אחת ממתקפות הסייבר הגדולות בהיסטוריה של שוק המטבעות הדיגיטליים: בורסת הקריפטו הגדולה בעולם, בייננס (Binance), דיווחה על מתקפת ענק שהשפיעה על נכסים בשווי של כ־6.3 מיליארד דולר. על פי ממצאי חברת חקירות הבלוקצ'יין TRM Labs, התוקפים העבירו כ־6.36 מיליארד דולר מארנקי הבורסה בעשר רשתות בלוקצ'יין שונות, כאשר מרבית ההעברות בוצעו בתוך כ־20 דקות בלבד.

האירוע, שהתגלה ביום חמישי, הוביל להשעיה זמנית של משיכות והפקדות, למאמצים בינלאומיים להקפאת הכספים ולירידות חדות בשוק המטבעות הדיגיטליים. בבייננס הודיעו כי הצליחו, בסיוע חברות נוספות, להקפיא נכסים בשווי של כ־3 מיליארד דולר, אך עדיין לא התברר כמה מהכסף ניתן יהיה להשיב בפועל.

במקביל, חברת TRM Labs הודיעה כי היא מייחסת את המתקפה ברמת ביטחון גבוהה לקבוצת ההאקרים TraderTraitor, המזוהה עם המשטר בצפון קוריאה. הקבוצה נקשרה בעבר למתקפת ענק נוספת נגד בורסת הקריפטו Bybit. עם זאת, מדובר במסקנת חברת החקירות, ולא בקביעה רשמית של בייננס או של רשויות אכיפת החוק.

המחשב שנפרץ והוביל למיליארדים

אחד הפרטים המשמעותיים ביותר שנחשפו בחקירה הראשונית נוגע לאופן החדירה למערכות הבורסה. לפי הודעת בייננס, ייתכן שהתוקפים הצליחו להשתלט על מחשב נייד של מהנדס DevOps, האחראי על מערכות הפיתוח והתפעול של החברה.

על פי החשד הראשוני, ההאקרים ניצלו את הגישה למחשב כדי לחדור לרכיב תוכנה פנימי המכונה Service Container, ומשם הצליחו להגיש הוראות משיכה שלא אושרו.

המשמעות היא שהתוקפים לא נדרשו בהכרח לפרוץ ישירות לארנקי המטבעות הדיגיטליים. ייתכן שהם ניצלו הרשאות של מערכת תפעולית פנימית כדי לגרום למנגנוני החברה לבצע העברות כספים.

בייננס הדגישה כי עד כה לא נמצאו ראיות לדליפת המפתחות הפרטיים של הארנקים הדיגיטליים, המאפשרים שליטה ישירה בנכסים. ואולם, בהודעת עדכון שפרסמה היום (שישי) הבהירה החברה כי החקירה העלתה נקודות חדירה נוספות, וכי המתקפה הייתה מורכבת יותר מכפי שסברו בתחילה.

החברה הודיעה כי תפרסם דוח טכני מפורט לאחר השלמת החקירה ואימות הממצאים.

ההאקרים פעלו בתוך דקות: מיליארדים הועברו בין רשתות

לפי הניתוח שפרסמה TRM Labs, התוקפים הצליחו להעביר נכסים מארנקי בייננס בעשר רשתות בלוקצ'יין, ובהן ביטקוין, את'ריום, טרון, סולאנה וריפל.

מרבית הכספים הועברו בפרק זמן קצר במיוחד, כאשר בחלק מהמקרים בוצעו העברות באמצעות הרשאות חתימה שנוצרו מראש. החוקרים מעריכים כי התוקפים הצליחו להשיג גישה למערכות שאחראיות על אישור עסקאות ומשיכות בכמה רשתות שונות.

על פי ממצאי החברה, הכנות למתקפה החלו לפחות 36 שעות לפני ביצועה. התוקפים ערכו פעולות מקדימות ובדיקות, ולאחר מכן החלו בהעברת הכספים בהיקפים עצומים.

היקף הנכסים שהועברו הופך את האירוע, לפי ממצאי חוקרי הבלוקצ'יין, לגניבת הקריפטו הגדולה ביותר שתועדה עד כה.

כ־3 מיליארד דולר הוקפאו: מי הצליח לעצור את הכסף?

מיד לאחר גילוי המתקפה החלה בייננס לפעול יחד עם רשויות אכיפת החוק, חברות מודיעין בלוקצ'יין ומנפיקות מטבעות יציבים, במטרה לזהות את הכספים שנגנבו ולמנוע את העברתם ליעדים נוספים.

בתחילה דיווחה החברה על הקפאת נכסים בשווי של כ־2.54 מיליארד דולר, ובהמשך עדכנה כי הסכום הגיע לכ־3 מיליארד דולר.

מנכ"ל חברת טתר (Tether), פאולו ארדואינו, הודיע כי החברה הקפיאה נכסים בשווי של כ־1.57 מיליארד דולר הקשורים למתקפה. מנכ"ל חברת סירקל (Circle), ג'רמי אלייר, מסר כי החברה הקפיאה יותר מ־800 מיליון דולר, בתיאום עם רשויות אכיפת החוק.

גם חברת ריפל השתתפה במאמצים. לדברי אחת ממייסדות בייננס, החברה הקפיאה כספים בשווי של כ־200 מיליון דולר.

בנוסף, חברת World Liberty Financial, המזוהה עם נשיא ארצות הברית דונלד טראמפ ובני משפחתו, דיווחה כי פעלה יחד עם חברת BitGo להקפאת נכסים הקשורים לאירוע.

עם זאת, יש להבחין בין הקפאת כספים לבין השבתם בפועל. מנפיקות של מטבעות יציבים מסוגלות לחסום העברות מכתובות דיגיטליות מסוימות, ובכך למנוע מהתוקפים להשתמש בנכסים. אלא שהקפאת הכסף אינה מבטיחה בהכרח את החזרתו המיידית לבעליו.

צפון קוריאה שוב במוקד החשדות

אחת ההתפתחויות המשמעותיות בחקירה היא הודעת חברת TRM Labs, המייחסת את המתקפה לקבוצת ההאקרים הצפון קוריאנית TraderTraitor.

החברה הסבירה כי הזיהוי מבוסס על מודיעין שנאסף מתוך פעילות הבלוקצ'יין וממקורות נוספים, ועל דמיון לדפוסי פעולה שנצפו במתקפות קודמות שיוחסו לצפון קוריאה.

TraderTraitor נקשרה גם למתקפת הענק על בורסת Bybit בפברואר 2025, שבה נגנבו נכסים בשווי של כ־1.5 מיליארד דולר. אותה מתקפה יוחסה בידי רשויות ארצות הברית לגורמים המזוהים עם המשטר בצפון קוריאה.

הקבוצה נחשבת לחלק ממערך הסייבר הצפון קוריאני, הכולל גם את קבוצת Lazarus, שנקשרה בשנים האחרונות למתקפות נגד חברות פיננסיות, גופים טכנולוגיים ובורסות מטבעות דיגיטליים.

למרות ההערכה של חוקרי הבלוקצ'יין, בבייננס טרם הציגו מסקנה רשמית בנוגע לזהות התוקפים, והחברה ממשיכה לשתף פעולה עם רשויות אכיפת החוק.

הביטקוין צנח, המשקיעים חוששים

הדיווחים על המתקפה הובילו לתנודתיות משמעותית בשוק המטבעות הדיגיטליים. לפי סוכנות הידיעות AP, הביטקוין ירד ביום חמישי בערב בכ־3.2% ונסחר מתחת ל־79 אלף דולר.

בהמשך, לפי דיווח רויטרס, מחיר הביטקוין הגיע לשפל של שישה שבועות, סביב 77,646 דולר. גם האת'ריום איבד מערכו, ומטבע BNB, המזוהה עם בייננס, רשם ירידה חדה.

החשש בשוק אינו נוגע רק לסכום הכסף שנגנב, אלא גם לאמון המשקיעים בבורסות הקריפטו הגדולות.

בניגוד להחזקה עצמאית של מטבעות דיגיטליים בארנק פרטי, משתמשים בבורסה מרכזית מסתמכים על מערכות האבטחה והמשמורת שלה. פגיעה במערכות של בייננס עלולה להשפיע על משתמשים רבים ועל גופים פיננסיים הפועלים בענף.

בייננס נוסדה בשנת 2017 בידי צ'אנגפנג ז'או, המוכר בכינוי CZ, והפכה לבורסת הקריפטו הגדולה בעולם במונחי נפח מסחר.

ז'או התייחס לאירוע ברשת החברתית X ואמר כי נראה שאכן מדובר בפריצה לבורסה. הוא הבהיר כי אינו מנהל עוד את החברה, אך הביע ציפייה לכך שכספי המשתמשים יכוסו במלואם.

מייסד בייננס פרש מתפקיד המנכ"ל בשנת 2023 לאחר שהודה בעבירה הקשורה לכישלון במניעת הלבנת הון באמצעות הפלטפורמה. בהמשך ריצה עונש מאסר, ובשנת 2025 קיבל חנינה מנשיא ארצות הברית דונלד טראמפ.

בייננס מבטיחה לפצות את המשתמשים

בתגובה לחששות הודיעה בייננס כי בכוונתה לכסות את כלל ההפסדים שייגרמו למשתמשים כתוצאה מהמתקפה.

אחת ממייסדות החברה, הבהירה כי בייננס תכסה את כל הפסדי הפריצה. לשם כך מתכוונת החברה להסתמך על משאביה ועל קרן החירום SAFU, שנועדה להגן על משתמשים במקרה של אירועי אבטחה חריגים.

הבורסה הודיעה כי היא פועלת לאבטחת המערכות, לביטול הרשאות שנפגעו ולהשבת פעילות המשיכות. לפי העדכון שפורסם ביום שישי, ההפקדות אינן מושפעות עוד מהאירוע, והחברה מעריכה כי תוכל לחדש את המשיכות בתוך יום או יומיים.

בייננס התחייבה גם לפרסם מידע מעודכן על העתודות שהיא מחזיקה, במסגרת מנגנון הוכחת העתודות שלה, שנועד לסייע למשתמשים לבחון את הנכסים המוחזקים בידי הבורסה.

באותו יום: פריצה נוספת לפולימרקט

מתקפת הענק על בייננס התרחשה במקביל לאירוע סייבר נוסף בענף הקריפטו. פלטפורמת שוקי התחזיות פולימרקט (Polymarket) הודיעה ביום חמישי כי השעתה זמנית את המסחר באתר הבינלאומי שלה בעקבות אירוע אבטחה הקשור לספק שירותים חיצוני.

לפי הדיווחים, התוקפים ניצלו רכיב תוכנה של חברת DebugBear, המשמש לניטור ביצועי אתרים, כדי לבצע פעולות בלתי מורשות בחשבונות משתמשים.

חוקרי אבטחה איתרו נכסים בשווי של כ־2.5 מיליון דולר שהועברו לכתובות החשודות כקשורות לתוקפים, אף שהיקף הגניבה הסופי טרם אושר בידי פולימרקט.

הפלטפורמה הודיעה כי זיהתה את הבעיה ותיקנה אותה, חידשה את המסחר והתחייבה לפצות את המשתמשים שנפגעו. בשלב זה לא נמצאו ראיות לקשר בין המתקפה על פולימרקט לבין הפריצה לבייננס.

השאלה שנותרה: כמה מיליארדים יחזרו?

למרות ההתקדמות בחקירה והקפאת נכסים בהיקף של כ־3 מיליארד דולר, שאלת היקף הנזק הסופי עדיין פתוחה.

חוקרי הבלוקצ'יין מצאו כי נכסים בשווי של יותר מ־6 מיליארד דולר הועברו מארנקי בייננס. ואולם, חלק ניכר מהם כבר הוקפא, ומנגד נכסים בשווי מיליארדי דולרים עדיין נמצאים בשליטת התוקפים או טרם אותרו באופן שיאפשר לחסום את העברתם.

החקירה מתמקדת כעת באיתור יתרת הכספים, בזיהוי האחראים למתקפה ובבירור האופן שבו הצליחו לחדור למערכות הבורסה ולבצע העברות בהיקף כה גדול בתוך דקות ספורות.

אם יאומתו במלואם ממצאי חברות חקירות הבלוקצ'יין, מדובר בגניבת המטבעות הדיגיטליים הגדולה ביותר שתועדה אי פעם, בהיקף הגבוה פי ארבעה בקירוב מהפריצה לבורסת Bybit בשנת 2025.