Hakerzy z Korei Północnej włamali się do Binance i ukradli $6,3 mld
Binance oszacowała wartość włamania na około $6,3 mld i poinformowała o zamrożeniu około $3 mld. Analitycy TRM Labs i Chainalysis wiążą atak z północnokoreańską grupą TraderTraitor, a wstępne dochodzenie giełdy wskazuje na włamanie do laptopa pracownika.
Według obliczeń TRM Labs 29 października przestępcy wyprowadzili z portfeli Binance około $6,36 mld w dziesięciu blockchainach. Większość aktywów skradziono w ciągu około 20 minut, począwszy od 20:05 UTC. Analitycy określają to zdarzenie jako największą kradzież w historii kryptowalut: jej wartość jest mniej więcej czterokrotnie wyższa niż straty poniesione wskutek włamania do Bybit w lutym 2025 roku.
Kto jest podejrzewany o przeprowadzenie ataku
TRM Labs z dużą pewnością przypisuje włamanie grupie TraderTraitor – północnokoreańskiej jednostce hakerskiej powiązanej z Lazarus. Firma powołuje się na łączne dane z blockchainów i innych źródeł.
Lazarus jest bezpośrednio łączona ze strukturami państwowymi Korei Północnej. Departament Skarbu USA zalicza tę grupę do organizacji kontrolowanych przez rząd Korei Północnej za pośrednictwem Głównego Biura Wywiadowczego (RGB), służby wywiadowczej tego kraju.
Władze USA, Japonii i Korei Południowej uznają kradzieże kryptowalut dokonywane przez północnokoreańskich hakerów za źródło nielegalnych dochodów służących finansowaniu programów broni masowego rażenia i rakiet balistycznych. Nie ustalono jednak jeszcze, na co zostaną przeznaczone środki skradzione konkretnie z Binance.
Współzałożyciel i dyrektor generalny Chainalysis, Jonathan Levin, również wskazał TraderTraitor jako prawdopodobnego organizatora ataku. Binance nie ogłosiła dotąd własnych ustaleń dotyczących tożsamości napastników i nadal współpracuje z organami ścigania.
Jak włamano się do Binance
Według wstępnej wersji wydarzeń przedstawionej przez giełdę napastnicy mogli uzyskać dostęp do laptopa inżyniera DevOps. Za jego pośrednictwem włamali się do kontenera usługowego i wysłali nieautoryzowane transakcje wypłaty środków.
Binance nie znalazła jednak dowodów na wyciek kluczy prywatnych do portfeli. Wstępna wersja firmy wskazuje zatem na przejęcie kontroli nad wewnętrzną infrastrukturą, za pośrednictwem której realizowano wypłaty. Dokładny mechanizm ataku trzeba jeszcze ustalić.
Giełda cofnęła autoryzację dla zaatakowanego adresu i tymczasowo wstrzymała wpłaty oraz wypłaty do czasu zakończenia kontroli bezpieczeństwa. Binance zapowiada publikację szczegółowego raportu technicznego po zakończeniu dochodzenia.
Co stanie się ze środkami klientów
Dzięki współpracy z partnerami Binance udało się zamrozić w blockchainach aktywa o wartości około $3 mld. Firma nadal śledzi pozostałe środki i współpracuje z emitentami tokenów, organizacjami analitycznymi oraz organami ścigania, by zablokować kolejne aktywa i je odzyskać.
Nie można jeszcze uznać niezablokowanych środków za bezpowrotnie utracone – ich poszukiwania trwają. Samo zamrożenie ogranicza możliwość przenoszenia aktywów, ale nie oznacza jeszcze ich zwrotu giełdzie.
Binance poinformowała, że pokryje wszystkie straty ze środków funduszu rezerwowego SAFU oraz własnych funduszy. Firma zapewniła użytkowników, że ich aktywa są bezpieczne, i zapowiedziała publikację zaktualizowanego potwierdzenia rezerw (Proof of Reserves) po zakończeniu prac naprawczych.
