Binance, lovit de cel mai mare furt crypto din istorie: 6,3 miliarde de dolari expuși, aproape jumătate înghețați

Binance a confirmat un incident de securitate pe platforma sa care a afectat aproximativ 6,3 miliarde de dolari în active, ceea ce îl transformă în cel mai mare furt de criptomonede înregistrat vreodată. Circa 3 miliarde de dolari au fost deja înghețați on-chain, iar exchange-ul spune că toți utilizatorii afectați vor fi despăgubiți integral din fondul său de urgență și din resurse proprii.

Ce s-a întâmplat

Din explicațiile oferite chiar de Binance, intruziunea pare să fi pornit de la un laptop compromis al unui inginer DevOps. De acolo, atacatorul a ajuns la un container de servicii și l-a folosit pentru a trimite tranzacții de retragere care nu fuseseră niciodată autorizate. Compania subliniază că nu există dovezi că vreo cheie privată de portofel ar fi fost scursă.

Co-CEO-ul Binance, Richard Teng, a precizat clar că nu a fost vorba despre abuzarea permisiunilor unui singur inginer printr-un singur click. Atacul a implicat un lanț mai complex de pași, iar exchange-ul a anunțat ulterior că ancheta a descoperit puncte suplimentare de breșă, dincolo de laptop. Nicio persoană nu a fost acuzată, iar un raport oficial privind cauza principală nu a fost încă publicat.

Ca reacție, exchange-ul:

a suspendat temporar depunerile și retragerile până la finalizarea verificărilor de securitate;
a revocat autorizarea adresei afectate;
a implicat autoritățile și partenerii de blockchain intelligence pentru a urmări și recupera fondurile.

Retragerile ar trebui să fie reluate în aproximativ 48 de ore, după reconstruirea serviciului de retrageri și a adreselor asociate.

Cum a fost golit hot wallet-ul

Reconstituirea on-chain arată că pregătirile au început cu cel puțin 36 de ore înainte de furt. La 20:20 UTC, o adresă-operator controlată de atacator a trimis o singură tranzacție cu 50 de autorizări, fiecare semnată de hot wallet-ul Binance și fiecare delegând controlul către un contract de tip „sweeper” care ascultă doar de acel operator.

Motivul pentru care au fost 50 merită înțeles. Fiecare portofel ține un contor al tranzacțiilor, nonce-ul, iar o autorizare semnată este valabilă doar la o anumită valoare a contorului. Cum hot wallet-ul Binance procesează un flux constant de retrageri, nonce-ul lui nu stă niciodată pe loc. Semnând în avans autorizări pentru 50 de valori consecutive, atacatorul s-a asigurat că cel puțin una se va potrivi în momentul execuției. Una s-a potrivit.

După trei minute și 24 de secunde, operatorul a instruit hot wallet-ul să trimită întregul sold către o adresă controlată de atacator. Acea singură tranzacție a mutat 167.464 ETH și 63 de tokenuri, inclusiv circa 1,615 miliarde USDT.

Cea mai plauzibilă explicație este că atacatorul a obținut capacitatea de a face sistemul de semnare al hot wallet-ului Binance să semneze tranzacții alese de el, pe mai multe blockchain-uri. Lotul de semnături pregătite în avans sugerează că accesul a fost limitat în timp sau că semnăturile trebuiau cerute printr-un sistem controlat, nu luate direct.

Cine se află în spate

Mai multe echipe de analiză blockchain au atribuit operațiunea, cu un grad ridicat de încredere, grupării nord-coreene TraderTraitor, aceeași legată de furtul de aproximativ 1,5 miliarde de dolari de la Bybit din februarie 2025 și de incidentul KelpDAO din aprilie 2026. Semnele distinctive se potrivesc: retrageri mici din Tornado Cash care finanțează un portofel-operator, o pregătire începută cu mult înainte de furt și semnături colectate în avans și executate apoi dintr-o singură lovitură.

Ce diferă este spălarea banilor. În locul tiparului bazat pe punți (bridges) văzut după Bybit, fondurile sunt mutate prin swap-uri mari realizate prin market makers și protocoale de creditare. Fonduri provenite din exploatarea Bitget de luna trecută au fost deja observate amestecându-se cu cele luate de la Binance. Atribuirea este solidă, dar se bazează încă pe evaluarea analiștilor, nu pe o declarație oficială a Binance, care nu a numit nicio parte.

Unde se află banii

Până acum, Tether, Circle, Ripple și World Liberty Financial au înghețat aproximativ 2,67 miliarde de dolari în stablecoins, iar Consiliul de Securitate Arbitrum a înghețat circa 30 de milioane de dolari în ETH și ARB. Atacatorul controlează în continuare peste 420.000 ETH și 18.270 BTC, în valoare de aproximativ 2,4 miliarde de dolari, plus sume mai mici pe alte rețele. Valoarea furată în momentul atacului este estimată la circa 5,9 miliarde de dolari, de aproape patru ori mai mult decât următorul cel mai mare furt din istoria industriei.

De ce contează

Nu a fost un bug într-un smart contract. A fost un lanț de la identitate și endpoint până la infrastructură: stația de lucru a unui inginer, un container de servicii, o cale de semnare, și cel mai bine capitalizat exchange din lume a pierdut controlul asupra hot wallet-ului său pentru câteva minute. Orice organizație care rulează automatizări privilegiate, fie că mută bani, semnează cod sau provizionează resurse cloud, ar trebui să citească asta ca pe un avertisment despre propria rază de impact.

Ce e de făcut

Tratați endpoint-urile inginerilor ca pe sisteme de producție. Build-uri întărite, EDR, MFA bazat pe hardware și niciun secret cu durată lungă de viață sau material de semnare pe laptopuri.
Izolați serviciile de semnare și retragere. Cereți un pas de aprobare independent, impuneți limite de viteză și de valoare și alertați la autorizări în lot sau la intervale neobișnuite de nonce.
Reduceți raza de impact. Credențiale cu durată scurtă, segmentare strictă de rețea între tooling-ul de dezvoltare și infrastructura de tranzacții și privilegii minime pe fiecare cont de serviciu.
Exersați planul de înghețare. Știți dinainte pe cine sunați la fiecare emitent de stablecoin, consiliu de securitate al unei rețele sau exchange și cât de repede pot acționa.
Testați traseul înainte s-o facă un adversar. Echipa noastră de penetration testing modelează exact acest tip de lanț, de la o singură stație de lucru compromisă până la sistemele care mută bani, astfel încât veriga slabă să fie găsită într-un exercițiu controlat, nu într-un incident real.