Śledczy twierdzą, że zadziałało kilka czynników, w tym przejęty laptop inżyniera DevOps, a tropy wskazują na odpowiedzialność północnokoreańskich grup.
Śledczy badają, w jaki sposób hakerzy ukradli 6,3 mld dolarów (5,6 mld euro) z giełdy kryptowalut Binance w ataku określanym jako „największy hack w historii”. Wstępne sygnały wskazują, że za cyberatak mógł odpowiadać północnokoreański gang hakerski.
REKLAMA
REKLAMA
Skala strat wielokrotnie przewyższa poprzednie kradzieże kryptowalut, takie jak Bybit (1,5 mld dolarów, 1,39 mld euro), Poly Network (610 mln dolarów, 545 mln euro) czy Ronin Network (540 mln dolarów, 482 mln euro). Incydent w Binance jest najnowszym z serii naruszeń cyberbezpieczeństwa w październiku, a eksperci w dużej mierze obwiniają o nie rosnące wykorzystanie sztucznej inteligencji do wyszukiwania luk w zabezpieczeniach.
Binance to największa na świecie giełda kryptowalut. Według firmy kontroluje około 35% całego rynku krypto. Jest jednym z filarów ekosystemu kryptowalut, umożliwiając kupno i sprzedaż cyfrowych aktywów.
Podobnie jak tradycyjne kantory wymiany walut, giełda przechowuje środki klientów w kontrolowanych przez siebie portfelach i realizuje wypłaty z kilku portfeli, które pozostają stale podłączone do sieci.
Atak trwał niespełna cztery godziny. Hakerzy uzyskali dostęp do kilku portfeli przez zainfekowany laptop i przelali środki z portfeli Binance na swoje własne. Binance i jego partnerom udało się zamrozić 2,7 mld dolarów (2,4 mld euro) zrabowanych środków, ale pozostałe pieniądze wciąż znajdują się nietknięte w portfelach napastnika.
Oto chronologia wydarzeń:
Thursday
22:29 CET Binance informuje, że aktywnie bada doniesienia o możliwym problemie z bezpieczeństwem i zapewnia klientów, że ich środki są „całkowicie bezpieczne”, jednocześnie ostrzegając przed „oszustwami”.
23:15 CET Firma podaje, że prowadzi kontrole bezpieczeństwa. Zapowiada wznowienie wypłat, gdy tylko problem zostanie rozwiązany.
Friday
00:06 CET Firma zawiesza handel na Binance Alpha. Zapowiada, że transakcje zostaną wznowione po rozwiązaniu problemu z bezpieczeństwem i ponownie zapewnia klientów, że ich środki pozostają bezpieczne.
00:22 CET Binance po raz pierwszy ogłasza, że aktywa są dotknięte incydentem. Firma potwierdza, że jest świadoma doniesień o zamrożonych środkach, wyjaśniając, że obecnie zamrożono 2,54 mld dolarów (2,26 mld euro). Dodaje, że kwota może wzrosnąć, ponieważ ściśle współpracuje z organami ścigania i odpowiednimi władzami, aby namierzać i zamrażać aktywa.
01:13 CET Binance wydaje oświadczenie, w którym zapowiada, że „pokryje wszystkie straty” i informuje, że w ramach środka ostrożności wszystkie depozyty i wypłaty zostały tymczasowo zawieszone.
01:52 CET Firma aktualizuje kwotę zamrożonych aktywów, która wzrosła do 3 mld dolarów (2,68 mld euro).
03:25 CET Binance ujawnia, że łączny wpływ ataku to około 6,3 mld dolarów (5,6 mld euro). Z dotychczasowego dochodzenia wynika, że zainfekowany laptop inżyniera DevOps mógł być punktem wejścia dla ataku, który umożliwił dostęp do kontenera usługowego oraz składanie nieautoryzowanych zleceń wypłaty.
Firma dodaje, że nie ma dowodów na wyciek żadnego prywatnego klucza portfela. W ramach środka ostrożności cofnęła autoryzację dotkniętego adresu i nawiązała współpracę z organami ścigania oraz partnerami z branży blockchain, aby namierzyć i odzyskać środki, a także zamrozić konta.
05:36 CET W kolejnym komunikacie firma stwierdza, że incydent wynikał z wielu czynników, a nie tylko z jednego zainfekowanego laptopa.
09:47 CET Binance potwierdza wcześniejsze ustalenia, że zainfekowany laptop mógł być jednym z punktów wejścia, ale zaznacza, że śledczy odkryli także inne naruszenia w ramach „złożonego ataku”. Firma informuje, że jest na dobrej drodze, by w ciągu 45 godzin wznowić wypłaty.
11:55 CET Firma podaje, że zaczęła odzyskiwać dotknięte aktywa dla użytkowników i pokryje straty ze środków spółki. Na pokrycie skutków incydentu zarezerwowano 6,34 mld dolarów (5,66 mld euro).
„We will weather this storm” – pisze firma na platformie społecznościowej X.
How did they do it?
Binance informuje, że był to „złożony atak”, który wynikał z wielu czynników.
Z wstępnego dochodzenia wynika, że incydent bezpieczeństwa mógł obejmować zainfekowany laptop inżyniera DevOps. Umożliwił on napastnikowi dostęp do kontenera usługowego i składanie nieautoryzowanych zleceń wypłaty.
Firma zajmująca się infrastrukturą danych blockchain Bitquery podaje, że własny system wypłat Binance w niespełna cztery godziny podpisał transakcje na 6,3 mld dolarów (5,6 mld euro) z 17 gorących portfeli. Stało się to od czwartku, od 21:04, do piątkowego poranka, do 00:56 CET.
Według Bitquery doprowadziło to do tego, że wydawcy stablecoinów Tether, Circle i Arbitrum, a także czterech mniejszych emitentów, zamrozili 2,7 mld dolarów, aby zapobiec kradzieży środków. Bitcoin potwierdził, że łącznie zamrożono 3 mld dolarów.
Napastnik zdążył zamienić kolejne 729 mln dolarów w stablecoinach, zanim rozpoczęło się ich zamrażanie. Ostatecznie napastnik wciąż posiadał około 3,1 mld dolarów, głównie w Etherze i Bitcoinie, wynika z danych Bitquery.
Bitquery podaje też, że środki wysłano na nowe adresy w ramach dziewięciu różnych blockchainów, z największym uderzeniem w Ethereum, Bitcoina i TRON.
Firma nadal bada incydent we współpracy z organami ścigania i partnerami zajmującymi się analizą blockchain, aby namierzyć i odzyskać środki.
Binance tymczasowo zawiesiło depozyty i wypłaty do czasu zakończenia kontroli bezpieczeństwa, cofnęło autoryzację dotkniętego adresu i zaangażowało organy ścigania oraz partnerów z branży blockchain do śledzenia i odzyskiwania środków.
Firma zapowiedziała, że opublikuje szczegółową techniczną analizę po zakończeniu dochodzenia i potwierdzeniu faktów.
Planuje także publikację zaktualizowanego „Proof of Reserves” po zakończeniu działań naprawczych.
Who was behind it?
Firma zajmująca się analizą blockchain i cyberbezpieczeństwem TRM Labs twierdzi, że za atakiem stała grupa hakerska TraderTraitor z Korei Północnej.
„Based on robust on- and off-chain intelligence, we make this judgment with high confidence” – przekazała firma w oświadczeniu.
TRM Labs zwraca też uwagę, że FBI wskazało tę samą grupę jako odpowiedzialną za włamanie do Bybit na 1,5 mld dolarów (1,34 mld euro) w lutym 2025 roku.