Atak grupy TraderTraitor na giełdę Binance przyniósł stratę 6,3 miliarda USD w zaledwie 20 minut, stając się największą kradzieżą w historii rynku cyfrowego. Kluczowym wektorem infekcji okazało się złośliwe oprogramowanie pobrane przez inżyniera DevOps z reklamy oraz sfałszowana rozmowa rekrutacyjna, co pozwoliło napastnikom nadpisać uprawnienia portfeli za pomocą 50 autoryzacji EIP-7702. Incydent wymusił natychmiastowe zamrożenie 2,8 miliarda USD w stablecoinach przez zewnętrznych emitentów oraz weryfikację procedur ślepego podpisywania transakcji w infrastrukturze IT.
Techniczny przebieg włamania do portfeli Binance
Infekcja infrastruktury Binance rozpoczęła się od wielomiesięcznej kampanii socjotechnicznej ukierunkowanej na inżynierów utrzymania systemu. Napastnicy uzyskali dostęp do wewnętrznego serwisu podpisującego transakcje, a następnie użyli standardu EIP-7702 do masowego wyprowadzenia aktywów z gorących portfeli giełdy.
Przejęcie uprawnień podpisujących w Binance przebiegało w czterech etapach:
- Czerwiec 2026: Inżynier DevOps Binance poszukiwał asystenta kodowania AI. Kliknął w sponsorowaną reklamę w wyszukiwarce i pobrał zmodyfikowaną wersję instalatora. Zespół bezpieczeństwa wykrył incydent, wymienił laptopa oraz poświadczenia, ale napastnicy zmapowali strukturę stanowisk w firmie.
- Wrzesień 2026: Drugi inżynier Binance otrzymał ofertę pracy na portalu rekrutacyjnym od rzekomego dyrektora projektu nieistniejącej firmy. Po rozmowach z fałszywym rekruterem i rzekomym prezesem pobrał na komputer służbowy zadanie rekrutacyjne zawierające złośliwy kod.
- 20 października 2026: Hakerzy użyli zainfekowanego komputera oraz wewnętrznego narzędzia AI giełdy Binance do przejęcia kontroli nad stacjami kolejnych dwóch inżynierów. Na jednej z nich znaleźli token umożliwiający wdrożenie oprogramowania w wewnętrznej sieci.
- 29 października 2026, godz. 20:05 UTC: Grupa TraderTraitor użyła tokena do uzyskania dostępu do serwisu podpisującego klucze Binance.
Na blockchainie Ethereum napastnicy wykorzystali funkcję EIP-7702, która pozwala delegować uprawnienia portfela do zewnętrznego inteligentnego kontraktu. Ponieważ portfel Binance przetwarzał ciągłe wypłaty klientów, kolejny numer transakcji (nonce) stale się zmieniał. Hakerzy wygenerowali 50 kopii deklaracji delegacji, z których każda nosiła kolejny przewidywany numer nonce, po czym przesłali je do automatycznego systemu podpisującego Binance. System podpisał wszystkie formularze bez weryfikacji zawartości (tzw. blind signing). Formularz z numerem 35 trafił w aktywny nonce sieci, przekazując hakerom pełną kontrolę nad aktywami portfela. W jednej transakcji wyprowadzono 3,8 miliarda USD w 186 tokenach. Narzędzie ataku zawierało samoniszczący się kod kasujący ślady w sieci.
Jak doszło do przejęcia uprawnień podpisujących w Binance?
Przejęcie kontroli nad transakcjami Binance wynikało z braku weryfikacji parametrów ABI w automatycznym serwisie podpisującym oraz zaufania do wewnętrznych tokenów sesyjnych. Ślepe podpisywanie komunikatów przez serwery giełdy wyeliminowało zabezpieczenia wielopodpisowe (multisig).
Porównanie podatności w architekturze zatwierdzania transakcji pokazuje różnice między klasycznymi portfelami a delegacją uprawnień EIP-7702:
| Wektor ryzyka | Portfel tradycyjny (Single-key / Multisig) | Wdrożenie EIP-7702 / Safe Wallet |
|---|---|---|
| Mechanizm autoryzacji | Podpis kluczem prywatnym dla pojedynczej transakcji | Nadpisanie zasad portfela i przekazanie kontroli kontraktowi |
| Weryfikacja treści | Sprawdzenie adresu odbiorcy i kwoty wypłaty | Podpisywanie kodu wykonywalnego bez podglądu ABI (blind signing) |
| Odporność na wyciek nonce | Odrzucenie transakcji z błędnym numerem nonce | Przesłanie serii 50 transakcji z kolejnymi numerami nonce |
| Skutki przejęcia | Pojedyncza nieautoryzowana wypłata środków | Pełna czystka subkont i automatycznych zasilań |
Podobny mechanizm wykorzystano w lutym 2025 roku podczas ataku na giełdę Bybit, gdzie napastnicy z grupy Lazarus wyeksploatowali podatność w interfejsie oprogramowania Safe Wallet, kradnąc 1,5 miliarda USD w tokenach Ethereum. W kwietniu 2022 roku w sieci Ronin (Axie Infinity) hakerzy skradli 600 milionów USD po przejęciu kluczy walidatorów przez sfałszowaną ofertę pracy przesłaną w pliku PDF.
Przy ataku na Binance napastnicy użyli 37 godzin prób na publicznych testnetach oraz 4 godziny przed właściwym atakiem przeprowadzili próbę na własnych portfelach, co dowodzi pełnej automatyzacji procesu.
Skala zjawiska i automatyzacja prania kapitału przez TraderTraitor
Akcja grupy TraderTraitor objęła wypływ 6,36 miliarda USD z 10 łańcuchów bloków w czasie krótszym niż 30 minut. Hakerzy natychmiast zaczęli zamieniać podlegające zamrożeniu stablecoiny USDT i USDC na kryptowaluty wolne od kontroli emitentów, głównie Ether i Bitcoin.
Pranie skradzionych środków było zautomatyzowane:
- Liczba portfeli: Wykorzystanie ponad 12 000 portfeli na 11 blockchainach, z zakładaniem nowego adresu średnio co 25 sekund.
- Inicjalizacja adresów: Tysiące portfeli otrzymywało najpierw mikro-transakcję o wartości dokładnie 1 TRX, po czym zasilano je właściwymi środkami i natychmiast przekazywano je dalej.
- Sprzedaż z dyskontem: W ciągu 20 minut napastnicy wymienili 325 milionów USD w stablecoinach na 285 milionów USD w ETH, akceptując straty rzędu 12% do 26% poniżej ceny rynkowej za natychmiastową płynność.
- Mieszanie aktywów: Środki skradzione z Binance zostały połączone na łańcuchu (commingling) z aktywami pochodzącymi z wrześniowego ataku na giełdę Bitget na kwotę 387 milionów USD.
O godz. 17:14 ET (ok. 54 minuty od rozpoczęcia wycieku) emitenci Circle i Tether rozpoczęli blokowanie adresów na wniosek agencji FBI i firmy Chainalysis. Circle zamroził ponad 800 milionów USD w USDC, a łączna kwota zablokowanych aktywów osiągnęła 2,8 miliarda USD.
Według ustaleń Departamentu Sprawiedliwości USA (DOJ) oraz raportów ONZ, jednostka TraderTraitor działa w strukturze jednostki wojskowej Reconnaissance General Bureau (RGB / Biuro 121) Korei Północnej. Program rekrutuje corocznie od 150 do 200 najzdolniejszych uczniów szkół średnich, zapewniając im edukację na państwowych uczelniach oraz mieszkania w Phenianie o powierzchni do 132 m². Łącznie w północnokoreańskich strukturach cyberwojny pracuje około 8 400 osób. Według szacunków wywiadu cybernetyczne kradzieże finansują od 40% do 50% programu zbrojeń rakietowych i nuklearnych tego kraju.
Koszty operacyjne i wpłaty odszkodowawcze giełdy Binance
Giełda Binance zdecydowała o pokryciu 100% strat poniesionych przez użytkowników z własnych środków rezerwowych i kapitału obrotowego. Zarząd uruchomił fundusz SAFU (Secure Asset Fund for Users), rezerwę futures oraz kapitał skarbowy spółki o łącznej wartości 6,34 miliarda USD.
Wymogi finansowe i skutki operacyjne dla Binance zestawiono poniżej:
- Wartość skradzionych aktywów: 6,36 miliarda USD (ok. 4% wszystkich aktywów platformy przed atakiem).
- Środki odzyskane / zamrożone: 2,8 miliarda USD w stablecoinach zamrożonych na poziomie kontraktów smart.
- Wypłaty klientów po odblokowaniu: 4,7 miliarda USD (ok. 3% aktywów giełdy) wycofane w ciągu pierwszych 24 godzin od wznowienia obsługi sieci.
- Straty na funduszu SAFU: Rezerwa SAFU utrzymywana w Bitcoinie straciła na wartości około 100 milionów USD w momencie ataku z powodu spadku kursu rynkowego.
Analiza prawna regulaminu Binance wskazuje, że giełda nie miała formalnego obowiązku prawnego do pokrycia pełnej kwoty strat, gdyż jej regulamin ogranicza odpowiedzialność wobec użytkowników. Pokrycie szkód wynikało z konieczności ochrony reputacji i zapobieżenia całkowitemu odpływowi płynności.
Wnioski praktyczne i rekomendacje
Skonfiguruj ścisłe reguły weryfikacji nagłówków transakcji na poziomie sprzętowych modułów bezpieczeństwa (HSM), wykluczając możliwość bezwarunkowego podpisywania komunikatów bez pełnego parsowania ABI.
Zweryfikuj procedury rekrutacyjne i politykę uruchamiania kodu na stacjach roboczych inżynierów posiadających uprawnienia dostępowe do środowisk produkcyjnych oraz serwisów kluczy.
Zmierz czas reakcji systemów monitorowania ruchu sieciowego na wypadek nagłego wzrostu wolumenu wypłat z gorących portfeli (hot wallets) i wdróż automatyczne procedury bezpieczników (circuit breakers) odcinające podpisatury przy przekroczeniu zdefiniowanych limitów.
Wdróż bezwzględną izolację narzędzi programistycznych AI od sieci produkcyjnych i kluczy podpisujących, eliminując możliwość wykorzystania wewnętrznych modeli do eskalacji uprawnień w strukturze IT.
Źródła
- Bangladesh Bank robbery – Wikipedia
- Binance Hack: Tracing the $6.4 Billion Theft to North Korea – Chainalysis
- Binance resumes customer withdrawals after record $6.3bn hack – The Guardian
- Flash Report: Binance Crypto Theft Attributed to Lazarus Group – ZeroFox
- How North Korea Pulled Off the Biggest Heist in History
- How crypto hacking funds isolated North Korea’s nuclear programme – The Guardian
- North Korea Just Pulled Off the Biggest Crypto Heist in History, Draining $6.4 Billion From Binance in 20 Minutes – 24/7 Wall St.
- North Korea’s army of world-class hackers is secret weapon that took down Binance
Dodaj komentarz