מתקפת סייבר רחבת היקף פגעה הלילה (בין חמישי לשישי) בבורסת המטבעות הדיגיטליים בינאנס (Binance) והובילה לגניבת נכסים בשווי של כ-6.36 מיליארד דולר. לפי ממצאי חברת מודיעין הבלוקצ'יין TRM Labs, מדובר בגניבת המטבעות הדיגיטליים הגדולה ביותר שתועדה עד כה, בהיקף הגדול פי ארבעה בערך מהפריצה לבורסת Bybit בפברואר 2025.
על פי הבדיקה, התוקפים הצליחו להעביר סכומי עתק מארנקים השייכים לבינאנס בעשר רשתות בלוקצ'יין שונות, בהן ביטקוין, את'ריום, סולאנה וטרון. עיקר הכספים נגנבו בתוך כ-20 דקות בלבד, באמצעות עסקאות שנראו כאילו אושרו באופן תקין בידי הארנקים של הבורסה. בהמשך התרחשה מתקפה נוספת על ארנקים ברשתות Avalanche ו-Polygon.
בינאנס אישרה שהתרחש אירוע אבטחה והודיעה על השעיה זמנית של משיכות כספים במספר רשתות כאמצעי זהירות. לצד זאת, החברה טענה שכספי המשתמשים בטוחים. על פי הערכת TRM, מאחורי המתקפה עומדת יחידת ההאקרים TraderTraitor של צפון קוריאה, שאותה זיהה בעבר ה-FBI כאחראית גם לפריצה לבורסת Bybit.
כך הצליחו ההאקרים להשתלט על הארנקים
החקירה מצביעה על כך שההכנות לפריצה החלו לפחות 36 שעות לפני גניבת הכספים. כבר ב-28 באוקטובר קיבל ארנק ששימש את התוקפים שלוש העברות קטנות משירות Tornado Cash, המשמש להסתרת מקורותיהם של מטבעות דיגיטליים. בהמשך הכינו ההאקרים קוד זדוני, בדקו אותו בכמה ארנקים וביצעו חזרה לקראת המתקפה.
אחת משיטות הפעולה המרכזיות התבססה על מנגנון בשם EIP-7702, שהוכנס לרשת של מטבעות את'ריום במאי 2025 ומאפשר לארנק רגיל להעביר חלק מהשליטה בפעילותו לחוזה חכם. התוקפים השיגו מראש 50 הרשאות חתומות מארנק פעיל של בינאנס והשתמשו באחת מהן כדי להפעיל קוד שהעניק להם שליטה בהעברת הכספים. בעסקה אחת בלבד הצליחו למשוך 167,464 מטבעות דיגטלים ועשרות מטבעות נוספים, בהם 1.615 מיליארד מטבעות מסוג USDT. גם לאחר מכן המשיכו לרוקן כספים חדשים שנכנסו לאותו ארנק.
אולם המתקפה לא הוגבלה לאת'ריום. ארנקים של בינאנס ברשתות נוספות ביצעו העברות באמצעות חתימות דיגיטליות תקינות, אף שמדובר בטכנולוגיות ובמנגנוני חתימה שונים. בחברת TRM מעריכים שההאקרים הצליחו לחדור למערכת המשמשת את בינאנס לאישור עסקאות ולגרום לה לחתום על העברות שבחרו. החברה הבהירה שבינאנס עדיין לא פרסמה את הסיבה הרשמית לפריצה.
לאן נעלמו מיליארדי הדולרים?
לפי נתוני TRM, היקף הגניבה הגדול ביותר נרשם ברשת את'ריום, שממנה הועברו נכסים בשווי של כ-3.79 מיליארד דולר, בהם יותר מ-200 אלף מטבעות ETH ומאות סוגי מטבעות נוספים. מרשת ביטקוין נגנבו 18,270 מטבעות, בשווי של כ-1.47 מיליארד דולר. מרשת טרון נגנבו כ-628 מיליון דולר, מרשת XRP כ-296 מיליון דולר ומרשת סולאנה כ-96 מיליון דולר. סכומים נוספים נמשכו מרשתות Arbitrum, Optimism, Base, Avalanche ו-Polygon.
חברות המטבעות היציבים פעלו לבלימת התוקפים באמצעות הקפאת נכסים. חברת Tether הקפיאה מטבעות בשווי של כ-1.77 מיליארד דולר, וחברת Circle הקפיאה כ-825 מיליון דולר נוספים. Ripple הקפיאה 40.5 מיליון דולר במטבע RLUSD, וחברת World Liberty Financial הקפיאה כ-27.8 מיליון דולר במטבע USD1. בנוסף, מועצת האבטחה של רשת Arbitrum העבירה משליטת התוקפים מטבעות ETH ו-ARB בשווי של כ-30 מיליון דולר. בסך הכול הוקפאו נכסים בשווי של כ-2.7 מיליארד דולר.
במקביל ניסו ההאקרים להקדים את פעולות ההקפאה ולהמיר מטבעות שניתן לחסום לנכסים שקשה יותר להשתלט עליהם. בין היתר, הם מכרו כ-325 מיליון דולר במטבעות USDT תמורת כ-122,300 מטבעות ETH, תוך שהם מסכימים למחיר המרה שהיה יקר ביותר מעשרה אחוזים ממחיר השוק. בארנק אחר הופקדו 60 מיליון USDT בפרוטוקול ההלוואות Aave, ובתמורה נלקחה הלוואה של כ-19,760 מטבעות ETH. כספים נוספים הועברו בין ארנקים ובאמצעות שירותי מסחר והלוואות מבוזרים.
הכספים שעדיין בידי התוקפים והקשר לצפון קוריאה
למרות ההקפאות הנרחבות, לפי TRM ההאקרים עדיין מחזיקים ביותר מ-420 אלף מטבעות ETH וב-18,270 מטבעות ביטקוין, בשווי כולל של כ-2.4 מיליארד דולר, לצד נכסים נוספים ברשתות אחרות. מטבעות הביטקוין החלו להתפצל להעברות בסכומים קטנים יותר, בשיטה שנועדה להקשות על המעקב אחר הכסף. חברת המודיעין מעריכה שבהמשך ינסו התוקפים להעביר את הנכסים בין רשתות, להשתמש בשירותי המרה ולפעול באמצעות ברוקרים מחוץ לבורסות הרגילות.
הייחוס לצפון קוריאה מתבסס, לפי TRM, על מודיעין שנאסף מפעילות הבלוקצ'יין וממקורות נוספים. החוקרים מצביעים על דמיון לפריצה ל-Bybit בפברואר 2025 ולמתקפה על KelpDAO באפריל 2026, בהן זוהו הכנות מוקדמות, שימוש בשירותים להסתרת מקורות הכסף והשגת חתימות לפני ביצוע הגניבה. עם זאת, שיטות העברת הכספים לאחר המתקפה הנוכחית שונות בחלקן מאלו שתועדו בפריצה הקודמת.
בעקבות האירוע קוראת TRM לבורסות ולגופים פיננסיים לעקוב אחר כתובות הארנקים המשויכות לתוקפים, לבדוק העברות חשודות ולחזק את מנגנוני אישור העסקאות. החברה ממליצה במיוחד לזהות הרשאות חריגות מסוג EIP-7702 ולמנוע חתימה על סדרות גדולות של הרשאות ללא הצדקה. היקף המתקפה והיכולת לבצע העברות תקינות לכאורה בעשר רשתות שונות ממחישים את הסיכון שבפגיעה במערכת מרכזית לאישור עסקאות, גם כאשר כל אחת מרשתות הבלוקצ'יין מפעילה מנגנון אבטחה משלה. החקירה עדיין נמשכת, והיקף הנכסים שבשליטת התוקפים עשוי להשתנות בעקבות הקפאות והעברות נוספות.
