Najväčšia kryptomenová burza Binance sa stala terčom útoku, pri ktorom útočníci presunuli aktíva v odhadovanej hodnote približne 6,3 miliardy dolárov. Binance tvrdí, že približne 3 miliardy dolárov z tejto sumy sa už podarilo zmraziť. Zaujímavý je však spôsob, akým sa hackeri pripravili práve na možnosť blokovania stablecoinov. Časť ukradnutých USDT totiž ešte pred ich zmrazením použili ako zábezpeku na Aave a požičali si proti nim Ethereum, ktoré už nie je možné podobným spôsobom centrálne zablokovať.
Útok zasiahol Binance na viacerých blockchainoch
K útoku došlo 29. októbra a podľa analýzy TRM Labs boli zasiahnuté peňaženky Binance na desiatich blockchainoch. Väčšina prostriedkov bola presunutá počas približne dvadsiatich minút. TRM Labs vyčíslilo hodnotu ukradnutých aktív v čase prevodu na približne 6,36 miliardy dolárov, čím by išlo o najväčšiu krádež kryptomien v histórii.
Len na Ethereum sieti išlo približne o 3,79 miliardy dolárov vrátane viac ako 200-tisíc ETH, 1,875 miliardy USDT a 823 miliónov USDC. Ďalších 18 270 BTC v hodnote približne 1,47 miliardy dolárov odišlo z bitcoinových peňaženiek Binance. Útok zasiahol aj siete Tron, XRP Ledger, Solana, Arbitrum, Optimism, Base, Avalanche a Polygon.
Binance po incidente dočasne zastavila vklady a výbery a začala spolupracovať s blockchainovými spoločnosťami a vyšetrovateľmi. Burza tvrdí, že používateľské prostriedky sú v bezpečí a všetky straty pokryje z fondu SAFU a vlastných zdrojov. Podľa jej predbežného vyšetrovania mohol útok súvisieť s kompromitovaným notebookom DevOps inžiniera, cez ktorý útočník získal prístup k servisnému kontajneru. Binance zatiaľ nenašla dôkaz o úniku privátnych kľúčov.
Miliardy sa podarilo zmraziť, ale hackeri s tým počítali
Jednou z výhod centralizovaných stablecoinov z pohľadu bezpečnosti je, že ich vydavatelia dokážu konkrétne tokeny alebo adresy zablokovať. Po útoku preto začali Tether, Circle, Ripple a ďalšie spoločnosti zmrazovať ukradnuté USDT, USDC a ďalšie aktíva.
TRM Labs evidovalo približne 2,7 miliardy dolárov takto zablokovaných prostriedkov, zatiaľ čo Binance neskôr uviedla, že celkovo bolo na blockchaine zmrazených už približne 3 miliardy dolárov.
Útočníci však očividne počítali s tým, že stablecoiny môžu byť zablokované, a okamžite sa ich snažili premieňať na aktíva bez centrálneho vydavateľa. Okrem predajov cez decentralizované burzy využili aj úverový protokol Aave.
60 miliónov USDT vložili do Aave a vybrali 44,6 milióna v ETH
Medzi 20:58 a 21:01 vložila jedna z peňaženiek spojených s útočníkmi do Aave V3 celkovo 60 miliónov USDT. Proti tejto zábezpeke si následne požičala 19 762 WETH, teda Ethereum v hodnote približne 44,6 milióna dolárov.
V praxi tak útočníci nemuseli ukradnuté USDT predávať. Použili ich ako kolaterál a získali proti nim ETH. Ak boli následne pôvodné USDT zmrazené, hackeri už mali Ethereum vo svojej peňaženke.
Práve tu je zásadný rozdiel. Tether môže USDT na konkrétnej adrese zablokovať, zatiaľ čo samotné Ethereum nemá centrálneho vydavateľa, ktorý by dokázal jednoducho označiť konkrétne ETH za neplatné alebo ich zmraziť.
Nešlo pritom o chybu alebo hack Aave. Protokol vykonal štandardnú pôžičku proti vloženej zábezpeke. Aave následne preventívne obmedzilo svoje trhy, aby útočníci nemohli rovnaký postup vo väčšom rozsahu zopakovať.
Zmrazené USDT ešte nemusia znamenať zachránené peniaze
Celá situácia zároveň ukazuje, prečo údaj, že boli zmrazené približne 3 miliardy dolárov, nemožno automaticky chápať tak, že Binance tieto peniaze už získala späť.
Časť zablokovaných tokenov môže byť súčasťou pozícií v DeFi protokoloch alebo môže mať za sebou ďalšie transakcie. V prípade Aave napríklad 60 miliónov USDT zostalo ako zábezpeka úveru, ale útočníci už proti nim získali takmer 45 miliónov dolárov v ETH.
Pokiaľ pôžičku dobrovoľne nesplatia, pozícia sa bude ďalej riadiť mechanizmami Aave vrátane pravidiel likvidácie. Zatiaľ preto nemožno jednoducho povedať, kto nakoniec ponesie prípadnú stratu z takejto pozície.
Za útokom má podľa TRM Labs stáť severokórejská skupina
TRM Labs pripisuje útok s vysokou mierou istoty severokórejskej skupine TraderTraitor, ktorá bola spájaná aj s rekordným útokom na Bybit z februára 2025. Analytici tvrdia, že prípravy na útok Binance začali minimálne 36 hodín vopred a zahŕňali testovanie kódu aj prípravu podpisov potrebných na následné presuny aktív.
Podľa TRM Labs útočníci po hacku držali viac ako 420-tisíc ETH a 18 270 BTC v celkovej hodnote približne 2,4 miliardy dolárov, ktoré sa nachádzali mimo priameho dosahu vydavateľov stablecoinov. Presuny cez Aave tak neboli náhodnou reakciou na vzniknutú situáciu, ale zapadali do širšej snahy čo najrýchlejšie dostať ukradnuté peniaze z aktív, ktoré možno zmraziť, do kryptomien, pri ktorých podobná centrálna poistka neexistuje.
Ak sa konečný rozsah útoku potvrdí na úrovni 6,3 miliardy dolárov, výrazne prekoná doterajší rekordný hack Bybitu z roku 2025 za približne 1,5 miliardy dolárov. Tentoraz navyše nejde len o samotnú veľkosť krádeže. Pozoruhodná je aj príprava útočníkov na následné zmrazovanie aktív a okamžité využitie DeFi protokolov na získanie kryptomien, ktoré už centrálne zablokovať nemožno.
Update: Binance už reagovalo, na pokrytie strát vyčlenilo 6,34 miliardy dolárov
Binance medzitým zverejnilo ďalšie informácie o útoku a potvrdilo, že na pokrytie strát vyčlenilo viac ako 6,34 miliardy dolárov z vlastných firemných prostriedkov. Približne 5 miliárd dolárov už spoločnosť drží v rovnakých kryptomenách, aké boli odcudzené, pričom zvyšné aktíva postupne dokupuje na burzách a prostredníctvom mimoburzových obchodov. Táto suma pritom nezahŕňa približne 3 miliardy dolárov, ktoré sa podarilo zmraziť v spolupráci s ďalšími spoločnosťami.
Generálny riaditeľ Richard Teng zároveň ubezpečil zákazníkov, že ich prostriedky sú v bezpečí a Binance pokryje všetky straty. Podľa neho útok zasiahol vlastné prevádzkové peňaženky burzy, pričom väčšina zákazníckych aktív je uložená v bezpečnejších offline peňaženkách.
Vyšetrovanie však ukázalo, že útok bol komplikovanejší, než naznačovali prvé zistenia o kompromitovanom notebooku zamestnanca. Binance identifikovalo ďalšie miesta narušenia zabezpečenia a potvrdilo, že útočníci využili mechanizmus EIP-7702 na sieti Ethereum. Ten im umožnil delegovať vykonávanie transakcií na škodlivý smart kontrakt a obísť bežné schvaľovacie mechanizmy burzy. Hackeri navyše používali nástroje na automatické odstraňovanie stôp po svojej činnosti, čo komplikuje následné vyšetrovanie.
Binance preto pokračuje v komplexnej bezpečnostnej kontrole svojich systémov vrátane správy kľúčov a podpisovania transakcií. Vklady už fungujú, no výbery zostávajú dočasne pozastavené. Burza ich chce obnoviť najneskôr v nedeľu 1. novembra, pričom v pondelok 2. novembra plánuje zverejniť aktualizovaný Proof of Reserves, ktorý má umožniť verejnú kontrolu krytia zákazníckych aktív.
Komentáre