Най-големият криптообир в историята: Как за четири часа изчезнаха $6.3 млрд.?

Само за четири часа хакери успяха да източат 6.3 млрд. долара от най-голямата криптоборса в света – Binance. Зад безпрецедентния обир, който поставя под въпрос сигурността на криптоиндустрията, вероятно стоят севернокорейски хакери, а една от следите води към компрометиран служебен лаптоп.

Размерът на откраднатите средства далеч надхвърля загубите при предишни атаки срещу криптоплатформи, включително Bybit (1.5 млрд. долара), Poly Network (610 млн. долара) и Ronin Network (540 млн. долара). Инцидентът с Binance е поредният от серия кибератаки през октомври, като експерти по киберсигурност посочват все по-широкото използване на изкуствен интелект за откриване на уязвимости като един от факторите за тази тенденция.

Binance е най-голямата криптоборса в света с приблизително 35% пазарен дял според данни на самата компания. Платформата е ключова част от криптоекосистемата, като позволява на потребителите да купуват и продават криптовалути.

Подобно на традиционните финансови посредници, Binance съхранява активите на клиентите си в управлявани от нея портфейли. Част от тях са постоянно свързани с интернет, за да могат да се обработват тегленията на потребителите.

Атаката е продължила малко под четири часа. През това време хакерите са получили достъп до няколко портфейла чрез компрометиран лаптоп и са прехвърлили средствата към собствени адреси. Binance и нейните партньори са успели да замразят 2.7 млрд. долара (2.4 млрд. евро) от откраднатите активи, но останалите средства продължават да се намират в портфейлите на нападателите, без засега да са били преместени.

Ето как се е развила атаката.

Хронология на събитията

Четвъртък

• 22:29 ч.: централноевропейско време: Binance съобщава, че активно разследва сигнали за потенциален проблем със сигурността. Компанията уверява клиентите, че средствата им са „напълно защитени“, но предупреждава за възможни измами.
• 23:15 ч.: Платформата обявява, че извършва проверки на сигурността и че тегленията ще бъдат възобновени веднага след отстраняването на проблема.

Петък

• 00:06 ч.: Binance временно спира търговията в Binance Alpha, като уточнява, че тя ще бъде възстановена след разрешаването на проблема. Компанията отново уверява клиентите, че средствата им са защитени.
• 00:22 ч.: Binance за първи път потвърждава, че инцидентът засяга активи. Компанията съобщава, че е запозната със сигналите за замразени средства, като уточнява, че към този момент са блокирани 2.54 млрд. долара (2.26 млрд. евро). Сумата може да нарасне, тъй като платформата работи съвместно с правоохранителните органи и компетентните институции за проследяване и замразяване на активите.
• 01:13 ч.: Binance публикува изявление, че ще „покрие всички загуби“. Като предпазна мярка всички депозити и тегления са временно преустановени.
• 01:52 ч.: Компанията актуализира сумата на замразените активи, която вече достига 3 млрд. долара (2.68 млрд. евро).
• 03:25 ч.: Binance разкрива, че общият размер на засегнатите средства е около 6.3 млрд. долара (5.6 млрд. евро). Според първоначалното разследване възможната входна точка на атаката е бил компрометиран лаптоп на DevOps инженер. Това е позволило на нападателите да получат достъп до служебен контейнер и да подадат неоторизирани заявки за теглене.

Компанията уточнява, че няма доказателства за изтичане на частни ключове на криптопортфейли. Като предпазна мярка тя е отменила засегнатото разрешение за адрес и е потърсила съдействие от правоохранителните органи и партньори в блокчейн сектора за проследяване и възстановяване на средствата, наред със замразяването на сметки.

• 05:36 ч.: Binance съобщава, че инцидентът е резултат от съчетание на няколко фактора, а не единствено от компрометирания лаптоп.
• 09:47 ч.: Компанията потвърждава първоначалната версия за лаптопа като възможна входна точка, но уточнява, че разследващите са установили и други пробиви в рамките на определяната като „сложна атака“. Binance очаква да възобнови тегленията в рамките на 45 часа.
• 11:55 ч.: Binance съобщава, че е започнала да възстановява засегнатите активи на потребителите и ще покрие загубите със собствени средства. За целта компанията е заделила 6.34 млрд. долара (5.66 млрд. евро).

Ще преодолеем тази буря“, заявява компанията в социалната мрежа X.

Как е извършена атаката?

Binance описва инцидента като „сложна атака“, резултат от няколко взаимосвързани фактора.

Първоначалното разследване показва, че пробивът може да е започнал от компрометиран лаптоп на DevOps инженер. Чрез него нападателите вероятно са получили достъп до служебен контейнер и са успели да подадат неоторизирани транзакции за теглене.

Според компанията за блокчейн анализи Bitquery собствената система на Binance за тегления е подписала транзакции на обща стойност 6.3 млрд. долара (5.6 млрд. евро) от 17 нейни „горещи“ портфейла – такива, които са постоянно свързани с интернет.

Средствата са изтеглени за по-малко от четири часа – между 21:04 ч. в четвъртък и 00:56 ч. в петък централноевропейско време.

Това е накарало емитентите на стейбълкойни Tether, Circle и Arbitrum, заедно с още четири по-малки емитента, да замразят 2.7 млрд. долара, за да предотвратят по-нататъшното прехвърляне на средствата, посочва Bitquery. По информация в материала общата сума на блокираните активи впоследствие е достигнала 3 млрд. долара.

Преди замразяването нападателите са успели да обменят и стейбълкойни на стойност 729 млн. долара. В крайна сметка под техен контрол са останали около 3.1 млрд. долара, основно в Ether и Bitcoin, според Bitquery.

Анализът показва още, че средствата са били прехвърлени към новосъздадени адреси в девет блокчейн мрежи, като най-силно засегнати са Ethereum, Bitcoin и TRON.

Binance продължава разследването съвместно с правоохранителните органи и компании за блокчейн анализи, за да проследи и възстанови откраднатите активи.

Платформата временно е спряла депозитите и тегленията до приключване на проверките по сигурността. Отменени са засегнатите разрешения, а за проследяването на средствата са привлечени правоохранителните органи и специализирани партньори.

Компанията обещава да публикува подробен технически анализ на инцидента, след като разследването приключи и фактите бъдат потвърдени.

Binance планира също да публикува актуализиран отчет за доказателство на резервите (Proof of Reserves), след като приключат действията по отстраняване на последиците от атаката.

Кой стои зад атаката?

Компанията за блокчейн разузнаване и киберсигурност TRM Labs твърди, че зад атаката стои севернокорейската хакерска група TraderTraitor.

Въз основа на надеждна разузнавателна информация от блокчейн мрежите и извън тях правим тази оценка с висока степен на увереност“, посочва компанията в изявление.

TRM Labs припомня, че през февруари 2025 г. ФБР е идентифицирало същата група като отговорна за хакерската атака срещу Bybit, при която бяха откраднати 1.5 млрд. долара.