איך שומרים על הביטקוין שלכם?
ביום חמישי בערב, קצת אחרי 22:00 שעון ישראל, התחילו לצאת מארנקים של בייננס, בורסת הקריפטו הגדולה בעולם, סכומי עתק. בתוך כ-20 דקות עברו נכסים מעשר רשתות בלוקצ'יין שונות, ובהן ביטקוין, את'ריום, טרון, סולנה ו-XRP, לכתובות שבשליטת תוקף אחד. ההיקף המוערך עומד על כ-6.3 מיליארד דולר, פי ארבעה בערך מהפריצה לביביט בפברואר 2025, שהחזיקה עד עכשיו בשיא עם כ-1.5 מיליארד דולר.
לפי הממצאים הראשונים של בייננס, נקודת הכניסה הייתה מחשב נייד של מהנדס בצוות התשתיות, שנפרץ ואיפשר לתוקף לשלוח פקודות משיכה שלא אושרו. הבורסה מסרה שאין בידיה ראיה לדליפה של מפתחות פרטיים, השעתה הפקדות ומשיכות והתחייבה לכסות את כל ההפסדים מקרן הביטוח שלה ומהקופה של החברה. כ-3 מיליארד דולר כבר הוקפאו, בעיקר במטבעות יציבים, וחברת המעקב TRM מייחסת את המתקפה ביטחון גבוה ליחידת ההאקרים הצפון קוריאנית TraderTraitor.
הביטקוין יורד ביותר מ-4% ונסחר מתחת ל-78 אלף דולר. להרחבה: בייננס: הפריצה פגעה בנכסים של 6.3 מיליארד דולר - הגניבה הגדולה בתולדות הקריפטו
מה ידוע על הפריצה
איך בדיוק הצליח התוקף להוציא את הכסף?
לפי הגרסה הראשונית של בייננס, התוקף השתלט על מחשב של עובד שהייתה לו גישה למערכות פנימיות, ומשם הגיע לשירות שמגיש בקשות משיכה. ברשת את'ריום הוא השתמש במנגנון האצלה חדש יחסית, EIP-7702, כדי להפוך ארנק "חם" של הבורסה לארנק שמעביר אליו את היתרות, עם עשרות אישורים שהוכנו מראש. ברשתות האחרות יצאו העברות חתומות רגילות. מכאן ההערכה שהפגיעה הייתה במערך החתימה של הארנקים החמים, ולא בכספות עצמן.
הידעת?מה זה EIP-7702?
מה ההבדל בין ארנק חם לארנק קר, ולמה זה משנה כאן?
ארנק חם מחובר לרשת כל הזמן, ולכן הבורסה יכולה לאשר דרכו משיכות של לקוחות בתוך דקות. ארנק קר שומר את המפתחות במכשיר או בכספת מנותקים, ומשיכה ממנו דורשת תהליך ידני ואיטי. בורסות מחזיקות בדרך כלל את רוב הנכסים בארנקים קרים ואת השאר בחמים, אבל במקרה הזה גם החלק "הקטן" הסתכם במיליארדי דולרים.
מי עומד מאחורי המתקפה?
חברת המעקב TRM מייחסת אותה ל-TraderTraitor, יחידה של צפון קוריאה שה-FBI כבר קשר בעבר לפריצה לביביט. הדפוס דומה: מימון של ארנק תפעולי בסכומים קטנים דרך שירות הערבול טורנדו קאש, הכנה ארוכה מראש וביצוע בבת אחת. אישור רשמי של רשויות אכיפה עדיין אין.
למה חלק מהכסף כבר הוקפא וחלק לא?
טית'ר וסירקל, המנפיקות של USDT ו-USDC, שולטות בחוזים של המטבעות שלהן ויכולות לחסום כתובת. כך הוקפאו מיליארדי דולרים במטבעות יציבים. לביטקוין ולאת'ריום אין מנפיק, ולכן כ-2.4 מיליארד דולר, ובהם יותר מ-18 אלף ביטקוין ויותר מ-420 אלף את'ריום, נשארים לפי ההערכות מחוץ להישג יד. הקפאה גם איננה החזרה: בדרך כלל נדרש הליך משפטי כדי שהכסף החסום יחזור.
האם לקוחות בייננס יקבלו את הכסף בחזרה?
בייננס התחייבה לכסות את כל ההפסדים. קרן SAFU שלה, שהוקמה ב-2018, מחזיקה ביטקוין בשווי של כמיליארד דולר, ולכן רוב הפיצוי, אם יידרש, אמור לבוא מהקופה של החברה. ב-2019, כשנגנבו מהבורסה כ-7,000 ביטקוין, הנזק כוסה במלואו והמשיכות חזרו בתוך כשבוע. הסכום הנוכחי גדול פי 150 בערך, ולכן לוח הזמנים הפעם פחות ברור.
- בייננס: הפריצה פגעה בנכסים של 6.3 מיליארד דולר - הגניבה הגדולה בתולדות הקריפטו
- ארה"ב מבקשת לחלט 61 מיליון דולר: חשד שכספי נפט איראני הולבנו דרך חשבונות בבינאנס
מה המשמעות למי שמחזיק כסף בבורסה בזמן ההשעיה?
המסחר בתוך הפלטפורמה ממשיך, אבל אי אפשר להעביר מטבעות החוצה לארנק אחר או למשוך לבנק. כלומר, הכסף זמין להחלפה בין מטבעות, אבל תקוע בתוך הבורסה עד שהמשיכות יחודשו.
איך שומרים על הביטקוין
האם בכלל בטוח להחזיק קריפטו בבורסה?
החזקה בבורסה נוחה, אבל המשמעות היא שהבורסה מחזיקה במפתחות והלקוח מחזיק בהתחייבות שלה. ההיסטוריה מראה כמה זה רגיש: בורסת Mt. Gox קרסה ב-2014 אחרי שאיבדה מאות אלפי ביטקוין, ו-FTX קרסה ב-2022 עם חור של מיליארדי דולרים בכספי לקוחות, בעיקר בגלל שימוש בכסף של הלקוחות. לכן מקובל להשאיר בבורסה סכום שמיועד למסחר שוטף, ואת החיסכון ארוך הטווח להעביר לשמירה עצמית.
הידעת?מה קרה ב-Mt. Gox?
מה זה ארנק קר, והאם הוא מבטיח הגנה מלאה?
ארנק חומרה שומר את המפתח הפרטי בתוך מכשיר ייעודי, וכל העברה מאושרת במכשיר עצמו. גם מחשב פרוץ לא אמור להספיק כדי לגנוב ממנו. אבל גם כאן יש סיכונים: השנה התגלה כשל בקושחה של ארנקי קולדקארד שאיפשר לשחזר מפתחות מרחוק, ובמקרה אחר נמכרו ארנקים עם רכיב לא מורשה. להרחבה: 116 מיליון דולר נגנבו מארנקי ביטקוין: הכסף עובר לקרנות הסל
איפה כדאי לקנות ארנק חומרה?
ישירות מהיצרן או ממשווק שמופיע באתר הרשמי שלו, ולבדוק שהאריזה סגורה. מכשיר שמגיע עם מילות שחזור מודפסות מראש הוא סימן אזהרה מובהק, כי הרצף צריך להיווצר במכשיר בזמן ההגדרה. להרחבה: קנו ארנק כדי להגן על הקריפטו - וגילו שהכסף נעלם: חשד לגניבת 86 מיליון דולר
- ענקיות הטק מפילות את השווקים: הקוספי צולל, החוזים על הנאסד"ק באדום עמוק
- הפיצוץ בקריית גת עולה לאינטל כ-600 מיליון דולר: הנזק פוגע דווקא במעבדי השרתים המבוקשים
איך שומרים את מילות השחזור (Seed Phrase)?
מי שמחזיק ברצף של 12 או 24 המילים מחזיק בכסף. ההמלצה המקובלת היא לכתוב אותן על נייר או על לוחית מתכת, לשמור במקום פיזי מוגן מאש ומים, ואף פעם לא לצלם אותן, לשמור בענן או להקליד באתר. מחזיקים גדולים מפצלים לעיתים את הגיבוי בין שני מקומות, או משתמשים בארנק שדורש כמה חתימות לכל העברה.
מה ההגנה הנכונה לחשבון בבורסה?
אימות דו-שלבי באפליקציה ייעודית או במפתח אבטחה פיזי, ולא בהודעת SMS שחשופה להשתלטות על מספר הטלפון. מעבר לכך, כתובת מייל נפרדת לחשבונות הקריפטו, רשימה לבנה של כתובות משיכה ונעילת משיכות לכתובות חדשות לכמה שעות מצמצמות את הנזק גם אם הסיסמה דלפה.
איך מזהים הונאה שמנצלת את הפריצה?
אחרי כל אירוע גדול מופיעות הודעות שמבטיחות "החזר", "אימות חשבון" או "פיצוי מיידי". בייננס עצמה קוראת להסתמך על הערוצים הרשמיים בלבד. נציג אמיתי לעולם לא יבקש מילות שחזור, קוד אימות או העברה ל"ארנק בטוח". להרחבה: האם קל לגנוב את הביטקוין שלכם? ממש קל
האם קרן סל על ביטקוין היא חלופה בטוחה יותר?
קרן סל נותנת חשיפה למחיר בלי לנהל מפתחות, והשמירה עוברת לגוף מפוקח עם ביקורת וביטוח, תמורת דמי ניהול. החיסרון הוא שאין אפשרות להעביר את המטבעות עצמם, והמסחר מוגבל לשעות הבורסה. לסיכון של תנודתיות הקרן לא נותנת שום הגנה: הביטקוין יכול לרדת עשרות אחוזים גם בלי פריצה.
מה עוד אפשר לעשות כדי לצמצם את הסיכון?
לפזר בין כמה פלטפורמות ושיטות שמירה, להעדיף גופים מפוקחים שמפרסמים הוכחת עתודות, לבדוק כל כתובת לפני העברה ולהתחיל בהעברת ניסיון קטנה. ובעיקר, להחזיק בקריפטו סכום שאפשר לעמוד בירידה חדה שלו, כי גם השמירה הטובה ביותר מגינה על המפתחות ולא על המחיר.
