ב-29 באוקטובר נגנבו מבורסת הקריפטו בינאנס נכסים דיגיטליים בשווי של כ-6.34 מיליארד דולר, במה שנחשב לפריצת הקריפטו הגדולה בהיסטוריה. אבל בניגוד למה שאפשר לדמיין, האירוע לא התחיל בניסיון לפרוץ את רשת הביטקוין או לפצח הצפנה מורכבת. הוא התחיל חודשים קודם לכן, בפעולות שנראו תמימות לחלוטין.
בדוח הראשוני שפרסמה הבורסה ב-3 בנובמבר נחשפת הדרך בה התוקפים ניצלו עובדים, מחשבים וכלים פנימיים כדי להגיע בהדרגה למערכות שמנהלות את כספי הלקוחות.
הכול התחיל בהורדת תוכנה
השלב הראשון התרחש ביוני 2026. מהנדס בצוות הארנקים של בינאנס חיפש באינטרנט כלי תכנות המבוסס על בינה מלאכותית. במהלך ההתקנה הוא הוריד גרסה נגועה של תוכנת עזר, שהוכנה בידי התוקפים.
מערכת האבטחה של בינאנס זיהתה פעילות חשודה. המחשב הוחלף ופרטי הגישה שונו, אך הנזק כבר נעשה. התוקפים נחשפו לתפקידו של המהנדס ולמידע על עובדים נוספים במערך הארנקים.
בספטמבר הגיע השלב הבא, והפעם באמצעות הצעת עבודה. מהנדס תוכנה אחר קיבל פנייה מאדם שהציג את עצמו כמנהל פרויקטים בחברה. הוא עבר ראיון וידאו עם נציגה שהתחזתה לאשת משאבי אנוש, ובהמשך שוחח עם מי שהציג את עצמו כמנכ"ל החברה.
הכול נראה אמין, אלא שהחברה כלל לא הייתה קיימת. לקראת סוף הראיון השני התבקש המהנדס להוריד למחשב העבודה מטלת תכנות. הקבצים הכילו תוכנה זדונית שהופעלה בזמן ההתקנה, אפשרה לתוקפים לבצע פעולות במחשב והצליחה לחמוק ממערכות ההגנה.
גם הבינה המלאכותית נכנסה לתמונה
ב-20 באוקטובר ניצלו התוקפים את המחשב שנפרץ ואת כלי הבינה המלאכותית הפנימי של בינאנס כדי להשיג גישה לסביבות העבודה של שני מהנדסים נוספים.
באחד המחשבים נמצאו הרשאות שאפשרו להפעיל רכיבים בתשתית הטכנולוגית של הבורסה.
תשעה ימים לאחר מכן השתמשו התוקפים במחשב של מהנדס שלישי, יחד עם הרשאות שנגנבו מהמהנדס הראשון, כדי להפעיל תוכנה זדונית במערכת האחראית לאישור העברות כספים.
למעשה, הם לא היו צריכים לגנוב את הסיסמה הפרטית של כל ארנק. הם הצליחו להשתלט על חלק מהמערכת שמוסמכת לאשר פעולות בשמו.
מיליארדים נעלמו, והמשיכות נעצרו
ב-29 באוקטובר, בתוך ארבע דקות בלבד, הועברו 233 מיליון מטבעות XRP מחמישה ארנקים של בינאנס לכתובות שבשליטת התוקפים.
בהמשך הועברו גם כ-970 אלף מטבעות SOL, יותר מ-44 מיליון מטבעות OP וכ-18,270 ביטקוין.
בינאנס זיהתה את הפעילות החריגה, עצרה משיכות והחלה בניסיונות לבלום את המתקפה. אלא שהתוקפים כבר ניצלו מנגנון ברשת אתריום שאפשר להם להעניק הרשאות לחוזה חכם, תוכנה המבצעת פעולות בבלוקצ'יין.
כתוצאה מכך, גם לאחר עצירת המשיכות, חלק מהכספים המשיכו לצאת. רק לאחר כמעט ארבע שעות הצליחה הבורסה לבלום את ההעברות הבלתי מורשות.
מי עומד מאחורי הפריצה, ומה קרה לכסף?
ה-FBI וחברת ניתוח הבלוקצ'יין Chainalysis מייחסים את המתקפה להאקרים המקושרים לצפון קוריאה, ובהם קבוצת TraderTraitor. צפון קוריאה מכחישה את ההאשמות.
נכון ל-3 בנובמבר, בינאנס דיווחה שכ-2.85 מיליארד דולר מהנכסים שנגנבו הוקפאו או יורטו. במקביל, הבורסה התחייבה לספוג את ההפסדים בעצמה, הודיעה שהשלימה מחדש את הכיסוי לכ-98% מהנכסים שנפגעו, והחלה להחזיר את שירותי המשיכה בהדרגה ב-1 בנובמבר.
האירוע ממחיש נקודת תורפה משמעותית בעולם הפיננסי המודרני. גם מערכות אבטחה מתקדמות עלולות להיפגע כאשר תוקפים מצליחים להשיג גישה דרך העובדים שמפעילים אותן. במקרה של בינאנס, כמה פעולות שנראו שגרתיות הפכו בתוך חודשים לאחת מגניבות הכסף הגדולות בהיסטוריה.