Hakerzy ukradli w czwartek około 6,3 miliarda dolarów z Binance w tym, co jest obecnie największą udokumentowaną kradzieżą kryptowalut, przyćmiewając 1,5 miliarda dolarów ukradzionych z Bybit w lutym 2025 roku. Partnerzy branżowi zamrozili około 3 miliardów dolarów w dotkniętych aktywach, a klienci giełdy czekają na wznowienie wypłat.

Firma analityczna TRM Labs prześledziła pierwsze nieuprawnione transfery do około 20:05 UTC w czwartek, kiedy portfele Binance zostały opróżnione w wielu blockchainach. Atakujący wymierzyli gorące portfele, które giełdy utrzymują w połączeniu z internetem w celu obsługi wypłat. Ponieważ muszą pozostać online, gorące portfele są ogólnie uważane za najbardziej narażoną część infrastruktury giełdy, i to wokół nich koncentrowały się się poważne włamania na giełdy.

TRM Labs przypisało atak północnokoreańskiej grupie TraderTraitor — temu samemu sprawcy, którego Federalne Biuro Śledcze USA obarcza winą za kradzież z Bybit. Binance nie potwierdziło publicznie tożsamości atakujących. Jeśli przypisanie się potwierdzi, dwie największe kradzieże kryptowalut w historii okazaliby się dziełem jednej grupy.

Poniższe dane i oś czasu pochodzą z relacji na żywo Cointelegraph oraz późniejszych oświadczeń giełdy. Śledztwo trwa, a zarówno łączne straty, jak i harmonogram odtwarzania mogą ulec zmianie.

Binance rezerwuje 6,34 miliarda dolarów na pokrycie strat

Binance poinformowało, że zarezerwowało ponad 6,34 miliarda dolarów środków własnych na pokrycie strat, w tym 5 miliardów dolarów już posiadanych w dotkniętych tokenach. Ta alokacja nie obejmuje zamrożonych aktywów, a giełda poinformowała, że kupuje pozostałe tokeny za pośrednictwem giełd i transakcji over-the-counter. Zamrożenia partnerskie i rezerwa finansowana przez firmę odzwierciedlają razem dwa główne dźwignie odtwarzania przy kradzieży tej skali: przechwytywanie skradzionych środków w miarę ich przemieszczania się w ekosystemie oraz uzupełnianie sald klientów z własnego bilansu giełdy.

Rzecznik powiedział Cointelegraph, że 5 miliardów dolarów znajduje się w depozycie Binance, ale odmówił ujawnienia adresów portfeli, powołując się na względy bezpieczeństwa. Firma bezpieczeństwa CertiK powiedziała, że potrzebuje więcej informacji, aby niezależnie zweryfikować te zasoby.

Rola EIP-7702 pod lupą

Aktualizacja Ethereum EIP-7702 znalazła się pod obstrzałem po tym, jak atakujący wykorzystali ją do opróżnienia portfela Binance. EIP-7702 to funkcja pozwalająca portfelowi autoryzować oprogramowanie do działania w jego imieniu. CEO Blockaidu Ido Ben-Natan powiedział Cointelegraph, że włamanie prawdopodobnie umożliwiły skompromitowane systemy podpisywania.

Według Ben-Natana atakujący mogli ukraść środki także bez EIP-7702, ale ta funkcja mogła pomóc im obejść zabezpieczenia i opróżnić aktywa za jednym zamachem.

Współdyrektor generalny Binance Richard Teng powiedział, że atakujący wykorzystał delegację EIP-7702, aby uzyskać uprawnienia wykonawcze do gorącego portfela z pominięciem standardowych kontroli zatwierdzeń giełdy. „Mechanizm autodestrukcji” zniszczył narzędzia i ślady, co utrudniło śledztwo, powiedział.

Binance poinformowało, że śledczy odkryli także dodatkowe naruszenia wykraczające poza początkowo podejrzewany skompromitowany laptop. Giełda nie odnotowała jednak dowodów na wyciek kluczy prywatnych portfeli i poinformowała, że spodziewa się podzielić się dalszymi ustaleniami technicznymi w ciągu około 48 godzin.

„Żeby było jasne: atakujący nie wykorzystał po prostu uprawnień jednego inżyniera i nie było to pojedyncza akcja »jednym kliknięciem«”, powiedział Teng. „Nasze śledztwo nie przypisało odpowiedzialności żadnej konkretnej osobie.”

Chainalysis zaobserwowała tysiące transakcji w szybkim tempie, co może wskazywać na zautomatyzowane pranie pieniędzy, przy czym środki krążyły między adresami, a czasem wracały do wcześniej używanych portfeli.

Użytkownicy czekają na wznowienie wypłat

Kradzież wstrząsnęła cenami kryptowalut i skłoniła zdecentralizowanego pożyczkodawcę Aave do wprowadzenia profilaktycznego zamrożenia nowych depozytów i pożyczek. Aave poinformowało na X, że jego rynki zostały ponownie otwarte w piątek po południu, podczas gdy wypłaty z Binance pozostały zawieszone.

W piątkowej aktualizacji na X Binance powiedziało, że zamierza rozpocząć etapowe wznawianie wypłat w niedzielę 1 listopada, po zakończeniu kontroli bezpieczeństwa. Depozyty i inne nienaruszone usługi działały normalnie.

W oficjalnym ogłoszeniu giełda poinformowała również, że planuje wykonać wstępny zrzut proof-of-reserves w ciągu 12 godzin od ogłoszenia, a wyniki będą gotowe w poniedziałek. Raport ma pokazać aktywa posiadane przez Binance oraz pokrycie sald klientów.

W sobotniej aktualizacji Binance poinformowało, że uzupełniło 90% skradzionych aktywów i pozostaje na kursie do otwarcia wypłat w niedzielę. Etapowe wznowienie planowane od niedzieli, zapowiadane ustalenia techniczne w ciągu około 48 godzin oraz wyniki proof-of-reserves expected w poniedziałek tworzą razem oś czasu, względem której można mierzyć odtwarzanie giełdy.