Podle analytické společnosti TRM Labs začal útok ve čtvrtek 29. října ve 20:05 UTC (21:05 středoevropského času). Většina prostředků odešla zhruba za 20 minut z peněženek na deseti blockchainech.
TRM vyčíslila škodu v době krádeže na 6,36 miliardy dolarů. To je asi čtyřnásobek dosavadního rekordu, krádeže z burzy Bybit z února 2025 (1,5 miliardy dolarů). Při dnešních cenách mají ukradená aktiva hodnotu asi 6,23 miliardy dolarů.
Útok přes notebook
Binance uvedly, že předběžné vyšetřování ukazuje na možnou kompromitaci notebooku DevOps inženýra. Útočník se tak mohl dostat ke kontejnerové službě a odeslat neoprávněné výběry. Burza zatím nenašla důkaz, že by unikl soukromý klíč některé peněženky. Spoluředitel Richard Teng zdůraznil, že útočník nevyužil jen oprávnění jednoho technika a nešlo o „jedno kliknutí“. Šlo o složitější postup. Binance později oznámila, že objevila další místa narušení, a slíbila podrobný technický rozbor, až budou fakta ověřena. Příčinu zatím nezveřejnila.
Podle TRM operace trvala minimálně 36 hodin. Operační peněženku útočníka financovaly tři malé výběry z mixéru Tornado Cash, který zakrývá původ prostředků. Škodlivý kód útočník nejdřív otestoval na dvou peněženkách. Finální verzi vyzkoušel na třetí a testovací prostředky poslal zpět sám sobě. Čtyři hodiny po zkoušce nasadil stejný kód na horkou peněženku Binance.
Horká peněženka je peněženka připojená k internetu, ze které burza zpracovává výběry klientů. Útočník zneužil standard EIP-7702, který přišel s aktualizací Pectra v květnu 2025. Obyčejná peněženka díky němu může podpisem pověření předat řízení svého chování chytrému kontraktu. Od té chvíle běží při každém volání peněženky kód kontraktu, dokud peněženka nepodepíše nové pověření.
Útočník v jedné transakci odeslal 50 pověření podepsaných horkou peněženkou Binance. Všechna ukazovala na kontrakt, který přijímá příkazy jen od útočníka. Každé pověření platí jen pro konkrétní hodnotu čítače transakcí peněženky (nonce). Binance zpracovává stálý proud výběrů, takže čítač neustále roste. Útočník proto připravil podpisy pro 50 po sobě jdoucích hodnot, aby aspoň jedna seděla v okamžiku provedení. Jedna sedla a peněženka přešla pod jeho kontrolu.
Za 3 minuty a 24 sekund poslal útočník příkaz k přesunu celého zůstatku. Jedinou transakcí odešlo 167 464 ETH a 63 dalších tokenů, včetně 1,615 miliardy USDT. Delegace zůstala v platnosti, takže útočník vybíral i nově přicházející prostředky (ve 20:41, 20:59, 21:04, 21:44, 22:39 a 23:56 UTC). Tatáž peněženka sloužila jako vykonavatel dalšího chytrého účtu Binance, odkud útočník získal i 823 milionů USDC.
Jiří Kohout z Check Point Software Technologies k tomu říká: „Nemuseli prolomit šifrování ani ukrást soukromé kryptografické klíče, kterými se potvrzují transakce. Místo toho podle dosavadních zjištění ovládli systém, který tyto klíče používá a schvaluje převody.“
Útok podle něj mohl začít kompromitací jediného zaměstnaneckého notebooku. Odtud se útočníci pravděpodobně dostali k interní službě s oprávněním zadávat výběry. „Je jedno, jak pevný máte trezor, když se někdo dostane ke klíčům a mechanismům, které ho otevírají,“ dodal.
Rychlost útoku zdůrazňuje i Nigel Green, šéf poradenské skupiny deVere Group: „Šest miliard dolarů se přesunulo za zhruba 20 minut přes notebook jednoho inženýra. Kód Bitcoinu nebyl nijak dotčen.“ Podle něj umělá inteligence umožňuje útočníkům plánovat a udeřit strojovou rychlostí, takže musí stejně rychle fungovat i obrana. Zapojení AI do tohoto útoku ale žádný z dostupných technických rozborů nepotvrzuje.
TRM připisuje útok s vysokou mírou jistoty severokorejské státem podporované skupině TraderTraitor (také Jade Sleet, UNC4899, Slow Pisces; řazená pod Lazarus Group). Opírá se o shodné rysy s krádeží u Bybitu a s útokem na KelpDAO z dubna 2026. Jde o operační peněženku financovanou přes mixér, přípravu dlouho před krádeží a předem získané podpisy použité najednou. Check Point připomíná, že před pěti týdny podobným způsobem přišla burza Bitget asi o 388 milionů dolarů.
Ukrást a vyprat
Útočníci počítali s tím, že emitenti stablecoinů mohou prostředky zmrazit, a snažili se je rychle přeměnit:
- Asi 325 milionů USDT prodali profesionálním tvůrcům trhu (market makerům) za zhruba 122 300 ETH. Cena vycházela na přibližně 2 650 dolarů za ETH při tržní ceně kolem 2 300 až 2 350 dolarů, tedy se slevou přes 10 %.
- Druhá peněženka vložila 60 milionů USDT do půjčovacího protokolu Aave a půjčila si proti nim asi 19 760 ETH. Aave poté zmrazil dotčené trhy.
- Na Tronu putovalo 300 milionů USDT do protokolu JustLend. Dalších 200 milionů prošlo řetězem mezipeněženek a směnou na Uniswapu.
- Bitcoin (18 270 BTC) se dělí přes „peel chain“, tedy postupné drobení na kulaté částky po 1 000 a 100 BTC, což ztěžuje sledování.
TRM napočítala zmrazených zhruba 2,7 miliardy dolarů. Tether zablokoval asi 1,77 miliardy USDT, Circle asi 825 milionů USDC, Ripple 40,5 milionu RLUSD a World Liberty Financial 27,8 milionu USD1. Bezpečnostní rada sítě Arbitrum nouzově přesunula zhruba 30 milionů dolarů mimo dosah útočníka. Binance odhaduje zmrazenou částku na zhruba 3 miliardy.
Útočník přesto stále drží přes 420 000 ETH a 18 270 BTC, tedy aktiva za přibližně 2,4 miliardy dolarů, která žádný emitent zmrazit nemůže. TRM očekává, že další fáze povede přes mosty mezi blockchainy, směnárenské služby a OTC brokery.
Binance slíbila pokrýt všechny ztráty z fondu SAFU a z vlastních prostředků. Po dokončení nápravy chce zveřejnit nový doklad o rezervách. Green upozorňuje, že fond na rezervy má kolem 1,2 miliardy dolarů a ztráty jsou několikanásobně vyšší, takže zbytek musí přijít z rozvahy burzy. „Trh bude chtít vidět čísla,“ říká. Podle odhadů analytiků by fond pokryl zhruba třetinu dosud nezmrazených aktiv.
Burza po útoku pozastavila výběry, zrušila oprávnění dotčené adresy a spolupracuje s policií a firmami sledujícími pohyby na blockchainu. Vklady podle ní fungují normálně. Obnovení výběrů Binance očekává přibližně do 45 hodin. Cena bitcoinu krátce klesla na šestitýdenní minimum 76 368 dolarů.
Computertrends si můžete objednat i jako klasický časopis. Je jediným odborným magazínem na českém a slovenském trhu zaměreným na profesionály v oblasti informačních a komunikačních technologií (ICT). Díky silnému zázemí přináší aktuální zpravodajství, analýzy, komentáře a přehledy nejnovejších technologií dříve a na vyšší odborné úrovni, než ostatní periodika na tuzemském trhu.
Obsah Computertrends je určen odborníkům a manažerům z firem a institucí, kteří se podílejí na rozhodovacím procesu při nákupu ICT technologií. Jednotlivá čísla si můžete objednat i v digitální podobě.
PŘEDPLATNÉ
ČLÁNKY DO MAILU