Binance szacuje skutki włamania na 6,3 mld dolarów i wskazuje na przejęty laptop inżyniera DevOps
- Rodzaj
- Streszczenie
- Data
- Kategoria
- Incydenty
- Redakcja
- Paweł Rosół
- Źródło
- Binance ()
Atakujący dostał się przez komputer inżyniera do kontenera usługi i zlecił nieautoryzowane wypłaty. TRM Labs i Chainalysis przypisują atak północnokoreańskiej grupie TraderTraitor, a ich szacunki strat różnią się od wyliczeń giełdy.
Binance, największa giełda kryptowalut na świecie, poinformowała 30 października 2026 r. o incydencie bezpieczeństwa, którego skutki szacuje na około 6,3 mld dolarów. Według wstępnych ustaleń giełdy atakujący przejął laptop inżyniera DevOps, przez niego dostał się do kontenera jednej z usług i wysłał nieautoryzowane transakcje wypłat. Binance pisze, że nie znalazła śladów wycieku kluczy prywatnych portfeli. Wstrzymała wpłaty i wypłaty na czas kontroli bezpieczeństwa, cofnęła uprawnienia adresu, którego dotyczył atak, i zaangażowała organy ścigania. Z partnerami zamroziła około 3 mld dolarów, a straty obiecuje pokryć z funduszu SAFU i środków własnych. Szczegółowy raport techniczny ma opublikować po zakończeniu dochodzenia.
TRM Labs, firma analizująca transakcje w blockchainach, opisuje przebieg kradzieży. Od 20:05 UTC 29 października środki wypływały z portfeli Binance w dziesięciu sieciach, w większości w ciągu około 20 minut. W sieci Ethereum atakujący przekazał kontrolę nad gorącym portfelem giełdy własnemu kontraktowi przez mechanizm EIP-7702, używając 50 autoryzacji podpisanych wcześniej przez ten portfel. W pozostałych dziewięciu sieciach portfele Binance wysłały środki zwykłymi podpisanymi przelewami. TRM ocenia, że przejęta została infrastruktura podpisująca transakcje gorących portfeli. Przygotowania zaczęły się według firmy co najmniej 36 godzin przed kradzieżą. Binance w swoim komunikacie nie opisuje, jak atakujący uzyskał podpisy.
Kwoty w źródłach się różnią. TRM podaje około 6,36 mld dolarów według cen z chwili kradzieży, Chainalysis we wpisie z 30 października około 5,912 mld dolarów, a cztery godziny później pisze o 6,4 mld. Według TRM, na stan z 30 października 0:30 UTC, wydawcy stablecoinów (Tether, Circle, Ripple i World Liberty Financial) oraz rada bezpieczeństwa sieci Arbitrum zamrozili łącznie około 2,7 mld dolarów. Atakujący trzyma ponad 420 000 ETH i 18 270 BTC, około 2,4 mld dolarów poza zasięgiem jakiegokolwiek wydawcy.
TRM z wysoką pewnością przypisuje atak grupie TraderTraitor, północnokoreańskiej jednostce, którą FBI wskazało jako sprawcę kradzieży 1,5 mld dolarów z giełdy Bybit w lutym 2025 r. Chainalysis również z dużą pewnością wskazuje na Koreę Północną i pisze, że środki skradzione w zeszłomiesięcznym ataku na Bitget mieszają się ze środkami z Binance. Giełda sprawcy nie wskazała, pisze tylko, że z organami ścigania ustala jego tożsamość.
Źródła
- Binance: Security Incident Update
- TRM Labs: North Korea Steals USD 6.36 Billion From Binance in the Largest Hack in History
- Chainalysis: wpis na X z szacunkiem skradzionej kwoty
- Chainalysis: wpis na X o sprawstwie Korei Północnej
Pojęcia w tym tekście (1)
- Incydent
- Zdarzenie, które szkodzi albo może zaszkodzić bezpieczeństwu systemów informacyjnych. Zgłaszać trzeba nie każdy incydent, tylko incydent poważny.