Mega-furtul de $6,4 miliarde de la Binance atribuit Coreei de Nord

Pe 29 octombrie, atacatori care au compromis serviciul intern de semnare a portofelelor Binance au transferat active în valoare de aproximativ 6,4 miliarde de dolari din portofele „fierbinți” (hot wallets – portofele crypto conectate permanent la internet) pe cel puțin zece rețele blockchain, în decurs de aproximativ patru ore.

FBI a atribuit atacul grupului nord-coreean TraderTraitor pe 31 octombrie. Coreea de Nord neagă implicarea. Aproximativ 2,8 miliarde de dolari au fost înghețate sau interceptate.

Conform datelor Elliptic din 7 noiembrie, circa 3,13 miliarde de dolari au rămas în adresele atacatorului, iar suma efectiv retrasă în numerar era neglijabilă.

Constatări principale

Binance spune că absoarbe integral pierderile și că 98% din activele afectate au fost reaprovizionate până pe 31 octombrie, conform propriei pagini Proof of Reserves.
Atacatorul nu a furat nicio cheie privată; a determinat sistemele proprii ale Binance să semneze tranzacțiile.
FBI, TRM Labs și Chainalysis au ajuns independent la concluzia atribuirii către Coreea de Nord cu grad ridicat de încredere; Elliptic a evaluat implicarea ca probabilă înainte de alerta FBI.
Intruziunea a început cu cel puțin patru luni înainte de atac, prin două compromitere separate ale angajaților.
Retragerile Binance au fost redeschise în etape începând cu 1 noiembrie.

Cronologie și detalii tehnice ale atacului

Intervalul furtului: 29 octombrie 2026, 20:05–23:56 UTC, conform Binance, TRM Labs, și Elliptic.
Pregătirile au început cu cel puțin 36 de ore înainte: trei retrageri mici din Tornado Cash – serviciu de amestecare a criptomonedelor (crypto mixer) care ascunde originea fondurilor – au finanțat portofelul operator dimineața pe 28 octombrie; codul de colectare a fost testat și repetat cu circa patru ore înainte de atac.
Contractul de colectare (sweeper contract) a fost instalat pe blockchain la 15:59 UTC pe 29 octombrie.
La 20:05–20:09 UTC, cinci hot wallets au trimis 233,46 milioane XRP atacatorului; portofele pe Solana și Optimism au trimis circa 970.500 SOL și 44,2 milioane OP; un portofel a trimis 18.270 BTC, conform Binance.
La 20:20 UTC, o singură tranzacție a inclus 50 de autorizații EIP-7702 – un mecanism Ethereum care permite unui contract extern să execute operații în numele unui portofel – asigurând că cel puțin una rămânea validă la momentul execuției (TRM Labs).La 20:24 UTC, principala colectare Ethereum: circa 167.464 ETH și 63 de tokesn, în valoare de aproximativ 2,53 miliarde de dolari, au ieșit din portofelul Binance 14 (TRM Labs, Elliptic).
Elliptic a identificat un al doilea portofel Ethereum compromis, Binance 16, care a semnat transferuri de circa 174 milioane de dolari cu propria sa cheie — ceea ce Elliptic interpretează ca dovadă a controlului direct asupra infrastructurii de semnare Binance.
Ultimul transfer neautorizată s-a finalizat la 23:56 UTC; delegarea pe portofelul Binance 14 a fost eliminată la 00:10 UTC pe 30 octombrie.
Stoparea activității a fost îngreunată de două aspecte: portofelul folosea calcul multi-parte (MPC – un sistem în care nicio parte nu deține singură cheia completă), deci nu exista o cheie unică cu care să fie revocate delegările; suspendarea retragerilor nu a anulat autorizațiile deja înregistrate pe blockchain.

Calea de intruziune

Iunie 2026: un inginer DevOps de portofele a instalat o versiune modificată de Homebrew – un manager de pachete software pentru macOS – în timp ce căuta un instrument AI de programare. Binance a înlocuit dispozitivul și a schimbat credențialele, dar rolurile echipei au rămas expuse.
Septembrie 2026: un al doilea inginer a fost abordat printr-o platformă legitimă de recrutare. După interviuri cu un fals reprezentant HR și un fals director general, a descărcat un repository de cod malițios de tip „test de angajare” pe calculatorul de serviciu.
20 octombrie 2026: de pe calculatorul compromis, atacatorul a folosit un instrument AI intern pentru a obține controlul asupra a sistemelor a doi ingineri de portofele; unul deținea un token de implementare containere.
29 octombrie, 17:15–19:56: atacatorul s-a conectat la calculatorul celui de-al treilea inginer, a folosit credențialele furate ale primului inginer, a implementat un container și a rulat scriptul de atac.
Programul malițios a înlocuit o componentă legitimă pyenv cu una malițioasă și a contactat un server al atacatorului. Binance spune că instrumentele de securitate endpoint nu l-au detectat.
Binance spune că a blocat 57 de tentative suspecte legate de Coreea de Nord în 2026.

Context tehnic: Homebrew malvertising

Brad Duncan de la SANS Internet Storm Center a documentat în luna mai o reclamă de căutare care conducea la o pagină falsă Homebrew găzduită pe sites.google.com, care livra MacSync Stealer – un program de furt de informații (infostealer) pentru macOS.
Binance menționează această documentație în raportul său în legătură cu compromiterea din iunie.

SANS nu face nicio atribuire către Coreea de Nord, iar Binance nu confirmă că incidentul său a folosit exact această campanie.

Pierderi pe rețele blockchain

Ethereum: circa 3,79 miliarde de dolari – 200.630 ETH plus 185 de tokens, inclusiv 1,875 miliarde USDT, 823 milioane USDC și 88,5 milioane RLUSD.
Bitcoin: 18.270 BTC (circa 1,47 miliarde de dolari).
Tron: 612,7 milioane USDT plus 46,4 milioane TRX (circa 628 milioane de dolari).
XRP Ledger: 233,46 milioane XRP (circa 296 milioane de dolari).
Solana: 970.500 SOL (circa 96 milioane de dolari).
Arbitrum, Optimism și Base combinate: circa 39 milioane de dolari; Avalanche circa 28 milioane; Polygon circa 10 milioane.

Elliptic adaugă NEAR ca fiind a unsprezecea rețea și calculează un total de 6,43 miliarde de dolari; TRM Labs: 6,36 miliarde; Binance: 6,34 miliarde; Chainalysis: circa 6,4 miliarde.

Diferențele se datorează momentului evaluării și domeniului de acoperire.

Înghețarea fondurilor

Aproximativ 2,7–2,85 miliarde de dolari au fost înghețate sau interceptate (cifra variază în funcție de sursă și momentul raportării).
Contributori: Tether (circa 1,77 miliarde USDT; prima înghețare la 21:01 UTC), Circle (circa 825 milioane USDC), Ripple (40,5 milioane RLUSD), World Liberty Financial (27,8 milioane USD1), Arbitrum Security Council (8.426 ETH și 74,6 milioane ARB), Paxos, First Digital și guvernanța Optimism (44 milioane OP).
Anticipând înghețările, atacatorul a vândut circa 325–434 milioane USDT pentru ETH la un discount de 10–26% și a împrumutat circa 19.760 ETH pe platforma Aave, folosind 60 milioane USDT drept garanție (TRM Labs, Elliptic).

Împrumutul de pe Aave a fost parțial lichidat pe 4 noiembrie (Elliptic).

Atribuire și răspuns oficial

FBI, împreună cu USSS și IRS-CI, a publicat pe 31 octombrie 2026 o alertă prin care atribuie furtul Coreei de Nord, grupului TraderTraitor, și a publicat o listă de adrese ETH, BTC și SOL pentru blocare.
TRM Labs și Chainalysis au ajuns la aceeași concluzie independent, cu grad ridicat de încredere, citând suprapunerea în timp real cu fondurile furate din Bitget în septembrie drept cel mai puternic element de legătură pe blockchain.
Elliptic a evaluat implicarea ca probabilă înainte de alerta FBI (raportul agenției include și adresele folosite de atacator pentru transferuri), citând în plus servicii comune pentru spălarea fondurilor din furturile BigONE, WOO X și AFX, și metode similare cu atacuri anterioare TraderTraitor.
TRM Labs citează similitudini cu furtul de la Bybit din februarie 2025, circa 1,46–1,5 miliarde de dolari, atribuit tot lui TraderTraitor, și cu atacul KelpDAO din aprilie 2026.

Coreea de Nord neagă implicarea.

Kim Yo Jong, politician din Coreea de Nord și sora mai mică a lui Kim Jong Un, a respins atribuirea FBI într-o declarație transmisă de KCNA pe 3 noiembrie (ora Coreei), numind-o „o provocare banală” și acuzând Washington de ostilitate, conform Associated Press.

Starea spălării banilor

Activitatea a folosit peste 20.000 de portofele pe 16 rețele blockchain, cel puțin 36 de servicii și cel puțin 65.000 de tranzacții.
Circa 3,13 miliarde de dolari erau în adresele atacatorului la 7 noiembrie, în principal ETH și BTC.
Cele 18.270 BTC (împărțite în 19 adrese) și nouă cele mai mari adrese ETH nu s-au mișcat.
Ruta Tron: circa 230 milioane dolari în TRX au trecut prin Tron, transformați în majoritate în ETH. THORChain – un serviciu de schimb descentralizat – a suspendat schimburile pe 31 octombrie la 11:34 UTC din cauza unei defecțiuni tehnice și a reluat activitatea pe 3 noiembrie.
XRP s-a mișcat pentru prima dată pe 2 noiembrie și a fost schimbat în BTC prin THORChain începând cu 5 noiembrie; circa 148 milioane XRP erau disponibili pe 7 noiembrie.
Tot SOL furat (circa 90 milioane de dolari) a fost schimbat, transferat între rețele sau amestecat.
Circa 2.300 BTC (circa 175 milioane de dolari) au fost convertite din alte active; circa 88 BTC au trecut prin coinjoins de tip Wasabi – o metodă de amestecare a tranzacțiilor Bitcoin; circa 6,7 milioane de dolari au intrat în rezerva Privacy Cash, care a suspendat depozitele circa o zi.
Circa 16 milioane de dolari au ajuns la adrese care dețin și fonduri din furtul Bitget.
Noi rute documentate de TRM Labs între 31 octombrie și 2 noiembrie: un token TRON auto-emis tranzacționat într-un singur fond de lichiditate (astfel că niciun transfer nu leagă portofelele cumpărătorului și vânzătorului); un token de chitanță de creditare transmis între portofele; două schimburi prin bridge înlănțuite astfel încât niciun portofel intermediar nu apare.
Evaluarea Elliptic: spălarea folosește automatizare scriptată convențională; nu există dovezi ale unor agenți AI care iau decizii. Chainalysis descrie modelele ca neîntâlnite anterior.

Binance spune că absoarbe integral pierderile; nu există rapoarte despre impact asupra clienților.

Retragerile au fost redeschise în etape începând cu 1 noiembrie. Printre măsurile anunțate sunt reconstruirea sistemului de portofele și a instrumentului AI, înlocuirea dispozitivelor, revocarea credențialelor, și comandarea unui audit independent.