Cyberprzestępcy zaatakowali Binance, największą giełdę kryptowalut na świecie. Szacowana wartość aktywów objętych atakiem wynosi aż 6,3 miliarda dolarów, co może oznaczać największą kradzież kryptowalut w historii. Według wstępnych ustaleń sprawcy mogli wykorzystać przejęty laptop jednego z inżynierów, aby uzyskać dostęp do wewnętrznych systemów giełdy i zlecić nieautoryzowane transfery. O przeprowadzenie operacji podejrzewana jest północnokoreańska grupa TraderTraitor. Incydent stawia fundamentalne pytanie o bezpieczeństwo cyfrowych aktywów: jak to możliwe, że przejęcie pojedynczego urządzenia mogło otworzyć drogę do kradzieży miliardów dolarów?
Do ataku doszło 29 października 2026 roku. Binance poinformowało, że jego skutki finansowe szacowane są na około 6,3 miliarda dolarów. Dzięki współpracy z firmami zajmującymi się analizą transakcji blockchain oraz podmiotami obsługującymi kryptowaluty udało się dotychczas zamrozić aktywa o wartości około 3 miliardów dolarów. Znaczna część środków pozostaje jednak poza kontrolą giełdy.
Binance tymczasowo wstrzymało wpłaty i wypłaty na czas kontroli bezpieczeństwa. Zapewnia jednocześnie, że środki klientów są bezpieczne, a ewentualne straty zostaną pokryte z funduszu zabezpieczającego SAFU oraz środków własnych firmy.
Jeden laptop wystarczył, żeby przełamać zabezpieczenia?
Wstępne dochodzenie Binance wskazuje, że punktem wejścia do systemów giełdy mógł być przejęty laptop inżyniera odpowiedzialnego za infrastrukturę IT. Atakujący mieli w ten sposób uzyskać dostęp do jednego z wewnętrznych środowisk usługowych, co umożliwiło im zlecanie nieautoryzowanych wypłat. Firma podkreśla, że dotychczas nie stwierdzono wycieku kluczy prywatnych służących do zarządzania portfelami kryptowalutowymi.
– Skala tego incydentu jest porażająca, ale jeszcze bardziej niepokojący jest prawdopodobny sposób przeprowadzenia ataku. Jeśli przejęcie jednego laptopa rzeczywiście umożliwiło przestępcom uzyskanie dostępu do systemów obsługujących transfery warte miliardy dolarów, oznaczałoby to poważne problemy z kontrolą uprawnień i zabezpieczeniami krytycznej infrastruktury. W dobrze zaprojektowanym systemie bezpieczeństwa przejęcie pojedynczego urządzenia nie powinno wystarczyć do przeprowadzenia operacji o takiej skali. Konieczne są dodatkowe, niezależne mechanizmy autoryzacji, ograniczanie uprawnień i stałe monitorowanie nietypowych działań. Nawet najbardziej zaawansowane zabezpieczenia kryptograficzne nie pomogą, jeżeli cyberprzestępcy zdołają wykorzystać zaufane systemy do zatwierdzania nieuprawnionych transakcji. Ostateczna ocena tego, które mechanizmy zawiodły, będzie jednak możliwa dopiero po zakończeniu dochodzenia – komentuje Kamil Sadkowski, analityk cyberzagrożeń ESET.
Pieniądze można śledzić. Znacznie trudniej je odzyskać
Firmy TRM Labs i Chainalysis powiązały atak z działalnością północnokoreańskiej grupy TraderTraitor. Według TRM Labs sposób przeprowadzenia operacji oraz analiza przepływu środków wskazują z wysokim prawdopodobieństwem na udział tej grupy. Przypomina to wcześniejsze operacje wymierzone w rynek kryptowalut, w tym kradzież około 1,5 miliarda dolarów z giełdy Bybit w lutym 2025 roku. Tożsamość sprawców ataku na Binance nie została jednak ostatecznie potwierdzona.
– Kryptowaluty pozostawiają ślad w publicznych rejestrach transakcji, dlatego w wielu przypadkach można ustalić, dokąd trafiły skradzione środki. Nie oznacza to jednak, że równie łatwo można je odzyskać. Przestępcy błyskawicznie przenoszą aktywa pomiędzy portfelami, wymieniają je na inne kryptowaluty i wykorzystują różne sieci blockchain, aby utrudnić identyfikację oraz zablokowanie środków. W przypadku grup powiązanych z Koreą Północną mamy dodatkowo do czynienia z dobrze zorganizowanymi operacjami, w których cyberprzestępczość służy pozyskiwaniu ogromnych pieniędzy. Jeżeli podejrzenia dotyczące sprawców się potwierdzą, atak na Binance pokaże, jak poważnym zagrożeniem dla światowego sektora finansowego stały się tego rodzaju działania – dodaje Kamil Sadkowski.
Czy użytkownicy giełd kryptowalut mają powody do obaw?
Binance deklaruje pokrycie strat, ale incydent przypomina o ryzyku związanym z przechowywaniem wszystkich cyfrowych aktywów na jednej platformie. Korzystanie ze scentralizowanej giełdy oznacza bowiem powierzenie jej nie tylko środków, ale także odpowiedzialności za bezpieczeństwo infrastruktury, w której są one przechowywane.
– Dla zwykłych użytkowników najważniejsza lekcja jest prosta: nie warto uzależniać bezpieczeństwa wszystkich swoich cyfrowych aktywów od jednej platformy. Rozsądnym rozwiązaniem może być rozdzielenie środków pomiędzy różne sposoby przechowywania, w tym odpowiednio zabezpieczone portfele sprzętowe, które pozwalają zachować kontrolę nad kluczami prywatnymi. Trzeba jednak pamiętać, że również takie rozwiązania wymagają wiedzy i ostrożności. Należy chronić frazy odzyskiwania dostępu, korzystać z wieloskładnikowego uwierzytelniania i zachowywać szczególną czujność wobec wiadomości rzekomo pochodzących od giełdy. Tak głośny incydent może bowiem stać się pretekstem do kolejnych oszustw. Przestępcy mogą podszywać się pod obsługę klienta i nakłaniać użytkowników do przeniesienia kryptowalut na fałszywe, rzekomo bezpieczne portfele. W ten sposób ofiarami mogą paść także osoby, których środki nie zostały bezpośrednio dotknięte atakiem – podsumowuje Kamil Sadkowski, analityk cyberzagrożeń w ESET.
