Ve zkratce
- 6,36 miliardy dolarů (v přepočtu asi 140 miliard korun) zmizelo z peněženek Binance na deseti blockchainech, většina během dvaceti minut.
- 18 270 bitcoinů, 200 630 etherů, 612,7 milionu USDT na Tronu a 233,5 milionu XRP. To je jen část inventáře.
- 2,7 miliardy zmrazily Tether, Circle, Ripple, World Liberty Financial a arbitrumská bezpečnostní rada. Přes 2,4 miliardy zůstávají mimo dosah.
- Binance slibuje nahradit všechny ztráty ze SAFU (Secure Asset Fund for Users - bezpečný fond aktiv pro uživatele) a z vlastních peněz. Výběry obnoví nejdřív za 48 hodin.
- TRM Labs a Chainalysis připsaly útok jednotce TraderTraitor. Binance severokorejskou stopu nepotvrdila.
Za hodinu bylo hotovo
Ve čtvrtek 29. října večer začaly mizet peníze. První byly peněženky na XRP Ledgeru: mezi 21:05 a 21:09 SEČ poslalo pět z nich 233,46 milionu XRP na jedinou adresu a na každé z nich zbyl jen minimální zůstatek. Krátce po 21:10 je následovaly peněženky na Solaně a Optimismu. Ve 21:20 poslala bitcoinová horká peněženka Binance 18 270 BTC na adresu, která začala mince ve stejném bloku štěpit na kulaté tisíci a stovkabitcoinové kusy takzvaný peel chain, který rozbíjí stopu a ukradené coiny je těžší dohledat. Ve 21:24 přišel Tron: 612,7 milionu USDT a 46,4 milionu TRX.
Do hodiny bylo hotovo na osmi z deseti řetězců. Na Avalanche a Polygon přišla druhá vlna po půlnoci. TRM Labs ocenila hodnotu ukradených cryptoměn v okamžiku krádeže na 6,36 miliardy dolarů, Binance mluví o 6,3 miliardy. Arkham označil 55 adres spojených s útokem. Dosud druhá největší krádež, která se odehrála v loňském roce na platformě Bybit, měla hodnotu 1,5 miliardy.
Záhada podpisu, který nikdo neukradl
Na Ethereu proběhl útok trochu jinak. Ve 21:20 odeslal útočník transakci s padesáti předem připravenými oprávněními, která podepsala tzv. horká peněženka Binance. Ta mu umožnila prostřednictvím speciálního programu opakovaně vybírat prostředky z peněženky, dokud vše zcela nevyvedl.
O tři minuty a 24 sekund později začal odčerpávat prostředky. Z peněženky zmizelo 167 464 etherů a dalších 63 druhů kryptoměn a tokenů, včetně 1,615 miliardy USDT. Útočník se do peněženky vrátil ještě několikrát během následujících hodin. Stejná peněženka navíc obsluhovala další účet Binance, z něhož odčerpal dalších 823 milionů USDC.
První vysvětlení hovořilo o phishingu, tedy o vylákání podpisů od zaměstnanců Binance. To ale nevysvětluje zbytek útoku. Ve stejném časovém okně totiž odešly prostředky také z peněženek Binance na dalších blockchainových sítích, včetně Bitcoinu, Tronu a Solany. Další ethereumová peněženka poslala útočníkovi 28 006 ETH, 55,7 milionu USDT a 25,9 milionu RLUSD. Všechny tyto převody přitom byly řádně autorizované. Útočník tedy zřejmě dokázal získat platné podpisy napříč různými systémy během pouhých třiceti minut.
Podle analytické společnosti TRM útočník nejspíš získal možnost přimět interní podpisový systém Binance podepisovat transakce podle vlastního výběru. Padesát předem připravených oprávnění naznačuje, že tento přístup mohl být časově omezený nebo podmíněný schvalováním jednotlivých požadavků.
Binance nabídla vlastní vysvětlení: příčinou mohl být napadený notebook jednoho z DevOps inženýrů, přes který útočník získal přístup k interním systémům a mohl zadávat neoprávněné výběry. Firma tvrdí, že nenašla žádné důkazy o odcizení soukromých klíčů, a slibuje zveřejnění technického rozboru. Společnost Blockaid to vystihla přesněji: nešlo o únik klíčů, ale o jejich zneužití.
Tvrzení, že soukromé klíče nebyly odcizeny, možná některé uklidňuje, ale zamlčuje to to podstatné. Pokud někdo dokáže přimět váš klíč podepsat cokoli, co si sám vymyslí, je v zásadě jedno, jak dobře je klíč zabezpečený. Burza není trezor. Je to továrna na podpisy - a ta ve čtvrtek v noci vyráběla přesně to, co si útočník objednal.
Závody v mrazení účtů
Tether zmrazil 971,1 milionu USDT v hlavní přijímací peněžence ve 22:01 SEČ, sedmatřicet minut po hlavním výběru. Další peníze ale přistály právě tam, takže se objem zmrazeného USDT vyšplhal na 1,175 miliardy a Tether celkem zablokoval kolem 1,77 miliardy. Circle ve 22:04 zmrazil 823 milionů USDC „v koordinaci s orgány činnými v trestním řízení“, jak uvedl šéf firmy Jeremy Allaire. Ripple ve 23:01 zmrazil 40,5 milionu RLUSD, World Liberty Financial o devět minut později 27,8 milionu USD1. Arbitrum Security Council poslal v 01:08 dvěma nucenými převody 8 426 ETH a 74,6 milionu ARB mimo dosah útočníka. Celkem zhruba 2,7 miliardy. Binance ve 00:35 hlásila ověřených 2,54 miliardy, které se podařilo zmrazit.
Útočník nečekal. Přes 325 milionů USDT prodal tvůrcům trhu přes UniswapX a další kontrakty za zhruba 122 300 ETH. Zatímco ether se obchodoval mezi 2 300 a 2 350 dolary, on dostal v přepočtu kolem 2 650 - platil víc než desetiprocentní slevu za rychlost. Jiná peněženka půjčila 60 milionů USDT platformě Aave a vypůjčila si proti nim 19 760 ETH. Aave na to zablokoval své trhy. Na Tronu putovalo 300 milionů USDT do půjčovny JustLend, na Solaně preventivně zastavila půjčování platforma Kamino.
Výsledekem tedy je, že útočník drží přes 420 000 ETH a 18 270 BTC, dohromady zhruba 2,4 miliardy dolarů, které není jak zmrazit. Kdo vydavatele má, ten zasáhl. Bitcoin a ether žádného nemají - a právě proto ukradené peníze skončily tam.
Kdo to bude platit?
Binance vydala prohlášení v pátek kolem třetí ráno našeho času. Všechny ztráty uhradí fond SAFU a peníze firmy, prostředky uživatelů jsou v bezpečí. Firma přizvala vyšetřovatele a slíbila aktualizovaný důkaz rezerv i technický rozbor útoku.
Jenže SAFU už není stabilní fond. Po výprodeji v říjnu 2025, kdy se z trhu vypařilo 19 miliard dolarů, Binance v lednu 2026 ohlásila, že záchrannou kasu převede do bitcoinu. V únoru to udělala: miliardu v stablecoinech proměnila na 15 000 BTC, peněženku zveřejnila a zavázala se fond doplňovat na miliardu, kdykoli klesne pod 800 milionů. Dnes je těch 15 000 bitcoinů při ceně kolem 78 tisíc dolarů zhruba 1,2 miliardy. Proti hrubé ztrátě kolem 3,5 miliardy po odečtení zmrazeného je to záloha, ne krytí. Zbytek zaplatí firma ze svého, ale jak velké volné prostředky má, neví nikdo kromě ní samotné.
Trh reagoval podle očekávání. V pátek bitcoin klesl o víc než čtyři procenta na 77 995 dolarů, BNB spadl o sedm procent na zhruba 699 dolarů. Monero, soukromá mince, naopak přidalo šest procent - část trhu se zjevně chystá hledat jiné cesty.
Je potřeba vystavit účet za bouřlivou noc
TRM Labs připisuje útok jednotce TraderTraitor „s vysokou mírou jistoty“ na základě dat z řetězců i mimo ně. Vzor odpovídá dřívějším severokorejským akcím: tři malé výběry přes mixér Tornado Cash, které 28. října financovaly operátorskou peněženku, příprava nejméně 36 hodin předem, zkouška na dvou peněženkách a pak na třetí, a podpisy získané dopředu a spuštěné v jednom tahu. Chainalysis se přidala, její zakladatel Jonathan Levin uvedl, že podle ní TraderTraitor ukradl 6,4 miliardy. ZachXBT si všiml, že peníze z Binance a z říjnového útoku na burzu Bitget se po průchodu směnárnou THORChain sešly na stejné adrese - což podle něj ukazuje na stejného pachatele.
TraderTraitor je krycí jméno, které v dubnu 2022 zavedly FBI, CISA a americké ministerstvo financí. Firmy jí říkají také Jade Sleet, UNC4899 nebo Slow Pisces, úřady ji řadí pod Lazarus Group. Pracuje přes sociální inženýrství: v květnu 2024 se její člověk vydával za náboráře na LinkedInu, poslal zaměstnanci peněženkové firmy Ginco zkušební úkol s trojanem a dostal se do systému burzy DMM Bitcoin. Ta přišla o 4 502,9 bitcoinu, zhruba 308 milionů dolarů, a skončila. Loni v únoru přes dodavatelský řetězec peněženky Safe ukradla 1,5 miliardy z Bybitu.
Účet je absurdní. V roce 2025 severokorejské operace podle Chainalysis ukradly 2,02 miliardy, o 51 procent víc než rok předtím, a od roku 2017 do konce loňska 6,75 miliardy. Letos do října přibyly tři velké případy - Drift (285 milionů), KelpDAO (292 milionů) a Bitget (387 milionů), dohromady bezmála miliarda. A pak přišla jedna noc, která se téměř vyrovnala všemu od roku 2017. Důkazy prokazují, že peníze financují severokorejský jaderný a raketový program, Pchjongjang to odmítá.
Zvláštní perličkou pak je, že Tornado Cash, kterým se útok financoval, už není na americkém sankčním seznamu. Ministerstvo financí ho z něj po soudním sporu v březnu 2025 vyškrtlo. Mixér, který měl být uzavřený, je znovu součástí volného kryptotrhu.
Načítání komentářů...