Binance, ținta unui atac informatic de proporții. Cum au furat hackerii criptomonede în valoare de 6,3 miliarde de dolari

Cea mai mare parte a operațiunii s-a desfășurat în aproximativ 20 de minute, după compromiterea infrastructurii utilizate pentru autorizarea tranzacțiilor, potrivit informațiilor relatate de Reuters.

Atacul a avut loc joi, 29 octombrie, după ora 20:00 GMT. Hackerii au exploatat accesul la sistemele interne ale platformei pentru a iniția retrageri neautorizate din portofelele digitale afectate.

Atacul a vizat portofele Binance de pe zece rețele blockchain, printre care Ethereum, Bitcoin, Tron, Solana și XRP Ledger. Potrivit companiei americane de analiză blockchain TRM Labs, atacatorii au transferat aproximativ 6,36 miliarde de dolari către adrese digitale pe care le controlau.

Operațiunea reprezintă cel mai mare furt de criptomonede înregistrat până în prezent, de aproximativ patru ori mai mare decât atacul asupra platformei Bybit din februarie 2025.

Cum au reușit hackerii să compromită infrastructura Binance

Investigația TRM Labs arată că pregătirile pentru atac au început cu cel puțin 36 de ore înainte de transferul activelor. Atacatorii au utilizat inițial retrageri de valoare redusă prin Tornado Cash, un serviciu care permite mascarea provenienței criptomonedelor, pentru a alimenta un portofel digital folosit ulterior în operațiune.

În cazul rețelei Ethereum, hackerii au exploatat mecanismul EIP-7702, care permite unui portofel obișnuit să execute codul unui contract inteligent printr-o autorizare digitală. Prin acest mecanism, atacatorii au obținut controlul asupra funcționării unui portofel Binance și au redirecționat activele către propriile adrese.

Analiza TRM Labs arată că, în aproximativ trei minute de la activarea mecanismului, atacatorii au transferat 167.464 de ETH și alte 63 de tokenuri dintr-un portofel Binance. Ulterior, au repetat operațiunea de mai multe ori, inclusiv atunci când în portofel au intrat noi active.

Pe celelalte rețele blockchain, transferurile au avut loc prin tranzacții autorizate în mod obișnuit. Faptul că portofele de pe zece rețele diferite au transmis active către adrese controlate de atacatori într-un interval scurt indică, în evaluarea TRM Labs, o posibilă compromitere a infrastructurii Binance care autorizează tranzacțiile.

Binance a anunțat inițial că incidentul ar putea avea legătură cu compromiterea laptopului unui inginer DevOps, care ar fi permis accesul neautorizat la un container de servicii și inițierea unor retrageri.

Ulterior, compania a precizat că investigația a identificat și alte puncte de compromitere, fără să ofere detalii suplimentare.

Platforma a afirmat că nu există dovezi privind compromiterea cheilor private ale portofelelor.

Hackerii nord-coreeni, suspectați de implicare

Firma americană TRM Labs atribuie atacul grupării TraderTraitor, asociată Coreei de Nord, și afirmă că evaluarea se bazează pe informații obținute atât din analiza tranzacțiilor blockchain, cât și din surse externe. Compania consideră că există un nivel ridicat de încredere în această atribuire.

Investigatorii au identificat asemănări între operațiunea de la Binance și atacul asupra platformei Bybit din februarie 2025, când au fost furate criptomonede în valoare de aproximativ 1,5 miliarde de dolari. FBI a atribuit acel atac hackerilor nord-coreeni.

Cu toate acestea, Binance nu a confirmat identitatea atacatorilor, iar TRM Labs precizează că atribuirea nu a fost anunțată de o autoritate guvernamentală.

Aproximativ 2,7 miliarde de dolari din activele furate au fost blocate

După transferul criptomonedelor, atacatorii au încercat să mute rapid activele între portofele și să le convertească în alte monede digitale, pentru a îngreuna urmărirea și recuperarea acestora.

Aproximativ jumătate din suma furată era reprezentată de stablecoins, criptomonede a căror valoare este raportată la monede tradiționale, în special la dolarul american.

Spre deosebire de Bitcoin și Ether, anumite stablecoins permit companiilor emitente să blocheze activele din portofelele identificate.

Tether, Circle, Ripple și World Liberty Financial au intervenit pentru a bloca o parte din fondurile transferate de hackeri. Potrivit TRM Labs, valoarea activelor blocate de emitenți și de autoritățile de securitate ale rețelei Arbitrum a ajuns la aproximativ 2,7 miliarde de dolari.

Printre activele blocate se numără aproximativ 1,77 miliarde de USDT de la Tether și 825 de milioane de USDC de la Circle. Alte intervenții au vizat tokenuri RLUSD emise de Ripple și USD1, stablecoin-ul World Liberty Financial.

O parte dintre atacatori au reușit însă să schimbe stablecoins în Ether, inclusiv prin intermediul unor platforme de tranzacționare descentralizate și al unor protocoale de creditare. TRM Labs estimează că hackerii mai controlează active în valoare de aproximativ 2,4 miliarde de dolari, în principal peste 420.000 de ETH și 18.270 de Bitcoin, care nu pot fi blocate direct de o companie emitentă.

Binance alocă 6,34 miliarde de dolari pentru acoperirea pierderilor

Binance a anunțat vineri că a alocat peste 6,34 miliarde de dolari din resursele proprii pentru a acoperi pierderile provocate de atac. Din această sumă, aproximativ 5 miliarde de dolari sunt deja deținute în aceleași tipuri de criptomonede care au fost sustrase, iar diferența urmează să fie acoperită prin achiziții de pe piețele deschise și prin tranzacții directe, de tip OTC.

Compania a precizat că fondurile utilizatorilor sunt în siguranță și că depunerile nu au fost afectate.

Binance a mai anunțat că lucrează cu partenerii din industria cripto și cu autoritățile pentru recuperarea activelor și identificarea celor responsabili.

Platforma a suspendat temporar retragerile pe mai multe rețele blockchain, ca măsură de securitate, în timp ce investigația continuă.

Citește și: SUA cer confiscarea a 61 mil. dolari în criptomonede, proveniți din vânzări ilegale de petrol iranian către China