A nyomozók szerint több tényező is közrejátszhatott, köztük egy feltört DevOps-mérnök laptopja, és a jelek arra utalnak, hogy észak-koreai szereplők felelősek.
A nyomozók azt vizsgálják, hogyan loptak el hackerek 6,3 milliárd dollárt (5,6 milliárd eurót) a Binance kriptovaluta-tőzsdétől egy olyan támadásban, amelyet „a történelem legnagyobb hackertámadásának” neveznek, és a jelek szerint egy észak-koreai hackercsoport állhatott a háttérben.
HIRDETÉS
HIRDETÉS
A mostani összeg messze felülmúlja a korábbi kriptofeltörésekét, például a Bybit esetében 1,5 milliárd dollárt (1,39 milliárd eurót), a Poly Networknél 610 millió dollárt (545 millió eurót) és a Ronin Networknél 540 millió dollárt (482 millió eurót). A Binance-incidens a legutóbbi egy sor októberi kibertámadás közül, amelyekért a szakértők elsősorban a sebezhetőségek felkutatására egyre szélesebb körben használt mesterséges intelligenciát teszik felelőssé.
A Binance a világ legnagyobb kriptovaluta-tőzsdéje, a cég szerint a teljes kriptopiaci részesedés mintegy 35 százalékát ellenőrzi. A kriptoökoszisztéma egyik kulcsoszlopaként működik, lehetővé téve az emberek számára, hogy kriptovalutákat vásároljanak és adjanak el.
Akárcsak a hagyományos pénzváltók, a vállalat az ügyfelek érméit saját ellenőrzése alatt álló pénztárcákban tartja, és a kifizetéseket néhány olyan pénztárcából dolgozza fel, amelyek folyamatosan online vannak.
A támadás alig négy óra alatt zajlott le, miközben a hackerek egy feltört laptopon keresztül több pénztárcához is hozzáférést szereztek, és a Binance pénztárcáiból a sajátjaikba utalták az összegeket. Szerencsére a Binance és partnerei 2,7 milliárd dollárt (2,4 milliárd eurót) a lopott összegekből befagyasztani tudtak, a fennmaradó pénz azonban érintetlenül a támadók pénztárcáiban maradt.
Az alábbiakban időrendben ismertetjük, hogyan történt az eset:
Csütörtök
22:29 CET A Binance közli, hogy aktívan vizsgál egy lehetséges biztonsági problémáról szóló bejelentést, és megnyugtatja ügyfeleit, hogy pénzeszközeik „teljes biztonságban vannak”, ugyanakkor „átverésekre” is figyelmeztet.
23:15 CET A cég bejelenti, hogy biztonsági ellenőrzéseket hajt végre, a kifizetések pedig akkor indulnak újra, amint a biztonsági problémát megoldották.
Péntek
00:06 CET A vállalat felfüggeszti a Binance Alpha kereskedést, és közli, hogy a kereskedés a biztonsági probléma megoldása után indul újra. Ismét megnyugtatja az ügyfeleket, hogy pénzeszközeik biztonságban vannak.
00:22 CET A Binance először jelzi, hogy eszközök is érintettek. A cég közli, hogy tisztában van befagyasztott pénzeszközökről szóló jelentésekkel, és tisztázza, hogy jelenleg 2,54 milliárd dollárt (2,26 milliárd eurót) fagyasztottak be. Hozzáteszi, hogy az összeg növekedhet, mivel szorosan együttműködik a rendőrséggel és az illetékes hatóságokkal az eszközök felkutatása és befagyasztása érdekében.
01:13 CET A Binance közleményt ad ki, amelyben kijelenti, hogy „minden veszteséget fedezni fog”, és elővigyázatosságból minden befizetést és kifizetést ideiglenesen felfüggesztettek.
01:52 CET A cég frissíti a befagyasztott eszközökre vonatkozó adatokat, amelyek összege 3 milliárd dollárra (2,68 milliárd euróra) emelkedett.
03:25 CET A Binance felfedi, hogy a teljes kár mintegy 6,3 milliárd dollár (5,6 milliárd euró). Vizsgálatuk szerint egy DevOps mérnök kompromittált laptopja lehetett a támadás belépési pontja, amely hozzáférést adott egy service konténerhez, és lehetővé tette jogosulatlan kifizetési tranzakciók benyújtását.
A vállalat hozzáteszi, hogy nincs bizonyíték bármely pénztárca privát kulcsának kiszivárgására. Elővigyázatosságból visszavonta az érintett cím jogosultságait, és a számlák befagyasztása mellett bevonta a rendőrséget és blokklánc-partnereit is a pénzeszközök nyomon követésére és visszaszerzésére.
05:36 CET A cég egy újabb frissítésben közli, hogy az incidens több tényezőre vezethető vissza, és nem csupán a kompromittált laptopra.
09:47 CET A Binance megerősíti korábbi állítását, hogy egy feltört laptop lehetett a belépési pont, ugyanakkor közli, hogy a nyomozók más biztonsági résekre is bukkantak egy „összetett támadás” során. A vállalat szerint jó ütemben halad, és 45 órán belül újraindíthatja a kifizetési szolgáltatásokat.
11:55 CET A vállalat közli, hogy megkezdte a felhasználók érintett eszközeinek visszaszerzését, és a veszteségeket saját céges forrásból fedezi, 6,34 milliárd dollárt (5,66 milliárd eurót) különítve el az incidens kezelésére.
„Átvészeljük ezt a vihart” - írja a cég az X közösségi médiaplatformon.
Hogyan hajtották végre?
A Binance szerint az incidens egy „összetett támadás” volt, amely több tényezőre vezethető vissza.
A kezdeti vizsgálat arra utal, hogy a biztonsági incidens egy DevOps mérnök kompromittált laptopját is érinthette, amely lehetővé tette a támadó számára, hogy hozzáférjen egy service konténerhez, és jogosulatlan kifizetési tranzakciókat nyújtson be.
A blokklánc-adatinfrastruktúrával foglalkozó Bitquery cég jelentése szerint a Binance saját kifizetési rendszere írta alá 6,3 milliárd dollár (5,6 milliárd euró) átutalását 17 hot pénztárcájából, kevesebb mint négy óra alatt, csütörtök este 21:04 és péntek hajnal 00:56 CET között.
Ez arra késztette a Tether, a Circle és az Arbitrum stablecoin-kibocsátókat, valamint négy kisebb kibocsátót, hogy 2,7 milliárd dollárt fagyasszanak be a pénzek ellopásának megakadályozása érdekében, közli a Bitquery, míg a Bitcoin megerősítette, hogy összesen 3 milliárd dollárt fagyasztottak be.
A támadó a befagyasztások megkezdése előtt további 729 millió dollárnyi stablecoint váltott át. Végül a Bitquery szerint a támadó még mindig nagyjából 3,1 milliárd dollárral rendelkezett, elsősorban Etherben és Bitcoinban.
A Bitquery arról is beszámol, hogy az összegeket kilenc blokkláncon új címekre küldték, és a legnagyobb csapást az Ethereum, a Bitcoin és a TRON szenvedte el.
A vállalat továbbra is vizsgálja az ügyet, együttműködve a rendőrséggel és blokklánc-elemző partnerekkel a pénzeszközök nyomon követése és visszaszerzése érdekében.
A Binance ideiglenesen felfüggesztette a befizetéseket és kifizetéseket a biztonsági ellenőrzések befejezéséig, visszavonta az érintett cím jogosultságát, és bevonta a rendőrséget, valamint blokklánc-elemző partnereket a pénzeszközök nyomon követésére és visszaszerzésére.
A cég közölte, hogy részletes technikai elemzést tesz közzé az incidensről, miután a vizsgálat lezárult és a tényeket ellenőrizték.
Emellett a problémák elhárítása után frissített Proof of Reserves jelentést is tervez publikálni.
Kik álltak mögötte?
A blokklánc-elemzéssel és kiberbiztonsággal foglalkozó TRM Labs szerint a TraderTraitor nevű, észak-koreai hackercsoport állt a támadás mögött.
„Szilárd on-chain és off-chain hírszerzési adatok alapján nagy bizonyossággal jutottunk erre a következtetésre” - közölte a vállalat egy nyilatkozatban.
A cég arra is rámutat, hogy az FBI ugyanennek a csoportnak tulajdonította a 2025 februárjában történt, 1,5 milliárd dolláros (1,34 milliárd eurós) Bybit-feltörést.