Cyberatak na giełdę kryptowalut Binance. Straty już 6,3 mld dolarów

Binance szacuje skutki finansowe cyberataku z 29 października 2026 roku na około 6,3 mld dolarów. Wypłaty pozostają wstrzymane, natomiast wpłaty działają normalnie.

Przejęty laptop inżyniera mógł być punktem wejścia do infrastruktury, ale najnowsze wyjaśnienia firmy wskazują na bardziej złożoną operację. Analitycy wiążą kradzież z Koreą Północną.

Binance wskazuje na wieloetapowy atak

We wstępnym komunikacie giełda podała, że włamanie na komputer inżyniera odpowiedzialnego za infrastrukturę mogło umożliwić dostęp do wewnętrznego kontenera usługowego, a następnie zlecanie nieautoryzowanych wypłat. Jednocześnie zaznaczyła, że nie znalazła dowodów wycieku kluczy prywatnych do portfeli.

W kolejnej aktualizacji Binance poinformowało o wykryciu dodatkowych miejsc naruszenia zabezpieczeń. Według firmy ataku nie można było przeprowadzić z jednego komputera, a uprawnienia pojedynczego inżyniera nie wystarczały do wyprowadzenia pieniędzy jednym kliknięciem. Giełda nie przypisała odpowiedzialności konkretnemu pracownikowi.

TRM Labs ocenia, że sprawcy mogli uzyskać możliwość nakłaniania infrastruktury Binance do podpisywania wybranych przez nich transakcji w różnych sieciach. Brak dowodów kradzieży kluczy nie wyklucza wykorzystania systemu, który ma do nich uprawniony dostęp. Pełna przyczyna incydentu pozostaje przedmiotem dochodzenia.

- Nawet najbardziej zaawansowane zabezpieczenia kryptograficzne nie pomogą, jeżeli cyberprzestępcy zdołają wykorzystać zaufane systemy do zatwierdzania nieuprawnionych transakcji. Ostateczna ocena tego, które mechanizmy zawiodły, będzie jednak możliwa dopiero po zakończeniu dochodzenia - komentuje Kamil Sadkowski, analityk cyberzagrożeń ESET, w informacji prasowej przekazanej redakcji.

Skala kradzieży przekracza atak na Bybit

TRM Labs wyceniło wyprowadzone aktywa na około 6,36 mld dolarów, a Elliptic na 6,43 mld dolarów. Obie firmy opisują incydent jako największą znaną kradzież kryptowalut.

W zestawieniach różni się również liczba uwzględnionych sieci blockchain: TRM wskazuje dziesięć, Elliptic jedenaście. Kwoty trzeba czytać wraz z metodą obliczeń i momentem wyceny. TRM podaje wartość transferów według kursów z chwili ich wykonania, natomiast przy opisie zabezpieczonych środków Elliptic stosuje bieżące ceny. Nie jest to jeszcze ostateczny bilans strat po odzyskaniu aktywów.

Dla porównania: w lutym 2025 roku z giełdy Bybit skradziono kryptowaluty o wartości około 1,5 mld dolarów. FBI przypisało tamtą operację Korei Północnej, określając tę aktywność nazwą TraderTraitor. Obecny incydent jest więc ponad czterokrotnie większy pod względem podawanej wartości wyprowadzonych aktywów.

Podejrzenia prowadzą do Korei Północnej

TRM Labs z wysoką pewnością przypisuje atak na Binance grupie TraderTraitor. Na północnokoreańskich sprawców wskazuje również Elliptic. Binance informuje natomiast o współpracy z organami ścigania przy ustalaniu tożsamości przestępców.

Nawet zbieżność przepływów pieniędzy wymaga ostrożnej interpretacji. Elliptic zaznacza, że wspólna infrastruktura prania środków może obsługiwać różnych klientów. Jej wykorzystanie przy dwóch kradzieżach nie przesądza zatem, że za obiema stoi ten sam zespół hakerów.

O wcześniejszych ustaleniach dotyczących [północnokoreańskich grup atakujących giełdy kryptowalut i programistów] pisaliśmy przy okazji raportu ESET o działalności grup APT, prowadzących zaawansowane i długotrwałe operacje.

Zamrożenie aktywów nie kończy sprawy

Binance podało, że dzięki współpracy z partnerami zamrożono około 3 mld dolarów. Firma deklaruje pokrycie wszystkich strat z funduszu zabezpieczającego SAFU oraz własnych środków.

Możliwość zablokowania transferów zależy od rodzaju aktywów. Jak wyjaśnia Elliptic, emitenci części tokenów mogą zamrażać środki, co utrudnia sprawcy ich dalsze przesyłanie. Bitcoin i ether nie mają centralnego emitenta dysponującego takim uprawnieniem. Stąd próby wymiany skradzionych tokenów na inne aktywa, zanim zostaną zablokowane.

Sadkowski zwraca uwagę, że widoczny w publicznym rejestrze ślad transakcji nie oznacza łatwego odzyskania pieniędzy. Przestępcy mogą rozpraszać środki między adresami i wymieniać je na inne kryptowaluty. Ustalenie, dokąd trafiły aktywa, oraz doprowadzenie do ich zwrotu to odrębne zadania.

Fałszywa pomoc może oznaczać kolejne oszustwo

Ekspert ESET ostrzega także przed możliwością wykorzystania wiadomości o ataku do wyłudzania pieniędzy od użytkowników.

- Przestępcy mogą podszywać się pod obsługę klienta i nakłaniać użytkowników do przeniesienia kryptowalut na fałszywe, rzekomo bezpieczne portfele - ostrzega Sadkowski.

Zaleca ochronę fraz odzyskiwania dostępu i korzystanie z uwierzytelniania wieloskładnikowego. Zwraca również uwagę, że samodzielne przechowywanie aktywów, na przykład w portfelu sprzętowym, wymaga wiedzy i ostrożności. Kontrola nad kluczami prywatnymi oznacza także odpowiedzialność za ich zabezpieczenie.

To zagrożenie dotyczy również odbiorców w Polsce. W styczniu 2025 roku opisywaliśmy [dane ESET o atakach na polskich posiadaczy kryptowalut].

Binance zapowiada publikację pełnego raportu technicznego po zakończeniu dochodzenia oraz zaktualizowanego potwierdzenia rezerw po usunięciu skutków ataku.

 

 

 

Pobierz ebook "Książka "Obłęd w Breslau. Zbrodnia w imię czystości rasy" Tomasza Bonka już w księgarniach"