עדכון: ה-FBI קובע - צפון קוריאה עומדת מאחורי גניבת 6 מיליארד הדולר מבייננס

ה-FBI הודיע במוצאי שבת באופן רשמי שצפון קוריאה אחראית לגניבה של יותר מ-6 מיליארד דולר בנכסים דיגיטליים מבייננס, בורסת הקריפטו הגדולה בעולם. בהתראת סייבר שפרסמה הבולשת נקבע שמאחורי המתקפה עומדת TraderTraitor, השם שה-FBI נותן לפעילות הסייבר של המשטר בפיונגיאנג נגד תעשיית הקריפטו. מדובר באותה קבוצה שה-FBI זיהה כאחראית לפריצה לבורסת ביביט (Bybit) בפברואר 2025, שבה נגנבו כ-1.5 מיליארד דולר והחזיקה עד השבוע בשיא. לפי הבולשת, יחד עם השירות החשאי האמריקאי ויחידת החקירות הפליליות של רשות המסים (IRS-CI), ההאקרים ממירים את השלל בעיקר לאת'ריום, וצפויים להעביר אותו בהמשך דרך פלטפורמות של מימון מבוזר (DeFi) ושירותי המרה מיידית כדי לטשטש את עקבותיו.

ההודעה הרשמית מצטרפת לממצאים של חברות ניתוח הבלוקצ'יין TRM וצ'יינאליסיס, שייחסו את המתקפה לאותה יחידה כבר בשעות הראשונות. שלוש הסוכנויות האמריקאיות פנו לבורסות, למפעילי צמתים, לחברות ניתוח ולשאר נותני השירותים בתחום, וביקשו לחסום כל עסקה שקשורה לרשימת כתובות הארנקים שפרסמו. להרחבה: בייננס: הפריצה פגעה בנכסים של 6.3 מיליארד דולר - הגניבה הגדולה בתולדות הקריפטו

20 דקות, עשר רשתות

הגניבה התחילה ביום חמישי בערב, קצת אחרי 22:00 שעון ישראל. בתוך כ-20 דקות יצאו נכסים מארנקים של בייננס בעשר רשתות בלוקצ'יין, ובהן ביטקוין, את'ריום, טרון, סולנה ו-XRP, לכתובות שבשליטת תוקף אחד. לפי ספירה של TRM, ההיקף מגיע לכ-6.36 מיליארד דולר לפי שווי הנכסים ברגע הגניבה, ובבייננס מעריכים את הנזק בכ-6.3 מיליארד דולר. את'ריום ומטבעות על הרשת שלו מהווים כ-3.8 מיליארד דולר מהסכום, ועוד 18,270 ביטקוין, בשווי של כ-1.5 מיליארד דולר, יצאו מארנק אחד.

ברשת את'ריום התוקף ניצל את EIP-7702, מנגנון שנוסף לרשת במאי 2025 ומאפשר לארנק רגיל להעביר את השליטה בפעולות שלו לחוזה חכם. בידי התוקף היו 50 אישורים חתומים מראש, כל אחד מותאם למספר רץ אחר של עסקאות בארנק, כך שלפחות אחד מהם יתאים ברגע הביצוע. אחד אכן התאים, וארנק "חם" של בייננס, כלומר ארנק שמחובר לרשת ומשמש למשיכות של לקוחות, הפך למעין שואב שמעביר כל יתרה לתוקף. בתוך עסקה אחת עברו כ-167 אלף את'ר ו-1.6 מיליארד דולר במטבע היציב USDT. ברשתות האחרות הכסף יצא בהעברות חתומות רגילות, ולכן ב-TRM מעריכים שהתוקף השיג שליטה במערכת החתימות של הבורסה עצמה. בבייננס דיברו בהתחלה על מחשב נייד פרוץ של מהנדס תשתיות, אבל המנכ"ל המשותף ריצ'רד טנג הבהיר בהמשך שנמצאו נקודות חדירה נוספות, ושהתוקפים השתמשו במנגנון השמדה עצמית שמחק כלים ועקבות תוך כדי המתקפה.

המתקפה הוכנה זמן רב מראש. כ-36 שעות לפני הגניבה קיבל ארנק התפעול של התוקף שלוש משיכות קטנות משירות הערבול Tornado Cash, ובמהלך יום חמישי נוסה הקוד על שלושה ארנקי בדיקה. ארבע שעות אחרי החזרה האחרונה הוא כבר רץ על ארנק של בייננס.

3 מיליארד הוקפאו, 2.4 מיליארד בחוץ

מנפיקות המטבעות היציבים הגיבו מהר. טת'ר הקפיאה כ-1.77 מיליארד דולר ב-USDT, סירקל הקפיאה כ-825 מיליון דולר ב-USDC, ריפל הקפיאה 40.5 מיליון RLUSD וחברת World Liberty הקפיאה כ-28 מיליון דולר במטבע USD1 שלה. מועצת הביטחון של רשת ארביטרום העבירה בכוח מהתוקף כ-30 מיליון דולר באת'ר ובמטבע ARB. בסך הכול הוקפאו בבלוקצ'יין כ-2.7 מיליארד דולר לפי TRM, ובבייננס מדברים על כ-3 מיליארד. התוקף הבין מה קורה ומיהר להיפטר ממטבעות שאפשר להקפיא: כ-325 מיליון USDT נמכרו לעושי שוק תמורת כ-122 אלף את'ר, בהנחה של יותר מ-10% על המחיר בשוק, ובמקביל נלקחו הלוואות באת'ר בפלטפורמת אווה (Aave) מול בטוחות ב-USDT. בידיו נשארו יותר מ-420 אלף את'ר ו-18,270 ביטקוין, בשווי של כ-2.4 מיליארד דולר, נכסים שאף מנפיק אינו יכול להקפיא.

הביטקוינים שנגנבו מפוצלים לחבילות עגולות של 1,000 ו-100 מטבעות, שיטה שמקשה על המעקב. בצ'יינאליסיס מצאו שכספים מבייננס התערבבו בבלוקצ'יין בכספים שנגנבו בספטמבר מבורסת ביטגט (Bitget), שגם בה החשד הופנה לצפון קוריאה, ובכך חוזק הקשר ל-TraderTraitor. בניסיון קודם, אחרי ביביט, נשענה ההלבנה על גשרים בין רשתות. הפעם, לפי TRM, הדפוס שונה ומבוסס על החלפות גדולות מול עושי שוק ופלטפורמות הלוואה, והשלב הבא צפוי לעבור דרך גשרים, שירותי המרה וברוקרים מחוץ לבורסה. להרחבה: האם 6.3 מיליארד הדולר שנגנבו מבייננס אבודים, או שהכסף עוד יחזור?

בייננס מכסה מהקופה

בבייננס הודיעו בשבת שהשלימו גיבוי של כ-90% מהנכסים שנגנבו. החברה מדגישה שאין מדובר בהשבה של 90% מהכסף מידי התוקף, אלא בכיסוי מכספים שלה: קרן הביטוח למשתמשים SAFU, חלק מקרן הביטוח של החוזים העתידיים והקופה של החברה. לדברי בייננס, ביטקוין, את'ר, USDT, BNB, סולנה, USDC, XRP, USD1, RLUSD ו-ZEC מגובים כבר במלואם, והיתרה כוללת מטבעות פחות סחירים שמחוץ לעשרת הגדולים, שאותם היא ממשיכה לקנות בשוק ובעסקאות מחוץ לבורסה. טנג אמר שהבורסה הקצתה יותר מ-6.34 מיליארד דולר לכיסוי, ובהם כ-5 מיליארד דולר שכבר הוחזקו במטבעות שנפגעו. ההפקדות והמסחר נמשכו כרגיל, והמשיכות הושעו עד להשלמת בנייה מחדש של שירות המשיכות. היעד הוא לחדש אותן ביום ראשון, בכפוף לבדיקות אבטחה, ולפרסם דוח הוכחת עתודות מעודכן.

• האם 6.3 מיליארד הדולר שנגנבו מבייננס אבודים, או שהכסף עוד יחזור?
• "אם בייננס תעמוד בהתחייבויותיה, ללקוחות לא ייגרם נזק מהפריצה"

בשוק התגובה הייתה מתונה יחסית. הביטקוין ירד ביום שישי בכ-4% לכ-77 אלף דולר, בעוד שבפריצות קודמות לבורסות הוא איבד בממוצע כ-8.3% ביממה הראשונה, לפי נתוני Anchorage Digital. ההסבר המקובל בשוק הוא שרשת הביטקוין עצמה תקינה, והפריצה פגעה בבורסה מרכזית אחת. להרחבה: גניבת הקריפטו הגדולה בעולם: מה קרה בבייננס - ואיך שומרים על הביטקוין שלכם?

הכספומט של פיונגיאנג

גניבות קריפטו הפכו בשנים האחרונות לאחד ממקורות המט"ח החשובים של צפון קוריאה, שנתונה לסנקציות כבדות. ב-2022 ייחס ה-FBI לקבוצת לזרוס את הפריצה לגשר רונין של המשחק Axie Infinity, שבה נגנבו כ-620 מיליון דולר. בפברואר 2025 הגיעה ביביט, ובאפריל 2026 נגנבו כ-292 מיליון דולר מ-KelpDAO, פריצה שיוחסה גם היא לקבוצת לזרוס. בספטמבר נגנבו מביטגט כ-387.5 מיליון דולר, והמנכ"לית גרייסי צ'ן אמרה שהחוקרים זיהו כתובות IP של שירותי VPN שבהם השתמשו בעבר האקרים צפון קוריאנים. כלומר, בשבעה חודשים יוחסו לפיונגיאנג גניבות בהיקף של יותר מ-7 מיליארד דולר.

לבורסות, המשמעות היא שהאיום עבר מפישינג של עובד בודד למתקפות מתוכננות על מערכות החתימה עצמן. ב-TRM ממליצים לנטר הופעה של קוד בארנקים שאמורים להיות ריקים מקוד, לדחות אישורי EIP-7702 שלא היו צפויים, ולהפריד את מערכות החתימה לפי רשת ולפי סוג ארנק, כך שפריצה אחת תפגע בחלק קטן מהכספים. למשקיעים הפרטיים, המקרה מזכיר שהכסף בבורסה מרכזית תלוי ביכולת של הבורסה לכסות נזק. בייננס עומדת בכך בזכות עתודות של מיליארדים, ובורסות קטנות יותר עלולות להתקשות מול פריצה בהיקף דומה.