Napad na Binance: prizadetih 6,3 milijarde dolarjev

Preiskava kaže na zlorabo računalnika zaposlenega in nepooblaščene dvige

Binance vpliv napada ocenjuje na 6,3 milijarde dolarjev in napoveduje kritje izgub. Po začetni ustavitvi pologov in dvigov je sporočil, da pologi delujejo normalno, dvigi pa med varnostnim pregledom ostajajo ustavljeni.

Napadalec je 29. oktobra 2026 po ugotovitvah podjetja TRM Labs prenesel sredstva iz denarnic Binance na desetih verigah blokov. Večina prenosov naj bi potekala v približno dvajsetih minutah, raziskovalci pa skupno vrednost ocenjujejo na 6,36 milijarde dolarjev. Po njihovi oceni gre za največjo evidentirano krajo kriptovalut doslej. Takšna opredelitev je natančnejša od trditve, da gre za največji kibernetski napad v zgodovini, saj se posledice različnih vrst incidentov ne merijo na enak način.

Kaj je razkrila prva preiskava Binance?

Začetne ugotovitve Binance kažejo, da bi lahko napadalec izkoristil kompromitiran prenosni računalnik inženirja za razvoj in delovanje sistemov oziroma DevOps. Prek njega naj bi dostopal do storitvenega vsebnika, okolja za izvajanje programske storitve, in oddal nepooblaščene zahteve za dvige. Podjetje je sporočilo, da za zdaj ni našlo dokazov o razkritju zasebnih ključev denarnic. Podrobno tehnično poročilo je napovedalo po zaključku preiskave in preverjanju dejstev.

Odsotnost dokazov o razkritju ključev ne pomeni, da ni bilo zlorabe sistema za odobravanje transakcij. Pri presoji takšnih dogodkov je treba ločiti krajo ključa od možnosti, da napadalec zlorabi okolje, ki lahko sproži ali odobri podpis transakcije. Prav zato so privilegirani dostopi pomembni tudi pri storitvah, katerih osnovna kriptografija ni bila razbita. Natančna pot od začetnega vdora do izvedbe dvigov še zahteva zaključeno tehnično analizo.

FBI potrdil: Za napadom na Binance stoji Severna Koreja

Ameriški Zvezni preiskovalni urad (FBI) je 31. oktobra 2026 uradno pripisal odgovornost za krajo več kot šestih milijard dolarjev kriptosredstev s platforme Binance Severni Koreji. FBI napad povezuje z dejavnostmi skupine TraderTraitor, kar potrjuje predhodne ugotovitve raziskovalnega podjetja TRM Labs, ki je na povezavo s severnokorejskimi napadalci opozorilo že ob začetku preiskave.

FBI je v sodelovanju z ameriško tajno službo (USSS) in preiskovalci davčne uprave (IRS-CI) zaznal pretvarjanje ukradenih sredstev predvsem v kriptovaluto Ethereum (ETH). Preiskovalci pričakujejo nadaljnje prikrivanje izvora sredstev prek decentraliziranih finančnih storitev (DeFi) in menjalnic za hitro menjavo kriptovalut. FBI je objavil tudi seznam povezanih kriptodenarnic ter ponudnike storitev s kriptosredstvi pozval k blokiranju transakcij, povezanih z ukradenimi sredstvi.

Na omrežju Ethereum je TRM zaznal uporabo mehanizma EIP-7702, ki denarnici omogoča izvajanje kode pametne pogodbe na podlagi podpisanega pooblastila. Napadalec naj bi ga uporabil za izvajanje kode, ki je praznila denarnico, medtem ko so prenosi na drugih omrežjih potekali kot običajne podpisane transakcije. TRM takšen vzorec ocenjuje kot znak kompromitacije infrastrukture za podpisovanje spletno povezanih denarnic. To samo po sebi ne dokazuje ranljivosti protokola Ethereum ali razkritja zasebnih ključev.

Zamrznitev sredstev še ni njihovo vračilo

Binance je sporočil, da je s partnerji zamrznil približno tri milijarde dolarjev prizadetih sredstev. Napovedal je kritje izgub iz varnostnega sklada SAFU in lastnih sredstev ter po sanaciji tudi posodobitev dokazil o rezervah. Zamrznitev omeji možnost razpolaganja s sredstvi, vendar je ni mogoče enačiti z njihovim že izvedenim vračilom. Prav tako začetna ocena prizadetega zneska še ne pomeni dokončno ugotovljene neto izgube.

Ta razlika je pomembna pri razumevanju zlorab kriptodenarnic. Sledenje transakciji, blokiranje nadaljnjega prenosa in povrnitev premoženja so različni koraki, ki jih ni smiselno združevati v en podatek o uspešnosti odziva. Za končno oceno posledic bo treba spremljati rezultate izterjave in zaključene preiskave. Obljuba kritja izgub je izjava podjetja, ne dokaz, da so bili vsi postopki povračil že izvedeni.

Pologi delujejo, dvigi ostajajo začasno ustavljeni

Binance je v novejšem obvestilu pojasnil, da pologi delujejo normalno, dvigi pa ostajajo začasno ustavljeni med prenovo varnostnih mehanizmov storitve za dvige in povezanih naslovov. Napovedal je, da naj bi dvige ponovno omogočil v 48 urah. Gre za napoved podjetja, ne za potrditev, da je storitev že ponovno na voljo. Podatek o začetni ustavitvi obeh vrst transakcij zato opisuje prvi odziv na incident, ne njihovega trenutnega stanja.

Kaj naj spremljajo uporabniki?

Uporabniki naj informacije o razpoložljivosti pologov in dvigov preverjajo neposredno v uradni aplikaciji oziroma na spletni strani Binance. Ob takšnem dogodku je posebej pomembno previdno obravnavati sporočila, ki ponujajo nujno »zaščito računa« ali vračilo sredstev. Na iVarnost.si smo že opisali lažna sporočila Binance in kripto prevare, pri katerih storilci izkoristijo zaupanje v znano platformo. To je preventivno opozorilo, ne trditev, da je bila ob tem incidentu že potrjena nova spremljajoča prevara.

Obvestila preverite z neposrednim odpiranjem uradne aplikacije.
Nikomur ne posredujte gesla, prijavne kode ali obnovitvene fraze.
Ne nakazujte sredstev na domnevni »varni račun« po navodilih iz sporočila.
Ne nameščajte programov za oddaljeni dostop na zahtevo nepreverjene podpore.

Za nadaljnjo presojo dogodka bodo ključni tehnično poročilo Binance, preverjeni podatki o povrnjenih sredstvih in ugotovitve o odgovornosti za napad. Do takrat je treba začetne ocene dosledno pripisovati njihovim virom in jih ločevati od dokončnih rezultatov preiskave.