swobody działania. Dotyczy to aplikacji zbudowanej wokół modelu, wraz z jej integracjami. Model nie musi otrzymać prywatnego klucza w rozmowie, żeby aplikacja miała dostęp do wrażliwej operacji.

Wyobraź sobie pomocnika do analizy raportów. Ma wyjaśniać wyniki, ale jego integracja potrafi też zmieniać pliki i wysyłać wiadomości. Przyznano mu więcej możliwości, niż wymaga zadanie. To przykład ogólnego ryzyka, nie opis konfiguracji Binance. OWASP zaleca ograniczenie funkcji i uprawnień oraz egzekwowanie autoryzacji w systemach wykonujących działania, zamiast zdawać tę decyzję na model.

Ja porównuję to do przepustki pracowniczej. Pomocnik potrzebuje wejścia do czytelni. Jeśli dostaje kartę do wszystkich pomieszczeń, problemem staje się zakres dostępu. Zapewnienie, że będzie korzystał wyłącznie z czytelni, nie zamyka pozostałych drzwi.

Dlatego po informacji o wykorzystaniu AI szukałbym odpowiedzi na pytania o tożsamość używaną przez narzędzie, dostępne operacje i granice między komputerami. Sama nazwa modelu niewiele tu wyjaśni.

Prompt injection jest możliwym zagrożeniem, nie gotowym wyjaśnieniem

Prompt injection polega na próbie podsunięcia modelowi instrukcji, które zmienią jego działanie wbrew intencji użytkownika. Taka treść może znajdować się w stronie internetowej, pliku albo opisie zadania. Zwykłe dane zaczynają wtedy udawać polecenie.

Wytyczne OWASP dotyczące agentów AI wskazują szczególnie niebezpieczne połączenie: dostęp do prywatnych danych, kontakt z niezaufaną treścią i możliwość wykonywania działań. Zalecają osobną tożsamość agenta, krótkotrwałe tokeny o ograniczonym zakresie oraz izolację środowiska i ruchu sieciowego.

To ważny kontekst dla każdej firmy wdrażającej pomocników AI. Nie wykorzystuję go jednak do uzupełnienia brakujących ustaleń konkretnego śledztwa. „Taki atak jest możliwy” i „tak przeprowadzono ten atak” wymagają innych dowodów.

Podpis transakcji też jest granicą bezpieczeństwa

Binance wskazało także na nadużycie autoryzacji EIP-7702, działających niezależnie od zwykłego procesu wypłat.

Specyfikacja EIP-7702 opisuje mechanizm pozwalający zwykłemu kontu Ethereum delegować wykonywanie kodu na wskazany kontrakt. To funkcja protokołu, nie technologia AI. Zatwierdzenie takiej delegacji może zmienić możliwości działania na koncie. Autorzy specyfikacji ostrzegają, że źle przygotowany kontrakt delegowany może umożliwić napastnikowi niemal pełną kontrolę nad kontem.

Nie wrzucam też wszystkich podpisów do jednego worka. Zgoda na wydanie określonego tokena, podpis wiadomości i delegacja EIP-7702 mają różne znaczenie. Wspólna zasada dla użytkownika brzmi: zanim podpiszesz, ustal, co dokładnie zatwierdzasz. Napis „weryfikacja” w interfejsie strony nie jest opisem uprawnienia.

Z perspektywy zarządzania ryzykiem interesuje mnie więc nie tylko to, kto przechowuje klucz. Równie ważne jest, kto może uzyskać podpis, pod jaką operacją i jak można cofnąć jej skutki. Silny sejf niewiele pomaga, jeśli procedura pozwala otworzyć go na podstawie niewłaściwej dyspozycji.

Co z tego wynika dla Twoich pieniędzy i narzędzi AI

Nie masz wpływu na uprawnienia inżynierów giełdy. Masz wpływ na to, ile środków uzależniasz od jednej platformy i co dopuszczasz do własnego komputera. Ja zacząłbym od czterech decyzji:

1. Ustal kwotę, której czasowa niedostępność nie zablokuje Twoich planów. Przykładowo, przy portfelu wartym 100 tys. zł pozostawienie 15 tys. zł na jednej platformie oznacza uzależnienie dostępu do 15% portfela od jej działania. To ilustracja ekspozycji, nie proponowany każdemu limit ani szacunek straty.
2. Oddziel eksperymenty od pieniędzy. Nową aplikację AI lub zadanie rekrutacyjne uruchamiałbym w środowisku bez portfeli, danych dostępowych i prywatnych dokumentów.
3. Przy integracjach sprawdzaj zakres dostępu. Do zestawienia transakcji potrzebny jest odczyt. Możliwość handlu i wypłat wymaga osobnej decyzji. Nie przyznawałbym jej tylko dlatego, że aplikacja prosi o pełny pakiet.
4. Zaplanuj wyłączenie narzędzia. Przed podłączeniem kont sprawdź, gdzie odbierzesz dostęp i unieważnisz token. Usunięcie okna czatu nie powinno być Twoim planem reagowania na incydent.

Samodzielne przechowywanie kryptowalut również wymaga umiejętności i procedur. Przeniesienie środków bez przygotowania może zamienić ryzyko platformy na ryzyko własnego błędu. Dlatego nie traktuję paniki jako strategii bezpieczeństwa.

Podobną kontrolę proponuję w artykule o tym, jak sprawdzić, czy analiza dokumentów AI zostaje na komputerze. Tam sprawdzasz drogę danych. Tutaj dodaj pytanie o drogę uprawnień: co aplikacja może zrobić w Twoim imieniu?

Moja ocena: mierzmy bezpieczeństwo granicami dostępu

Binance zapowiedziało rozbudowę wykrywania zagrożeń z użyciem AI i przebudowę dotkniętego narzędzia oraz kontroli dostępu.

Takie deklaracje oceniałbym po efektach. Czy przejęcie jednego stanowiska pozwala dostać się dalej? Czy operacja finansowa wymaga niezależnej weryfikacji? Czy da się szybko odciąć uprawnienia? To pytania o sprawdzalne zabezpieczenia, a nie o atrakcyjność technologii.

Chcę korzystać z AI, bo oszczędza pracę. Nie widzę jednak powodu, by za tę wygodę płacić nieograniczonym dostępem do plików, kont i pieniędzy. Dobry pomocnik dostaje tyle możliwości, ile wymaga zadanie. Resztę pozostawiam poza jego zasięgiem.

Stan informacji: 5 listopada 2026 r. Rekonstrukcję incydentu opieram na komunikacie giełdy; zasady zabezpieczania AI i delegacji kont wyjaśniam na podstawie podlinkowanej dokumentacji OWASP oraz Ethereum.