' fill='%23FBBC05' d='M0 37V11l17 13z'/%3E%3Cpath clip-path='url(%23b)' fill='%23EA4335' d='M0 11l17 13 7-6.1L48 14V0H0z'/%3E%3Cpath clip-path='url(%23b)' fill='%2334A853' d='M0 37l30-23 7.9 1L48 0v48H0z'/%3E%3Cpath clip-path='url(%23b)' fill='%234285F4' d='M48 48L17 24l-4-3 35-10z'/%3E%3C/svg%3E){kind=small}
Este arătat că atacatorul a exploatat un acces neautorizat la un serviciu intern de semnare a tranzacțiilor (wallet signing service) pentru a iniția transferuri în afara procesului standard de retragere a fondurilor.
Portofelele Binance de pe rețelele Solana și Optimism au trimis aproximativ 970.500 SOL și 44,2 milioane OP către adrese controlate de atacator.
Ulterior, Binance a primit o alertă internă privind transferuri de mare volum și a început imediat o investigație.
Atacatorul a utilizat apoi serviciul de semnare pentru a exploata mecanismul de autorizare EIP-7702 din rețeaua Ethereum. EIP-7702 permite unui cont să delege anumite drepturi de execuție către un contract inteligent (smart contract), fără a expune cheia privată.
În acest caz, atacatorul a folosit mecanismul respectiv pentru a acorda unui contract inteligent, aflat sub controlul său, drepturi parțiale de execuție asupra unui portofel Binance.
Binance a implementat imediat mai multe măsuri de izolare, inclusiv suspendarea retragerilor pentru a bloca alte ieșiri de fonduri, coordonarea cu partenerii pentru a îngheța tokenurile afectate și luarea de măsuri pentru revocarea permisiunilor neautorizate. Aceste acțiuni au dus la înghețarea unor active în valoare totală de 2,85 miliarde de dolari.
Cu toate acestea, simpla suspendare a retragerilor nu a fost suficientă pentru a opri toate mișcările neautorizate de active. Autorizările malițioase de tip EIP-7702 existau „on-chain” (pe blockchain) și funcționau independent de infrastructura obișnuită de retragere a Binance.
Atacatorii au transmis 50 de tranzacții de semnare pentru a manipula parametrul contului și pentru a stabili autorizări de delegare malițioase. Odată stabilite, aceste autorizări le-au permis atacatorilor să continue transferul activelor, independent de infrastructura standard de retragere a Binance.
Pentru a revoca aceste autorizări existente pe blockchain, Binance a trebuit să efectueze tranzacții suplimentare
Procesul de izolare a implicat complexități tehnice suplimentare. Deoarece portofelul utiliza tehnologia MPC (Multi-Party Computation – calcul multipartit), nu exista o singură cheie privată care să poată fi folosită pentru a revoca imediat autorizările malițioase EIP-7702.
Prin urmare, echipa a dezvoltat și executat o procedură specializată pentru revocarea acestor autorizări, proces care a necesitat timp suplimentar. În plus, suspendarea retragerilor și oprirea serviciilor portofelelor nu au anulat automat autorizările care existau deja pe blockchain.
Aceste provocări au prelungit durata necesară pentru a opri complet mișcările neautorizate de active.
Ultimul transfer neautorizat, în valoare de 2.961,9 ETH, a fost finalizat pe blockchain la ora 23:56 UTC. Tranzacția fusese transmisă anterior în rețea și a rămas în așteptare înainte de a fi finalizată. Ulterior, nu au mai fost observate alte transferuri neautorizate.
La data de 30 octombrie 2026, ora 00:10 UTC, Binance a inițiat o nouă operațiune de la portofel către „adresa zero” (zero address), eliminând codul de delegare EIP-7702.
"Investigația noastră actuală indică faptul că aceasta a fost o campanie sofisticată, în mai multe etape. Nu a fost o singură încălcare izolată sau un simplu incident de phishing.
Atacatorii au combinat o serie de tehnici, inclusiv inginerie socială prin interviuri de recrutare false, descărcări de software rău intenționat, instrumente interne de inteligență artificială compromise, compromiterea endpoint-ului și o metodă avansată de autorizare a tranzacțiilor", arată compania, care prezinintă în acest sens o cronologie.
Pregătirea atacului
Iunie 2026 — Atac în lanțul de aprovizionare. Inginerul A de la Wallet DevOps a descărcat o instalare Homebrew modificată pentru a instala un instrument popular de codare AI după ce l-a căutat pe un motor de căutare. Echipa de securitate a detectat anomalia, a înlocuit dispozitivul și a rotit toate acreditările aferente ca acțiune proactivă de securitate. Inginerul A și colegii săi din echipa de infrastructură a portofelului au fost expuși hackerului.
Pe parcursul anului 2026, echipa de securitate a Binance a detectat și a prevenit 57 de cazuri suspectate de amenințări cibernetice legate de Coreea de Nord. Aceste încercări reflectă amenințarea persistentă reprezentată de actorii sponsorizați de stat care vizează industria criptomonedelor. Tehnicile includ interviuri de angajare frauduloase, software rău intenționat deghizat în instrumente populare pentru dezvoltatori, pachete software și extensii de browser compromise, aplicații false de videoconferință și campanii de inginerie socială concepute pentru a fura acreditări sau a implementa programe malware cu acces la distanță.
Septembrie - inginerie socială. Inginerul de software B a fost contactat prin intermediul unei platforme legitime de căutare a unui loc de muncă de către o persoană care se dădea drept director de proiect. Inginerul de software B avea un profil pe platformă care făcea referire la experiența sa la Binance. Presupusul director de proiect a aranjat un prim interviu cu un reprezentant al departamentului de resurse umane, urmat de un al doilea interviu cu o persoană care pretindea că este CEO-ul unei companii fictive.
În prima rundă, presupusul reprezentant al departamentului de resurse umane a realizat un interviu video live cu inginerul de software B. Intervievatorul a distribuit cu acesta un cont de socializare, inclusiv fotografii personale și videoclipuri postate pe platformă, pentru a construi încredere. Aceasta a fost o abordare mai avansată și mai înșelătoare decât abordările de inginerie socială văzute anterior.
Al doilea interviu a fost realizat într-o aplicație populară de chat social, iar spre sfârșitul interviului, inginerul B a fost instruit să descarce o „sarcină” care conținea un depozit de cod rău intenționat pe computerul său de serviciu. Depozitul conținea cod malițios care s-a executat în timpul procesului de configurare, inițiind o serie de activități neautorizate.
Malware-ul a folosit tehnici sofisticate de evitare a atacurilor, inclusiv înlocuirea unei componente legitime a unui instrument de dezvoltare cu o versiune malițioasă pentru a executa comenzi și a stabili comunicarea cu un server extern controlat de atacator.
Malware-ul cu versiunea 0-day nu a fost detectat de instrumentele de protecție a securității endpoint-urilor la momentul respectiv.
Atacatorul a luat, de asemenea, măsuri pentru a ascunde activitatea malițioasă și a elimina urmele compromiterii, ceea ce a făcut detectarea și investigarea ulterioară mai dificile.
20 octombrie — utilizarea unui instrument intern de inteligență artificială ca punct de plecare. Atacatorul a valorificat computerul compromis al inginerului B și a folosit un instrument intern de inteligență artificială pentru a obține controlul asupra inginerului DevOps al portofelului A și asupra unui alt inginer de software pentru portofel C. Atacatorul a descoperit curând că inginerul DevOps al portofelului A avea un token de permisiune de implementare a containerului pe computerul său.
29 octombrie — accesarea operațiunilor de semnare a portofelului. Pe 29 octombrie, între orele 17:15 și 19:56, atacatorul s-a conectat la computerul inginerului de software C, a folosit acreditările furate de la inginerul DevOps A din portofel, a implementat un container și a declanșat un script rău intenționat pentru a lansa atacul.
Binance a înregistrat retrageri nete de 3,64 miliarde de dolari după reluarea operațiunilor duminică.
Binance a precizat că volumul retragerilor a început să scadă și să se stabilizeze după creșterea puternică înregistrată imediat după redeschiderea serviciilor. Depunerile au rămas, de asemenea, la un nivel semnificativ.
Reluarea retragerilor a început duminică, la ora 06:00 GMT, în mai multe etape. Până la ora 12:36 GMT, serviciile fuseseră restabilite pentru toate cele 15 rețele și active digitale incluse în prima fază, în timp ce testele continuau pentru celelalte rețele.
Fondatorul Binance și fostul director general Changpeng Zhao a încercat să calmeze îngrijorările utilizatorilor, afirmând că 98% dintre aceștia au ales să rămână pe platformă. Potrivit lui Zhao, cea mai mare parte a retragerilor nete s-a concentrat în primele două ore după reluarea operațiunilor.
Binance a anunțat anterior că a acoperit 90% din activele în valoare de 6,3 miliarde de dolari furate în urma unui atac informatic produs joi. Compania promite să suporte integral pierderile, fără ca utilizatorii să fie afectați financiar. FBI atribuie atacul unor hackeri nord-coreeni, însă președintele american Donald Trump afirmă că autoritățile nu sunt încă sigure cine se află în spatele operațiunii.
Binance a anunțat că a alocat peste 6,34 miliarde de dolari din fondurile proprii pentru a acoperi pierderile provocate de atacul informatic, considerat cel mai mare furt de criptomonede înregistrat vreodată.
Compania precizează că a reușit deja să înlocuiască 90% din activele sustrase, însă acoperirea diferenței ar putea dura mai mult, din cauza dificultăților de a procura cantitățile necesare din anumite criptomonede.
„Binance va suporta impactul financiar al acestor fonduri furate, nu utilizatorii noștri”, a transmis compania.
Retragerile au fost restabilite pe mai multe dintre rețelele sale, după ce operațiunile fuseseră suspendate în urma atacului. Compania precizase anterior că reluarea retragerilor se va face etapizat.
Activele deținute de clienți în Bitcoin, Ethereum și Tether sunt acoperite integral, alături de alte șapte criptomonede tranzacționate pe scară largă.
FBI acuză Coreea de Nord. Trump spune că autorii nu sunt cunoscuți cu certitudine
Biroul Federal de Investigații (FBI) a anunțat că atacul a fost orchestrat de Coreea de Nord.
Potrivit anchetatorilor americani, hackerii au început să convertească activele furate în Ethereum, urmând ca acestea să fie transferate și transformate din nou prin intermediul serviciilor financiare descentralizate și al platformelor de schimb instantaneu de criptomonede.
Aceste operațiuni sunt folosite pentru a îngreuna urmărirea fondurilor și identificarea traseului banilor.
Două companii specializate în analiza tranzacțiilor blockchain declaraseră anterior pentru BBC că dețin informații solide care indică implicarea grupării Lazarus, cunoscută și sub numele de TraderTraitor, o structură de hackeri asociată statului nord-coreean.
Gruparea a fost nominalizată explicit și de FBI. Cu toate acestea, președintele american Donald Trump a declarat că Statele Unite nu au stabilit cu certitudine cine a organizat atacul.
„Încă aflăm informații despre acest lucru. Nu știm dacă este Coreea de Nord, dar, dacă este, vom discuta cu Coreea de Nord despre asta”, a declarat Trump.
Coreea de Nord a negat în mod constant implicarea în atacurile informatice atribuite hackerilor săi.
Un calculator al unui angajat, posibil punct de intrare pentru hackeri
Investigația inițială a Binance a indicat că laptopul unui inginer al companiei fusese compromis, ceea ce le-ar fi permis atacatorilor să efectueze retrageri neautorizate.
Ulterior, compania a anunțat că a identificat și alte puncte prin care hackerii ar fi reușit să pătrundă în sistemele sale.
Richard Teng, co-director executiv al Binance, a declarat că atacul a fost realizat de mai multe persoane, care au utilizat metode sofisticate pentru a-și ascunde urmele.
Printre tehnicile folosite s-a numărat și un mecanism de autodistrugere, conceput pentru a șterge dovezi ale operațiunii și a îngreuna ancheta.
Binance nu a prezentat încă o explicație completă privind modul în care atacatorii au reușit să sustragă activele.
Aproximativ 3 miliarde de dolari din fondurile furate au fost blocate
Vineri, compania a anunțat că a reușit să blocheze aproximativ 3 miliarde de dolari din activele furate, în urma colaborării cu autoritățile de aplicare a legii, firme specializate în informații și parteneri din industria criptomonedelor.
Operațiunile de identificare și recuperare a fondurilor continuă.
Serviciul Secret al Statelor Unite (US Secret Service) a transmis că lucrează permanent cu parteneri din sectorul privat pentru identificarea, blocarea, urmărirea și recuperarea activelor sustrase de la Binance.
Recordul precedent: 1,5 miliarde de dolari furate de la Bybit în 2025
Atacul asupra Binance depășește cu mult precedentul record din industria criptomonedelor, stabilit în 2025, când hackerii au sustras active digitale în valoare de aproximativ 1,5 miliarde de dolari de pe platforma Bybit.
FBI a atribuit și acel atac Coreei de Nord.
Binance a fost fondată în China în 2017 și permite utilizatorilor să cumpere, să vândă și să tranzacționeze criptomonede și alte active digitale.
Platforma are, potrivit estimărilor, sute de milioane de utilizatori la nivel mondial.
