Cel mai mare furt crypto din istorie: cum au sustras hackerii 6,3 miliarde de dolari de pe Binance

Binance, cea mai mare platformă de tranzacționare a criptomonedelor din lume, a fost ținta celui mai mare furt de active digitale înregistrat până acum. În seara de 29 octombrie 2026, atacatorii au transferat din portofelele companiei criptomonede evaluate la circa 6,3 miliarde de dolari.

Incidentul a fost confirmat printr-un comunicat oficial Binance publicat pe 30 octombrie. Potrivit companiei, investigația preliminară indică drept punct de pornire laptopul compromis al unui inginer DevOps, prin care atacatorii au ajuns la sisteme interne și au inițiat retrageri neautorizate.

Amploarea furtului a fost confirmată independent de TRM Labs, companie americană specializată în investigarea tranzacțiilor blockchain. Firma estimează valoarea activelor transferate la 6,36 miliarde de dolari, de patru ori mai mult decât cele 1,5 miliarde furate în februarie 2025 de pe platforma Bybit.

Grosul fondurilor a ieșit în 20 de minute, transferurile au durat aproape patru ore

Potrivit TRM Labs, atacatorii au mutat criptomonede pe zece rețele blockchain, printre care Ethereum, Bitcoin, Tron și Solana. Operațiunea principală a început în jurul orei 20:05 UTC, iar majoritatea sumei a fost transferată în circa 20 de minute.

Transferurile au continuat și după acest interval. Analiza Bitquery a identificat 17 portofele Binance afectate și operațiuni desfășurate între 20:04 și 23:56 UTC. Bitquery numără nouă rețele implicate, cu una mai puțin decât TRM Labs.

Țintele au fost așa-numitele hot wallets, portofele conectate permanent la internet, pe care platformele le folosesc pentru operațiunile curente. Ele permit procesarea rapidă a depunerilor și retragerilor, dar sunt la fel de sigure ca sistemele care aprobă tranzacțiile. Portofelele cold păstrează cheile de acces offline și sunt mult mai puțin expuse atacurilor informatice.

Potrivit unei investigații WIRED, pregătirile au început cu mult înainte de furt. Cercetătorii au identificat tranzacții de test, instalarea unor componente software și verificarea mecanismelor folosite apoi pentru transferurile mari.

De la un laptop compromis la mai multe breșe

Inginerul DevOps al cărui laptop a fost compromis răspundea de administrarea sistemelor tehnice și de automatizarea proceselor. Potrivit Binance, prin acest dispozitiv atacatorii au ajuns la un container de servicii, o componentă software izolată care rulează procese interne, și au putut introduce retrageri neautorizate.

Explicația a fost completată în cursul zilei de 30 octombrie. Richard Teng, co-CEO al Binance, a declarat într-un mesaj video relatat de CoinDesk că ancheta a descoperit și alte puncte de compromitere și că atacul nu poate fi redus la folosirea permisiunilor unui singur angajat. Potrivit BleepingComputer, compania nu a atribuit responsabilitatea vreunui angajat.

Binance susține că nu a găsit dovezi privind divulgarea cheilor private ale portofelelor. Asta nu exclude tranzacțiile frauduloase: un atacator care controlează sistemul de semnare a transferurilor îl poate face să aprobe operațiuni pe care proprietarul nu le-a inițiat. TRM Labs consideră că exact acest lucru este cea mai probabilă explicație a furtului.

Cum a fost ocolit sistemul de aprobare

Pe Ethereum, atacatorii au exploatat EIP-7702, o funcție care permite unui portofel obișnuit să delege anumite operațiuni unui contract inteligent, adică unui program care rulează automat pe blockchain. În mod normal, mecanismul simplifică administrarea activelor.

În cazul Binance, cercetătorii TRM Labs au identificat 50 de autorizări semnate dinainte, prin care un hot wallet al platformei a fost transformat într-un instrument ce colecta fondurile spre adrese controlate de atacatori. Teng a confirmat că această delegare a ocolit procedurile obișnuite de aprobare. El a mai declarat că atacatorii au folosit un mecanism de autodistrugere pentru a-și șterge instrumentele și urmele.

EIP-7702 explică însă doar partea de pe Ethereum. Pe celelalte nouă rețele, TRM Labs a găsit transferuri semnate prin mecanismele obișnuite ale fiecărei rețele. Rămâne de stabilit cum au ajuns atacatorii să controleze sistemele de autorizare de pe atâtea rețele diferite.

Suspiciunile duc către Coreea de Nord

TRM Labs atribuie atacul, cu un grad ridicat de încredere, grupării TraderTraitor, asociată Coreei de Nord și parte a rețelei cunoscute sub numele Lazarus. Firma spune că evaluarea se bazează atât pe tranzacțiile de pe blockchain, cât și pe informații obținute pe alte căi. În februarie 2025, FBI a atribuit oficial aceleiași grupări furtul de la Bybit.Chainalysis a ajuns la aceeași concluzie, pe baza unei legături directe. Investigatorii firmei au urmărit în timp real cum fonduri furate de la Binance s-au amestecat pe blockchain cu bani proveniți din atacul asupra platformei Bitget, din septembrie, atribuit tot Coreei de Nord. Potrivit CoinCodex, hackerii mutaseră atunci circa 351,6 milioane de dolari din portofelele Bitget.

Concluziile aparțin însă unor companii private, nu autorităților. Până la 30 octombrie, Binance nu numise public autorii și declara că lucrează cu instituțiile competente pentru identificarea lor.

Trei miliarde de dolari au fost înghețate

Imediat după descoperirea transferurilor, Binance a început să lucreze cu emitenți de criptomonede și firme de urmărire a activelor. Tether, Circle și Ripple au blocat fonduri legate de atac, potrivit CNBC. Primele două emit USDT și USDC, cele mai folosite stablecoin-uri, monede digitale concepute să păstreze o valoare apropiată de cea a dolarului.

Binance estimează activele înghețate la circa 3 miliarde de dolari, dintre care 2,3 miliarde în USDT și USDC. Compania precizează că suma reflectă valoarea verificată la momentul comunicării și poate crește pe măsură ce urmărirea continuă.

Înghețarea este posibilă pentru că emitenții acestor monede pot bloca, prin contractele inteligente, transferurile anumitor adrese. Bitcoin nu are un emitent central care să poată face același lucru, așa că o parte importantă din fonduri poate rămâne în afara controlului Binance. Nici activele înghețate nu sunt încă recuperate: restituirea lor presupune proceduri separate, fără un calendar standard.

Ce se întâmplă cu banii clienților

Binance susține că fondurile utilizatorilor sunt în siguranță și că pierderile vor fi acoperite din resursele companiei și din SAFU, fondul de protecție pentru situații de urgență. Ultima valoare publică a SAFU, din 2024, era de circa 1 miliard de dolari, deci cea mai mare parte a pierderilor trebuie acoperită din banii companiei.

Potrivit Reuters, Teng a anunțat că platforma a rezervat peste 6,34 miliarde de dolari în acest scop. Circa 5 miliarde se aflau deja în criptomonedele afectate, iar restul este cumpărat pe piață și prin tranzacții directe între instituții. CoinDesk precizează că suma de 6,34 miliarde nu include cele circa 3 miliarde de dolari înghețate. Sean Farrell, de la firma de cercetare Fundstrat, a declarat pentru CNBC că atacul nu pare să pună în pericol solvabilitatea platformei.

O analiză CoinDesk complică însă explicația oficială. Unele dintre portofelele golite figurau în raportările Binance despre rezervele care garantează soldurile clienților. Potrivit calculelor publicației, până la înlocuirea activelor dispărute, acoperirea pentru Ethereum ar fi putut coborî temporar de la 100% la circa 94%. Constatarea nu arată că utilizatorii au pierdut bani din conturi, dar pune sub semnul întrebării distincția făcută de Teng între portofelele proprii ale companiei și activele clienților.

Retragerile rămân suspendate până la verificarea sistemelor

Binance a suspendat inițial atât depunerile, cât și retragerile. Depunerile funcționează din nou, iar retragerile rămân oprite până la reconstruirea și testarea sistemului care le procesează. Teng a indicat duminică, 1 noiembrie, drept termen orientativ pentru reluare.

În paralel, echipele tehnice verifică serviciile cloud, dispozitivele angajaților, gestionarea cheilor private și procedurile de semnare a tranzacțiilor. Compania a anunțat un raport complet Proof of Reserves, prin care trebuie să arate public că deține activele declarate, pentru luni, 2 noiembrie. Analiza tehnică detaliată va fi publicată după încheierea anchetei.

Incidentele de această amploare sunt urmate frecvent de tentative de fraudă, în care infractorii se dau drept echipe de asistență care oferă recuperarea fondurilor. Binance comunică informațiile despre reluarea retragerilor doar prin canalele sale oficiale.

Efecte pe piață și precedente

Efectele s-au extins dincolo de platforma principală. Binance Japan, care funcționează pe aceeași bază tehnică, a oprit preventiv depunerile și retragerile, deși spune că activele clienților săi nu au fost afectate. Pe piață, bitcoin a scăzut vineri cu peste 4%, până la circa 77.995 de dolari, potrivit CNBC.

Binance a mai fost atacată în 2019, când hackerii au sustras circa 7.000 de bitcoin dintr-un hot wallet. Cazul Bybit din 2025, atribuit aceleiași grupări nord-coreene, a urmat un tipar asemănător cu atacul actual: nu protecția criptografică a fost spartă, ci sistemele care aprobă tranzacțiile.

Ancheta continuă. Mecanismul complet al atacului, valoarea fondurilor care vor fi recuperate efectiv și identitatea autorilor nu au fost încă stabilite oficial.

Surse: Binance – comunicatul oficial · TRM Labs · Chainalysis · CoinDesk – declarațiile lui Richard Teng · CoinDesk – analiza rezervelor · Reuters · Bitquery · WIRED · BleepingComputer · CNBC · CoinCodex