Binance: furt record de 6,3 miliarde pornit de la un laptop DevOps

Pe 29 octombrie 2026, din hot wallet-urile Binance, portofelele conectate la internet pe care exchange-ul le folosește pentru retrageri, au ieșit criptomonede în valoare de aproximativ 6,3 miliarde de dolari. Binance a confirmat incidentul și, în primele concluzii, îl leagă de laptopul compromis al unui inginer DevOps. Firmele de analiză blockchain TRM Labs și Chainalysis îl atribuie cu încredere ridicată grupului TraderTraitor, grupul nord-coreean căruia FBI i-a atribuit furtul de 1,5 miliarde de la Bybit din februarie 2025. Dacă cifrele se confirmă, este cel mai mare furt de criptomonede înregistrat vreodată.

Știrea este relatată de BleepingComputer, Security Affairs, TechCrunch, The Hacker News, The Register, SecurityWeek, Help Net Security și The Record.

Ce s-a întâmplat

• 29 octombrie, de la 20:05 UTC: potrivit TRM Labs, aproximativ 6,36 miliarde de dolari ies din portofelele Binance, cea mai mare parte în circa 20 de minute. TRM vorbește de zece blockchain-uri; The Record scrie în schimb de 20 de blockchain-uri, printre care Bitcoin, Ethereum, Tron, XRP Ledger și Solana.
• În primele ore, estimările publice, bazate doar pe tranzacțiile observate, variază între 2 și 5,8 miliarde. Binance spune că investighează și că fondurile utilizatorilor sunt „complet în siguranță”, apoi suspendă depunerile și retragerile. Potrivit The Register, a fost oprită și tranzacționarea.
• 30 octombrie: în prima actualizare tehnică, Binance ridică estimarea la 6,3 miliarde, declară că a înghețat circa 3 miliarde cu ajutorul partenerilor și se angajează să acopere toate pierderile din fondul SAFU și din fonduri proprii. Potrivit Help Net Security, depunerile au fost reluate, iar retragerile rămân suspendate până la finalizarea revizuirii de securitate a serviciului de retrageri și a adreselor asociate, cu reluarea estimată în 48 de ore.

Detalii tehnice

Versiunea Binance. Investigația inițială arată că laptopul compromis al inginerului DevOps i-a permis atacatorului să acceseze un container de serviciu și să trimită tranzacții de retragere neautorizate. Binance afirmă că nu a găsit dovezi ale unei scurgeri de chei private ale portofelelor. Co-CEO-ul Richard Teng precizează că atacatorul „nu a folosit pur și simplu permisiunile unui inginer” și că nu a fost o acțiune „dintr-un clic”, ci un proces mai complex; compania semnalează „puncte suplimentare de breșă” aflate încă în analiză. Autorizarea adresei afectate a fost revocată și a fost anunțat un post-mortem tehnic. Binance nu a explicat cum a fost compromis laptopul: The Register sugerează phishing sau un pachet software compromis, dar este doar o ipoteză.

Analiza TRM Labs (preluată de SecurityWeek, Help Net Security și BleepingComputer):

• pregătirea: cel puțin o zi și jumătate. Portofelul folosit pentru operațiune a fost alimentat cu mici retrageri din Tornado Cash, iar codul malițios a fost testat pe alte portofele înainte de atac;
• Ethereum: atacatorii au folosit EIP-7702, mecanismul prin care un portofel obișnuit își poate delega comportamentul unui smart contract semnând o autorizare. Au trimis 50 de autorizări semnate în avans de un hot wallet Binance, astfel încât una să corespundă contorului de tranzacții (nonce) în momentul execuției. Portofelul a ajuns delegat unui contract controlat doar de atacatori, care l-au golit;
• celelalte blockchain-uri: portofelele Binance au trimis fondurile prin tranzacții obișnuite, semnate valid, deși folosesc tipuri de chei și scheme de semnare diferite, toate în circa o jumătate de oră. Pentru TRM, explicația cea mai probabilă este că atacatorul a obținut posibilitatea de a face sistemul de semnare al hot wallet-urilor Binance să semneze tranzacții alese de el. Phishingul, care la început părea să explice Ethereum, nu explică celelalte lanțuri.

Cele două versiuni sunt compatibile: un serviciu de semnare poate fi abuzat fără ca cheile să iasă vreodată din sistem.

Atribuirea. TRM atribuie atacul grupului TraderTraitor (urmărit și ca Lazarus Group și APT38) pe baza asemănărilor cu Bybit și cu atacul asupra KelpDAO din aprilie 2026: portofel operativ alimentat printr-un mixer, pregătire îndelungată și semnături colectate în avans și folosite toate odată. Chainalysis ajunge la aceeași concluzie după ce a găsit fonduri din furtul de la Bitget de luna trecută amestecate cu cele luate de la Binance. Binance nu i-a numit pe autori.

Înghețări și spălare. Tether a blocat peste 1,56 miliarde în USDT, iar Circle peste 800 de milioane în USDC; Ripple, World Liberty Financial și Security Council-ul Arbitrum au blocat sume mai mici. TRM numără circa 2,7 miliarde înghețate, Binance circa 3. Ca să le-o ia înainte blocărilor, atacatorii au vândut USDT unor market maker-i cu peste 10% sub prețul pieței și au împrumutat ETH pe Aave cu USDT drept garanție. Potrivit TRM, controlează încă peste 420.000 ETH și 18.270 BTC, circa 2,4 miliarde pe care niciun emitent nu le poate îngheța.

MITRE ATT&CK (corespondența noastră pe baza faptelor relatate): T1657 (Financial Theft). Vectorul de acces inițial nu a fost făcut public.

Impactul pentru companiile europene și italiene

Dacă ai fonduri pe Binance, efectul imediat este blocarea retragerilor și riscul de phishing: Binance însăși avertizează să nu ai încredere în linkuri, mesaje sau cereri de date venite pe canale neoficiale. Furnizorii de servicii de criptoactive autorizați conform MiCA intră sub incidența DORA, cu obligațiile sale privind riscul TIC și raportarea incidentelor.

Lecția depășește însă cu mult criptomonedele. Un laptop al cuiva care administrează infrastructura a fost suficient pentru a ajunge la un container de producție și, de acolo, la un serviciu care semnează operațiuni de valoare. Aceeași schemă se aplică plăților, publicării de software semnat, CA-urilor interne și cheilor din KMS sau HSM: dacă serviciul semnează ce i se cere, protejarea cheii nu este suficientă. Pentru entitățile NIS2, articolul 21 cere măsuri privind controlul accesului, securitatea în dezvoltare și gestionarea incidentelor, iar stațiile personalului DevOps fac parte din ele.

Ce faci acum

1. Fonduri pe Binance: folosește doar canalele oficiale și avertizează-i pe cei care gestionează trezoreria că vor circula anunțuri false și falși agenți de suport.
2. Stațiile DevOps și de administrare: tratează-le ca sisteme critice. Stații dedicate administrării, fără acces direct la producție de pe laptopul de zi cu zi, credențiale de scurtă durată și autentificare puternică.
3. Accesul la containerele de producție: verifică cine poate deschide o sesiune sau rula comenzi în containere, înregistrează fiecare sesiune și generează alerte la accese în afara programului sau de pe dispozitive noi.
4. Serviciile de semnare: adaugă reguli care nu depind de cine face cererea, de exemplu limite de sumă și de frecvență, destinații autorizate și aprobarea mai multor persoane peste un prag. Prevede o oprire de urgență: aici cea mai mare parte a fondurilor a ieșit în 20 de minute.
5. Autorizări semnate în avans: dacă gestionezi portofele, împiedică sistemul să semneze delegări EIP-7702 neprevăzute și verifică dacă există semnături pregătite și nefolosite.
6. Exchange-uri și servicii care acceptă depuneri în cripto: TRM recomandă verificarea depunerilor primite față de adresele pe care le-a legat de furt.

Cum ajută ARXDOME

ARX Sentry colectează prin agent loguri, evenimente de securitate, procese și modificări ale fișierelor de pe calculatoarele și serverele Windows, Linux și macOS, inclusiv stațiile dezvoltatorilor și ale echipei DevOps. Paginile de identitate ale SOC-ului arată accesele privilegiate, accesele de noapte și rafalele de încercări. Cu ARX Trace, analiștii pornesc colectări și căutări pe mai multe mașini pentru a afla dacă o stație este compromisă și unde s-a deplasat atacatorul.

Ultima actualizare: 30 octombrie 2026