Clienții Binance nu vor suporta pierderile din furtul de 6,3 miliarde de dolari. Cât a acoperit deja compania

Potrivit companiei, atacatorii au combinat un interviu fals de angajare cu un inginer, programe malițioase și exploatarea mecanismului EIP-7702 din rețeaua Ethereum.

FBI a atribuit atacul Coreei de Nord, iar Donald Trump a spus că autorii nu sunt cunoscuți cu certitudine, scrie profit.ro.

Serviciul intern de semnare, folosit pentru transferuri ocolite

Potrivit Binance, atacatorul a obținut acces neautorizat la un serviciu intern de semnare a tranzacțiilor (wallet signing service), prin care a declanșat transferuri ce au ocolit procedura obișnuită de retragere a fondurilor.

Pe rețelele Solana și Optimism, din portofelele companiei au plecat spre adrese controlate de atacator aproximativ 970.500 SOL și 44,2 milioane OP. O alertă internă legată de transferurile de volum mare a determinat apoi Binance să deschidă de îndată o investigație.

În etapa următoare, același serviciu de semnare a fost folosit pentru exploatarea EIP-7702, mecanismul de autorizare al rețelei Ethereum. Acesta îi dă unui cont posibilitatea de a delega unele drepturi de execuție unui contract inteligent (smart contract), fără ca cheia privată să fie expusă.

Atacatorul s-a folosit de această funcție ca să acorde unui contract inteligent aflat sub controlul său drepturi parțiale de execuție asupra unui portofel Binance, arată compania.

Izolarea atacului și 2,85 miliarde de dolari înghețate

Prima reacție a Binance a constat în mai multe măsuri de izolare. Retragerile au fost suspendate, pentru ca alte fonduri să nu mai poată ieși, tokenurile afectate au fost înghețate în coordonare cu partenerii, iar pentru permisiunile neautorizate au fost luate măsuri de revocare.

În total, aceste acțiuni au dus la înghețarea unor active de 2,85 miliarde de dolari.

Oprirea retragerilor nu a putut bloca, singură, toate mișcările neautorizate de active, pentru că autorizările malițioase EIP-7702 se aflau „on-chain” (pe blockchain) și nu depindeau de infrastructura obișnuită de retragere a platformei.

Prin 50 de tranzacții de semnare, atacatorii manipulaseră parametrul contului și instituiseră autorizări de delegare malițioase, care le-au dat ulterior posibilitatea să mute în continuare activele fără să treacă prin infrastructura standard de retragere a Binance.

De ce revocarea autorizărilor a durat mai mult

Ca să anuleze autorizările deja înscrise pe blockchain, compania a fost nevoită să facă tranzacții suplimentare, iar izolarea a ridicat și alte dificultăți tehnice.

Portofelul funcționa pe baza tehnologiei MPC (Multi-Party Computation, calcul multipartit), așa că nu exista o cheie privată unică prin care autorizările malițioase EIP-7702 să fie revocate pe loc.

Echipa a trebuit astfel să conceapă și să aplice o procedură specială de revocare, care a cerut mai mult timp.

Nici suspendarea retragerilor, nici oprirea serviciilor de portofel nu au anulat de la sine autorizările deja prezente pe blockchain, precizează Binance, motiv pentru care oprirea completă a mișcărilor neautorizate de active a durat mai mult.

Ultimul transfer neautorizat, de 2.961,9 ETH, s-a finalizat pe blockchain la ora 23:56 UTC, după ce tranzacția, trimisă mai devreme în rețea, stătuse în așteptare.

După acest moment nu au mai fost observate alte transferuri neautorizate. Pe 30 octombrie 2026, la ora 00:10 UTC, Binance a lansat de la portofel o nouă operațiune către „adresa zero” (zero address), prin care codul de delegare EIP-7702 a fost eliminat.

Mai multe etape, nu o singură breșă

Binance a descris atacul ca pe o operațiune construită treptat și a prezentat, în acest sens, o cronologie a pregătirii lui.

„Investigația noastră actuală indică faptul că aceasta a fost o campanie sofisticată, în mai multe etape. Nu a fost o singură încălcare izolată sau un simplu incident de phishing.
Atacatorii au combinat o serie de tehnici, inclusiv inginerie socială prin interviuri de recrutare false, descărcări de software rău intenționat, instrumente interne de inteligență artificială compromise, compromiterea endpoint-ului și o metodă avansată de autorizare a tranzacțiilor”, a arătat compania.

Primul pas: o instalare Homebrew modificată

Cronologia începe în iunie 2026, cu un atac în lanțul de aprovizionare. Căutând pe un motor de căutare un instrument popular de codare AI, inginerul A de la Wallet DevOps a ajuns să descarce, pentru instalarea lui, o versiune modificată de Homebrew.

Anomalia a fost depistată de echipa de securitate, care a schimbat dispozitivul și a rotit, preventiv, toate acreditările asociate. Cronologia mai arată că inginerul A și colegii săi din echipa de infrastructură a portofelului au fost expuși hackerului.

57 de tentative legate de Coreea de Nord, oprite în 2026

În cursul anului 2026, echipa de securitate a Binance a identificat și a prevenit 57 de cazuri de amenințări cibernetice suspectate a avea legătură cu Coreea de Nord, tentative care arată, potrivit companiei, cât de persistent este pericolul venit din partea actorilor sponsorizați de stat care țintesc industria criptomonedelor.

Printre metodele folosite s-au numărat interviurile de angajare frauduloase, programele malițioase prezentate drept instrumente populare pentru dezvoltatori, pachetele software și extensiile de browser compromise, aplicațiile false de videoconferință, precum și campaniile de inginerie socială menite să fure acreditări sau să instaleze malware cu acces la distanță.

Un interviu de angajare regizat în două runde

În septembrie a urmat etapa de inginerie socială. Inginerul de software B, al cărui profil de pe o platformă legitimă de recrutare menționa experiența de la Binance, a fost abordat acolo de cineva care pretindea că este director de proiect.

Falsul director de proiect a organizat apoi două interviuri, primul cu un presupus reprezentant de resurse umane, al doilea cu o persoană care s-a prezentat drept CEO al unei companii fictive.

Prima rundă a fost un interviu video live, în care presupusul angajat de resurse umane i-a arătat inginerului B un cont de socializare, cu fotografii personale și videoclipuri publicate pe platformă, ca să-i câștige încrederea.

Binance a apreciat această abordare ca fiind mai avansată și mai înșelătoare decât tentativele de inginerie socială întâlnite până atunci.

A doua rundă s-a desfășurat într-o aplicație populară de chat social, iar spre final inginerul B a primit instrucțiunea să descarce pe computerul de serviciu o „sarcină”, care cuprindea un depozit de cod rău intenționat.

Codul malițios din depozit a rulat în timpul configurării și a pornit o succesiune de activități neautorizate.

Malware nedetectat și urme șterse

Malware-ul a recurs la tehnici sofisticate de evitare a atacurilor, printre care înlocuirea unei componente legitime a unui instrument de dezvoltare cu o variantă malițioasă, prin care putea executa comenzi și comunica cu un server extern aflat sub controlul atacatorului.

Instrumentele de protecție a securității endpoint-urilor nu au detectat atunci malware-ul, aflat în versiunea 0-day. Atacatorul a luat, în plus, măsuri ca să ascundă activitatea malițioasă și să elimine urmele compromiterii, ceea ce a îngreunat ulterior detectarea și investigarea.

De la computerul compromis la declanșarea atacului

Pe 20 octombrie, atacatorul a pornit de la computerul compromis al inginerului B și, cu ajutorul unui instrument intern de inteligență artificială, a obținut controlul asupra inginerului DevOps al portofelului A și asupra unui alt inginer de software pentru portofel, C.

La scurt timp, atacatorul a constatat că pe computerul inginerului A se afla un token de permisiune pentru implementarea containerelor.

Pe 29 octombrie, între orele 17:15 și 19:56, atacatorul a ajuns la operațiunile de semnare a portofelului. S-a conectat la computerul inginerului de software C, a utilizat acreditările sustrase de la inginerul DevOps A, a implementat un container și a rulat un script rău intenționat, cu care a lansat atacul.

Retrageri nete de 3,64 miliarde de dolari la redeschidere

După reluarea operațiunilor, duminică, Binance a înregistrat retrageri nete de 3,64 miliarde de dolari. Potrivit companiei, după creșterea puternică din primele momente ale redeschiderii, volumul retragerilor a început să scadă și să se stabilizeze, iar depunerile s-au menținut și ele la un nivel semnificativ.

Retragerile au fost reluate în mai multe etape, începând de duminică, de la ora 06:00 GMT.

La ora 12:36 GMT, toate cele 15 rețele și active digitale din prima fază funcționau din nou, iar pentru celelalte rețele testele erau încă în desfășurare.

Changpeng Zhao, fondatorul și fostul director general al Binance, a încercat să liniștească utilizatorii, spunând că 98% dintre aceștia au ales să rămână pe platformă. Zhao a precizat că retragerile nete s-au produs, în cea mai mare parte, în primele două ore după reluarea activității.

Pierderile, acoperite din fondurile companiei

Binance anunțase anterior că a acoperit 90% din activele de 6,3 miliarde de dolari furate în atacul de joi și s-a angajat să suporte integral pierderile, astfel încât utilizatorii să nu fie afectați financiar.

Pentru acoperirea pagubelor, compania a alocat din fondurile proprii peste 6,34 miliarde de dolari. Completarea diferenței ar putea dura însă mai mult, pentru că anumite criptomonede sunt greu de procurat în cantitățile necesare, conform aceleiași surse.

„Binance va suporta impactul financiar al acestor fonduri furate, nu utilizatorii noștri”, a transmis compania.

Pe mai multe dintre rețelele platformei, retragerile au fost restabilite după suspendarea provocată de atac, Binance anunțând dinainte că reluarea se va face etapizat. Integral acoperite sunt activele clienților în Bitcoin, Ethereum și Tether, alături de alte șapte criptomonede tranzacționate pe scară largă.

Acuzațiile FBI și rezervele lui Donald Trump

Biroul Federal de Investigații (FBI) a declarat că atacul a fost orchestrat de Coreea de Nord.

Anchetatorii americani au arătat că hackerii au început să transforme activele furate în Ethereum, care urmează să fie mutate și convertite din nou prin servicii financiare descentralizate și platforme de schimb instantaneu de criptomonede. Prin astfel de operațiuni se urmărește îngreunarea urmăririi fondurilor și a reconstituirii drumului parcurs de bani.

Anterior, două companii specializate în analiza tranzacțiilor blockchain declaraseră pentru BBC că au informații solide despre implicarea grupării Lazarus, cunoscută și ca TraderTraitor, o structură de hackeri asociată statului nord-coreean.

FBI a numit explicit gruparea, însă președintele american Donald Trump a spus că Statele Unite nu au stabilit cu certitudine cine se află în spatele atacului.

„Încă aflăm informații despre acest lucru. Nu știm dacă este Coreea de Nord, dar, dacă este, vom discuta cu Coreea de Nord despre asta”, a declarat Trump.

Coreea de Nord a respins constant orice implicare în atacurile informatice puse pe seama hackerilor săi.

Laptopul unui inginer, primul punct de intrare identificat

Prima etapă a investigației Binance arătase că laptopul unui inginer al companiei fusese compromis, ceea ce le-ar fi dat atacatorilor posibilitatea să facă retrageri neautorizate.
Ulterior, compania a anunțat că a descoperit și alte căi prin care hackerii ar fi pătruns în sistemele sale.

Co-directorul executiv al Binance, Richard Teng, a declarat că atacul a fost comis de mai multe persoane, care și-au acoperit urmele prin metode sofisticate. Printre tehnicile utilizate s-a aflat și un mecanism de autodistrugere, gândit să șteargă dovezile operațiunii și să îngreuneze ancheta.

Binance nu a oferit deocamdată o explicație completă a modului în care au fost sustrase activele.

După atac, Binance a anunțat blocarea a aproximativ 3 miliarde de dolari din activele furate, rezultat al colaborării cu autoritățile de aplicare a legii, cu firme specializate în informații și cu parteneri din industria criptomonedelor. Identificarea și recuperarea fondurilor sunt încă în desfășurare.

Serviciul Secret al Statelor Unite (US Secret Service) a transmis că, împreună cu parteneri din sectorul privat, lucrează permanent la identificarea, blocarea, urmărirea și recuperarea activelor luate de la Binance.

Bybit, recordul depășit de atacul asupra Binance

Precedentul record al industriei criptomonedelor datează din 2025, când de pe platforma Bybit au fost sustrase active digitale de aproximativ 1,5 miliarde de dolari, iar atacul asupra Binance îl depășește cu mult. Și acel furt a fost atribuit de FBI Coreei de Nord.

Ce este Binance

Fondată în China în 2017, Binance le permite utilizatorilor să cumpere, să vândă și să tranzacționeze criptomonede și alte active digitale. Estimările arată că platforma are sute de milioane de utilizatori în întreaga lume.