Binance w pełni uzupełnił około 6,34 mld dolarów w kryptowalutach skradzionych podczas naruszenia bezpieczeństwa z 29 października, podczas gdy amerykańskie władze uzyskały zgodę sądu na zajęcie lub zablokowanie ponad 1,2 mld dolarów skradzionych aktywów, które powiązano z północnokoreańskimi hakerami.

Giełda zakończyła zastąpienie dotkniętych aktywów klientów 12 listopada, sięgając po środki korporacyjne, rezerwy awaryjne i zasoby ubezpieczeniowe w celu pokrycia strat. Opublikowano również nowy zrzut Proof of Reserves obejmujący 198 kryptowalut, choć jego pełna weryfikacja kryptograficzna nadal trwa.

Uzupełnienie nastąpiło dwa tygodnie po tym, jak atakujący wypłucili około 6,3 mld dolarów z gorących portfeli Binance, co wywołało awaryjne ograniczenia wypłat i jedną z największych skoordynowanych operacji zamrażania aktywów w historii kryptowalut. Odpowiedź przebiegała na dwóch frontach — rekompensata dla klientów finansowana ze skarbca firmy oraz wieloagenskie zamrażanie aktywów — połączenie, które stało się typowe dla sposobu, w jaki branża i organy ścigania radzą sobie z największymi kradzieżami w sektorze.

Binance kończy uzupełnianie aktywów, wypłaty nadal ograniczone

Binance sfinansował zastąpienie skradzionych aktywów poprzez Secure Asset Fund for Users (SAFU) — awaryjny fundusz ubezpieczeniowy utworzony w 2018 roku — wraz z nadwyżką kapitału z funduszu ubezpieczenia futures oraz skarbca korporacyjnego. Około 98% dotkniętych aktywów zostało już przywróconych wcześniej w tym miesiącu, a pozostała część składała się głównie z mniej płynnych kryptowalut, które wymagały dodatkowych zakupów na rynkach spot oraz w transakcjach over-the-counter.

Ujawnienia proof-of-reserves stały się powszechną praktyką branżową po upadku FTX pod koniec 2022 roku, gdy największe giełdy zaczęły publikować kryptograficzne atestacje, aby klienci mogli potwierdzić pokrycie swoich sald. Zrzut rezerw z 12 listopada obejmuje 198 tokenów i ma pozwolić klientom zweryfikować, że ich zasoby są pokryte co najmniej w stosunku 1:1. Jednak kompletny dowód zero-knowledge nie był dostępny w momencie ogłoszenia uzupełnienia przez Binance. Jego wygenerowanie miało zająć kolejne 40–50 godzin, co oznacza, że niezależna weryfikacja najnowszego zrzutu pozostawała otwarta.

Binance zobowiązał się również do przywrócenia SAFU do około 1 mld dolarów po wykorzystaniu funduszu awaryjnego. Wypłaty są nadal wznawiane etapami, a nie w pełnym zakresie we wszystkich obsługiwanych sieciach. Pozostałe kamienie milowe odzyskiwania obejmują publikację kompletnego dowodu zero-knowledge oraz przywrócenie pełnej dostępności wypłat we wszystkich obsługiwanych sieciach.

Giełda podkreśliła, że zastąpienie aktywów klientów to odrębna kwestia od odzyskiwania skradzionych kryptowalut, które pozostaje objęte trwającym śledzeniem blockchainowym i działaniami organów ścigania.

USA zamrażają 2,7 mld dolarów powiązanych z północnokoreańskimi hakerami

Amerykański Departament Sprawiedliwości uzyskał 12 listopada zgodę sądu na zajęcie lub zablokowanie ponad 1,2 mld dolarów skradzionych aktywów Binance. Kwota ta stanowi część ponad 2,7 mld dolarów zamrożonych w ramach skoordynowanych działań z udziałem federalnych śledczych, giełd kryptowalutowych i innych partnerów z sektora prywatnego. Postanowienia sądowe nie potwierdzają, że jakiekolwiek środki zostały już zwrócone Binance. Operacje zamrażania tego typu stały się rutynowym pierwszym krokiem w dużych sprawach kradzieży kryptowalut, choć przekucie postanowień sądowych w zwrócone aktywa może zająć lata postępowań prawnych.

FBI wcześniej przypisało atak północnokoreańskiej operacji TraderTraitor — programowi, który amerykańskie agencje publicznie śledzą od 2022 roku — który wykorzystał przejęte systemy wewnętrzne do inicjowania nieautoryzowanych transferów w wielu blockchainach. Wstępne śledztwo Binance ustaliło, że włamanie nastąpiło poprzez przejęte urządzenia pracowników, skradzione poświadczenia oraz dostęp do infrastruktury podpisywania portfeli. Atakujący wykorzystali również mechanizm autoryzacji EIP-7702 Ethereum — funkcję wprowadzoną w aktualizacji Pectra z maja 2025 roku, pozwalającą standardowym portfelom tymczasowo działać jako kontrakty inteligentne — aby przenosić środki niezależnie od normalnych systemów wypłat giełdy.

Północnokoreańscy operatorzy nadal próbują prania pieniędzy za pośrednictwem mostów kryptowalutowych, mikserów i giełd; śledczy z USA i Organizacji Narodów Zjednoczonych wielokrotnie wiązali takie kampanie kradzieży z finansowaniem państwa. Wcześniejsze działania odzyskowe obejmowały zabezpieczenie przez Arbitrum około 30 mln dolarów skradzionych aktywów Binance, pod warunkiem zatwierdzenia przez governance przed jakimkolwiek uwolnieniem.

DOJ rozbija odrębne północnokoreańskie oszustwo na 400 mln dolarów

Amerykańscy śledczy rozbili również odrębną północnokoreańską kampanię inżynierii społecznej znaną jako FaceStealer, odpowiedzialną za kradzież ponad 400 mln dolarów w kryptowalutach w poprzednich 18 miesiącach. Operacja wykorzystywała przejęte konta komunikatorów, fałszywe wideorozmowy i deepfake generowane przez AI, aby nakłonić profesjonalistów z branży kryptowalut do zainstalowania złośliwego oprogramowania.

Atakujący często podszywali się pod zaufane kontakty, po czym przedstawiali sfabrykowane problemy techniczne podczas rozmów wideo, przekonując ofiary do pobrania złośliwego oprogramowania dającego dostęp do ich komputerów i zasobów kryptowalutowych.

FBI przejęło infrastrukturę chmurową wspierającą kampanię i na podstawie federalnego nakazu uzyskało ponad 900 nagrań z kamer internetowych ofiar, łącznie łącząc zajęcie infrastruktury ze strategią blokowania aktywów zastosowaną w głównym śledztwie dotyczącym włamania. Śledczy badają również próby kompromitacji deweloperów utrzymujących oprogramowanie open-source, co mogło dać atakującym dostęp do powszechnie używanych repozytoriów oprogramowania i ich użytkowników.