Η μεγαλύτερη μέχρι σήμερα κλοπή ψηφιακών περιουσιακών στοιχείων καταγράφεται στην αγορά των κρυπτονομισμάτων, με θύμα την Binance, το μεγαλύτερο ανταλλακτήριο παγκοσμίως.
Κυβερνοεπίθεση που εκδηλώθηκε στις 29 Οκτωβρίου οδήγησε στην αφαίρεση περιουσιακών στοιχείων αξίας περίπου 6,3 δισ. δολαρίων από τα ψηφιακά πορτοφόλια της εταιρείας. Οι πρώτες ενδείξεις παραπέμπουν σε παραβίαση εταιρικού υπολογιστή εργαζομένου, ενώ η αμερικανική εταιρεία κυβερνοασφάλειας TRM Labs αποδίδει την επιχείρηση, με υψηλό βαθμό βεβαιότητας, στην ομάδα TraderTraitor που συνδέεται με τη Βόρεια Κορέα.
Η επίθεση προκάλεσε αναστάτωση στην αγορά και οδήγησε στην προσωρινή αναστολή καταθέσεων και αναλήψεων, καθώς η Binance επιχείρησε να περιορίσει τη διαρροή κεφαλαίων και να αποτρέψει περαιτέρω μεταφορές. Περίπου 3 δισ. δολάρια από τα κλεμμένα περιουσιακά στοιχεία έχουν δεσμευτεί μέσω συνεργασίας με εκδότες stablecoins και άλλους φορείς του οικοσυστήματος blockchain. Η εταιρεία διαβεβαιώνει ότι οι απώλειες των πελατών θα καλυφθούν από το ασφαλιστικό της ταμείο SAFU και από ίδια κεφάλαια.
Η διαδρομή των 6,3 δισ. δολαρίων
Σύμφωνα με τα στοιχεία της TRM Labs, η επίθεση πραγματοποιήθηκε το βράδυ της Πέμπτης 29 Οκτωβρίου. Μέσα σε περίπου 20 λεπτά μεταφέρθηκαν κεφάλαια αξίας 6,36 δισ. δολαρίων από πορτοφόλια της Binance σε δέκα διαφορετικά blockchain. Η ανάλυση της εταιρείας εντόπισε συνολικά 17 ψηφιακά πορτοφόλια της Binance από τα οποία πραγματοποιήθηκαν οι μεταφορές.
Η κλίμακα της επιχείρησης αποτυπώνεται και στη σύγκριση με την προηγούμενη μεγαλύτερη επίθεση στην αγορά. Τον Φεβρουάριο του 2025, χάκερ είχαν αφαιρέσει περίπου 1,5 δισ. δολάρια από το ανταλλακτήριο Bybit. Η νέα υπόθεση ξεπερνά κατά περίπου τέσσερις φορές εκείνο το ποσό.
Πώς παραβιάστηκε το σύστημα της Binance
Η προκαταρκτική έρευνα της Binance δείχνει ότι η επίθεση ενδέχεται να ξεκίνησε από την παραβίαση φορητού υπολογιστή μηχανικού που εργαζόταν στην ανάπτυξη και συντήρηση των συστημάτων της εταιρείας.
Ο δράστης φέρεται να απέκτησε πρόσβαση σε εσωτερική υπηρεσία της πλατφόρμας και να χρησιμοποίησε την υποδομή της για να υποβάλει μη εξουσιοδοτημένες εντολές ανάληψης. Με άλλα λόγια, αξιοποίησε τις ίδιες τις διαδικασίες που χρησιμοποιεί το ανταλλακτήριο για τη μεταφορά περιουσιακών στοιχείων.
Ιδιαίτερο ενδιαφέρον παρουσιάζει το γεγονός ότι η Binance δεν έχει εντοπίσει μέχρι στιγμής στοιχεία διαρροής των ιδιωτικών κλειδιών των ψηφιακών πορτοφολιών της. Η επίθεση φαίνεται ότι αξιοποίησε την πρόσβαση σε εσωτερικά συστήματα και όχι την απευθείας υποκλοπή των κλειδιών.
Στο δίκτυο Ethereum, μάλιστα, οι ερευνητές εντόπισαν τη χρήση της τεχνολογίας EIP-7702, η οποία επιτρέπει σε ένα ψηφιακό πορτοφόλι να αναθέτει την εκτέλεση λειτουργιών σε κώδικα έξυπνου συμβολαίου. Οι χάκερ φέρονται να εκμεταλλεύτηκαν αυτή τη δυνατότητα, μετατρέποντας ένα από τα μεγαλύτερα θερμά πορτοφόλια της Binance σε μηχανισμό μεταφοράς κεφαλαίων υπό τον έλεγχό τους.
Η εταιρεία ανακοίνωσε ότι ανακάλεσε τις σχετικές εξουσιοδοτήσεις, ενίσχυσε τους ελέγχους και συνεργάζεται με ειδικούς στην ανάλυση συναλλαγών blockchain και τις διωκτικές αρχές.
Η Βόρεια Κορέα πίσω από την επίθεση
Η TRM Labs αποδίδει την επιχείρηση στην TraderTraitor, ομάδα κυβερνοεγκληματιών που συνδέεται με τη Βόρεια Κορέα. Η εκτίμηση βασίζεται σε συνδυασμό στοιχείων από τις συναλλαγές στο blockchain και πληροφοριών για την προετοιμασία και την εκτέλεση της επίθεσης.
Η συγκεκριμένη ομάδα έχει συνδεθεί με ορισμένες από τις μεγαλύτερες κλοπές κρυπτονομισμάτων διεθνώς. Μεταξύ αυτών περιλαμβάνεται και η επίθεση στην Bybit το 2025, για την οποία οι αμερικανικές αρχές είχαν αποδώσει την ευθύνη σε βορειοκορεατικούς χάκερ.
Η δραστηριότητα τέτοιων ομάδων αποτελεί σημαντικό ζήτημα για τις διεθνείς αρχές ασφαλείας. Οι επιθέσεις σε ανταλλακτήρια και εταιρείες ψηφιακών περιουσιακών στοιχείων έχουν εξελιχθεί σε μία από τις βασικές πηγές παράνομων εσόδων για οργανωμένα δίκτυα που συνδέονται με τη Βόρεια Κορέα.
Η TRM Labs αναφέρει ότι παρακολουθεί τη διαδρομή των κλεμμένων κεφαλαίων και ενημερώνει τους συνεργαζόμενους φορείς, ώστε να περιοριστούν οι δυνατότητες μεταφοράς και εξαργύρωσής τους.
Πώς δεσμεύτηκαν 3 δισ. δολάρια
Καθοριστική για τον περιορισμό των απωλειών αποδείχθηκε η παρέμβαση των εταιρειών που εκδίδουν stablecoins, δηλαδή ψηφιακά νομίσματα των οποίων η αξία συνδέεται με παραδοσιακά νομίσματα, κυρίως το δολάριο.
Η Tether και η Circle αξιοποίησαν τη δυνατότητα που διαθέτουν να δεσμεύουν συγκεκριμένα ψηφιακά περιουσιακά στοιχεία, αποκλείοντας τις διευθύνσεις πορτοφολιών που συνδέονται με την επίθεση.
Σύμφωνα με τα στοιχεία που δημοσιοποιήθηκαν, η Tether δέσμευσε περίπου 1,76 δισ. δολάρια σε USDT, ενώ η Circle περίπου 823 εκατ. δολάρια σε USDC. Πρόσθετες παρεμβάσεις από άλλους εκδότες ψηφιακών νομισμάτων και το δίκτυο Arbitrum αύξησαν το συνολικό ποσό των δεσμευμένων περιουσιακών στοιχείων.
Η Binance ανακοίνωσε ότι περίπου 3 δισ. δολάρια έχουν δεσμευτεί στο blockchain. Η διαφορά σε σχέση με τα 6,3 δισ. της αρχικής ζημιάς παραμένει το μεγαλύτερο πρόβλημα για τους ερευνητές.
Ένα μέρος των χρημάτων είχε ήδη μετατραπεί σε άλλα κρυπτονομίσματα πριν ενεργοποιηθούν οι μηχανισμοί δέσμευσης. Σύμφωνα με την ανάλυση της Bitquery, περίπου 729 εκατ. δολάρια σε stablecoins ανταλλάχθηκαν με Ethereum και άλλα ψηφιακά περιουσιακά στοιχεία.
Στα πρώτα στάδια της παρακολούθησης των συναλλαγών, περίπου 3,1 δισ. δολάρια εξακολουθούσαν να βρίσκονται σε πορτοφόλια που ελέγχονται από τον δράστη, κυρίως σε Bitcoin και Ethereum.
Ο Ζάο διαβεβαιώνει ότι οι πελάτες δεν θα χάσουν χρήματα
Ο ιδρυτής της Binance, Τσανπένγκ Ζάο, παρότι έχει αποχωρήσει από τη διοίκηση της εταιρείας, εξακολουθεί να είναι ο μεγαλύτερος μέτοχός της και παρακολουθεί στενά τις εξελίξεις.
Σε παρέμβασή του μέσω της πλατφόρμας X επιβεβαίωσε ότι πρόκειται για κυβερνοεπίθεση και διαβεβαίωσε ότι οι χρήστες δεν θα υποστούν οικονομικές απώλειες.
Η διοίκηση της Binance ανακοίνωσε ότι θα καλύψει το σύνολο των απωλειών από το ταμείο έκτακτης ανάγκης SAFU και από ίδια κεφάλαια. Το SAFU (Secure Asset Fund for Users) αποτελεί ειδικό αποθεματικό που έχει δημιουργήσει η εταιρεία για την προστασία των χρηστών σε περιπτώσεις έκτακτων περιστατικών.
Η εταιρεία έχει επίσης δεσμευτεί να δημοσιοποιήσει αναλυτική τεχνική έκθεση μετά την ολοκλήρωση της έρευνας, ενώ θα επικαιροποιήσει τα στοιχεία απόδειξης των αποθεματικών της (Proof of Reserves).
Η αμερικανική θυγατρική Binance.US ανακοίνωσε ότι δεν επηρεάστηκε από την επίθεση.
Γιατί η ζημιά μπορεί να είναι διαχειρίσιμη
Παρά το πρωτοφανές ύψος της κλοπής, το μέγεθος της Binance και τα διαθέσιμα αποθεματικά της αποτελούν παράγοντες που περιορίζουν τον άμεσο κίνδυνο για τη βιωσιμότητά της.
Η ύπαρξη του SAFU και η δέσμευση σημαντικού μέρους των κλεμμένων κεφαλαίων προσφέρουν ένα περιθώριο οικονομικής προστασίας. Ωστόσο, η υπόθεση αναδεικνύει ένα πρόβλημα που αφορά συνολικά τον κλάδο: την εξάρτηση των ανταλλακτηρίων από εσωτερικές υποδομές που έχουν τη δυνατότητα να εγκρίνουν και να εκτελούν μεταφορές τεράστιων ποσών.
Στα παραδοσιακά χρηματιστήρια, οι επενδυτές διατηρούν συνήθως τους τίτλους τους μέσω θεματοφυλάκων και άλλων διακριτών μηχανισμών φύλαξης. Στον χώρο των κρυπτονομισμάτων, αντίθετα, τα ανταλλακτήρια συχνά διαχειρίζονται άμεσα τα πορτοφόλια στα οποία βρίσκονται τα περιουσιακά στοιχεία των πελατών.
Αυτό σημαίνει ότι μια επιτυχημένη παραβίαση εσωτερικών συστημάτων μπορεί να έχει πολύ μεγαλύτερες συνέπειες από μια συνηθισμένη κυβερνοεπίθεση σε εμπορική επιχείρηση.
Νέο πλήγμα στην εμπιστοσύνη της αγοράς κρυπτονομισμάτων
Η επίθεση στην Binance έρχεται σε μια περίοδο κατά την οποία η αγορά των ψηφιακών περιουσιακών στοιχείων επιχειρεί να ενισχύσει τη θεσμική της αξιοπιστία και να προσελκύσει περισσότερους μεγάλους επενδυτές.
Η είδηση προκάλεσε πιέσεις στις τιμές των κρυπτονομισμάτων, με το Bitcoin να υποχωρεί κάτω από τα 79.000 δολάρια στις πρώτες αντιδράσεις της αγοράς.
Παράλληλα, η υπόθεση έρχεται να προστεθεί σε ξεχωριστό περιστατικό ασφαλείας στην πλατφόρμα προβλέψεων Polymarket, όπου αναφέρθηκαν απώλειες τουλάχιστον 2,6 εκατ. δολαρίων από λογαριασμούς χρηστών.
Το κρίσιμο ερώτημα για την Binance είναι πλέον διπλό: εάν θα καταφέρει να ανακτήσει μεγαλύτερο μέρος των κλεμμένων κεφαλαίων και εάν θα αποκαταστήσει πλήρως την εμπιστοσύνη των χρηστών της.
Η οικονομική ζημιά μπορεί να καλυφθεί από τα αποθεματικά της εταιρείας. Η αποκάλυψη, όμως, ότι ένας εργαζόμενος και μία παραβιασμένη συσκευή ενδέχεται να έδωσαν σε χάκερ πρόσβαση σε διαδικασίες μεταφοράς δισεκατομμυρίων, δημιουργεί ένα πολύ μεγαλύτερο ζήτημα για την ασφάλεια ολόκληρου του κλάδου.
