Krádež 6,3 miliardy dolárov z Binance: ako falošný pohovor otvoril cestu k peňaženkám

Útočníci pripravovali prienik do Binance celé mesiace. Analýza ukazuje, ako sa falošný pohovor, interný nástroj AI a podpisovanie transakcií spojili pri krádeži kryptomien.

Krádež kryptomien z burzy Binance z 29. októbra 2026 nebola podľa doterajších zistení výsledkom jedného prelomeného hesla. Predchádzalo jej niekoľko mesiacov príprav, dva odlišné spôsoby napadnutia pracovných počítačov a pohyb útočníkov medzi internými systémami. Keď získali možnosť ovplyvniť podpisovanie transakcií, z peňaženiek burzy odišli digitálne aktíva v hodnote približne 6,3 miliardy dolárov. Prvú podrobnú rekonštrukciu zverejnila Binance 3. novembra. Je to dôležitý, no stále predbežný opis: pochádza od samotnej napadnutej spoločnosti a jeho závery má ešte preveriť nezávislá bezpečnostná kontrola.

Prípad má tri odlišné roviny, ktoré sa ľahko zamieňajú. Verejne viditeľné prevody na blockchainoch potvrdzujú, že z peňaženiek odišli aktíva. Binance opisuje, ako sa útočníci podľa jej vyšetrovania dostali k interným systémom. Americká FBI zase pripisuje krádež severokórejskej skupine TraderTraitor. Žiadna z týchto informácií sama osebe ešte úplne nevysvetľuje, prečo vnútorné kontrolné mechanizmy nedokázali neprípustné operácie zastaviť skôr.

Koľko zmizlo a čo vieme nezávisle overiť

Binance vyčíslila zasiahnuté digitálne aktíva na približne 6,34 miliardy dolárov. Spoločnosť TRM Labs, ktorá analyzovala odchádzajúce transakcie na desiatich blockchainoch, odhadla hodnotu prevodov pri cenách v čase krádeže na 6,36 miliardy dolárov. Rozdiel v desiatkach miliónov pri takomto rozsahu nie je dôkazom ďalšej krádeže: ide o približné sumy vypočítané rôznymi postupmi a hodnoty kryptomien sa menia. Podľa porovnania TRM ide o väčšiu krádež než útok na burzu Bybit vo februári 2025.

Analýza TRM zaznamenala prevody okrem Etherea a Bitcoinu aj na sieti Tron, v XRP Ledgeri, na Solane a ďalších sieťach. Binance potvrdzuje napríklad odchod 233,46 milióna XRP z piatich horúcich peňaženiek a prevod 18 270 BTC. Horúca peňaženka je súčasť infraštruktúry pripojenej k online prevádzke, ktorú burza potrebuje na obsluhu výberov. Práve možnosť rýchlo spracúvať transakcie však zvyšuje význam zabezpečenia služby, ktorá ich povoľuje a podpisuje.

Jún: škodlivý inštalátor a zdanlivo zvládnutý incident

Podľa Binance sa prvá časť kampane začala v júni 2026. Pracovník tímu zabezpečujúceho prevádzku peňaženiek vyhľadával nástroj na programovanie s podporou AI a stiahol upravený inštalátor Homebrew. The Verge píše o škodlivej reklame vo vyhľadávaní; samotná správa Binance uvádza vyhľadávač, nie konkrétnu reklamnú sieť. Podstatný je mechanizmus: pri bežnej pracovnej úlohe sa na firemný počítač dostal nedôveryhodný softvér vydávajúci sa za súčasť vývojárskeho prostredia.

Binance tvrdí, že jej bezpečnostný tím anomáliu vtedy zachytil, zariadenie vymenil a súvisiace prihlasovacie údaje obnovil. Súčasne pripúšťa, že útočník získal prístup k informáciám z pracovnej stanice a k prostrediu kolegov napojených na infraštruktúru peňaženiek. Zverejnené podklady neumožňujú nezávisle určiť, aké údaje útočníci v tejto fáze skutočne získali. Neskorší úspech útoku tiež neznamená, že júnová výmena zariadenia bola zbytočná; ukazuje, že jedno opatrenie nestačilo na prerušenie celej kampane.

September: pracovný pohovor ako nosič malvéru

Ďalším cieľom bol podľa burzy iný softvérový inžinier. Osoba vystupujúca ako náborár ho oslovila cez skutočnú pracovnú platformu, následne prebehli videohovory s údajnými zástupcami firmy. Útočníci pritom využili aj profil na sociálnej sieti, aby pôsobili dôveryhodnejšie. Až na konci tohto procesu prišla technická úloha: stiahnuť repozitár s kódom a spustiť ho na pracovnom počítači. Podľa Binance sa škodlivý kód aktivoval už pri príprave prostredia.

Burza uvádza, že malvér nahradil legitímnu súčasť vývojárskeho nástroja pyenv upravenou verziou. Takto mohol vykonávať príkazy a komunikovať so serverom ovládaným útočníkom. Ochranný softvér na zariadení ho v danom čase podľa firmy nezistil. Príbeh preto nie je len varovaním pred presvedčivým vystupovaním falošných náborárov. Kľúčové bolo, že kód od neznámej protistrany bežal na zariadení s prístupom k pracovným systémom burzy.

Odporúčame

Dôležité Technológie 30. októbra 2026

Útok na Binance za 6,3 miliardy dolárov: čo vieme o ukradnutých kryptomenách a sľúbených náhradách

Binance odhaduje dosah útoku na 6,3 miliardy dolárov. Časť aktív je zmrazená, no vyšetrovanie príčiny, návrat prostriedkov aj nezávislé overenie náhrad pokračujú.

9 min 0

Financie 31. októbra 2026

Bitcoin má 18 rokov od predstavenia návrhu. Stonásobný rast za dekádu nevymazal jeho riziká

Bitcoin za desať rokov zdražel približne stonásobne. Osemnáste výročie jeho návrhu však pripomína aj cenové prepady, riziká úschovy a hranice investičných predpovedí.

9 min 0

Čo v útoku robil interný nástroj AI

Binance datuje ďalší posun na 20. októbra. Tvrdí, že útočníci z už napadnutého počítača využili interný nástroj AI a získali kontrolu nad počítačmi prvého pracovníka aj tretieho inžiniera z tímu peňaženiek. Na zariadení prvého z nich následne našli prístupový token umožňujúci nasadzovať kontajnery. Dňa 29. októbra sa podľa rekonštrukcie prihlásili na počítač tretieho inžiniera, použili získané prihlasovacie údaje, nasadili kontajner a spustili škodlivý skript.

Presná úloha nástroja AI zostáva významnou otvorenou otázkou. Binance neuvádza jeho architektúru, konkrétne oprávnenia ani spôsob, ktorým sa cezň presunuli medzi zariadeniami. Nemožno preto poctivo tvrdiť, že umelá inteligencia sama plánovala krádež, autonómne podpísala prevody alebo že známa chyba konkrétneho modelu bola príčinou incidentu. Potvrdené je užšie tvrdenie: v predbežnej rekonštrukcii burzy figuruje interný nástroj AI ako jeden z medzičlánkov prieniku. Bez ďalších technických údajov nemožno určiť, či rozhodujúcu úlohu zohrala jeho funkcia, nastavenie prístupov alebo širšie zabezpečenie prostredia.

Prečo nestačilo vypnúť výbery

Binance uvádza, že útočníci získali neoprávnený prístup k internej službe podpisujúcej transakcie a vykonávali operácie mimo štandardného procesu výberov. Prvé opísané prevody XRP prebehli 29. októbra medzi 20.05 a 20.09 UTC. Keď burza zaznamenala podozrivo veľké presuny, začala vyšetrovanie, pozastavila výbery a koordinovala zmrazovanie aktív s partnermi. Pozastavenie používateľských výberov však nie je to isté ako zrušenie všetkých oprávnení, ktoré už vznikli priamo na blockchaine.

Na Ethereu útočníci využili mechanizmus EIP-7702. Ten umožňuje, aby účet po podpísaní autorizácie vykonával kód určeného smart kontraktu. Nejde automaticky o chybu samotného štandardu; problém vzniká, ak útočník dokáže vynútiť alebo získať neoprávnené podpisy. TRM Labs opisuje balík 50 vopred podpísaných autorizácií s rôznymi hodnotami počítadla transakcií, označovaného ako nonce. Pri priebežne používanej peňaženke sa toto počítadlo mení a jedna zo pripravených autorizácií tak mohla zodpovedať aktuálnemu stavu. Zverejnený opis Binance sa v technickom pomenovaní tejto série líši; podstatný výsledok sa zhoduje: útočník dosiahol delegovanie vykonávania na kontrakt pod svojou kontrolou.

Keď delegovanie začalo platiť, zablokovanie bežného výberového rozhrania ho samo nezrušilo. Podľa TRM mohol útočník z peňaženky opakovane presúvať aj prostriedky, ktoré na ňu prišli neskôr. Binance vysvetľuje, že dotknutá peňaženka využívala viacstranný výpočet, označovaný MPC, a neexistoval jediný súkromný kľúč, ktorým by bolo možné oprávnenie okamžite odvolať. Firma pripravila osobitný postup na jeho odstránenie. Posledný nepovolený prevod sa potvrdil o 23.56 UTC; o 00.10 UTC nasledujúceho dňa Binance podľa svojej správy delegovanie zrušila.

Zmrazené aktíva nie sú to isté ako doplnené rezervy

K 3. novembru Binance uvádzala približne 2,85 miliardy dolárov v zmrazených alebo zachytených aktívach. TRM krátko po útoku vyčíslila zmrazené prostriedky približne na 2,7 miliardy dolárov. Údaje pochádzajú z rôznych časových okamihov, pričom Binance sama upozorňuje na možné úpravy po zosúladení dát a cenových pohyboch. Zmrazenie navyše znamená, že s určitými aktívami nemožno voľne nakladať; nie je automatickým dôkazom, že už boli vrátené do peňaženiek burzy.

Oddelene od toho Binance tvrdí, že k 31. októbru doplnila 98 % dotknutých tokenových aktív a na pokrytie strát vyčlenila viac prostriedkov, než je potrebné. Zvyšok podľa nej tvorili menej likvidné aktíva, ktoré ešte obstarávala. Firma deklaruje, že finančný dopad neponesú používatelia. Z uvedených čísel však nemožno vyvodiť, že útočníkom zostali len dve percentá koristi: doplnenie rezerv z vlastných zdrojov a získanie ukradnutých aktív späť sú dve rozdielne operácie. Verejné vyhlásenie burzy je tiež potrebné odlišovať od výsledku avizovanej nezávislej kontroly.

Zmrazovanie bolo najúčinnejšie pri aktívach, pri ktorých môže emitent zasiahnuť. TRM po útoku popísala blokovanie časti stablecoinov aj zásah na sieti Arbitrum. Pri bitcoine a ethereu takýto zásah emitenta neexistuje. Analytici zároveň sledovali pokusy meniť aktíva a presúvať ich cez ďalšie služby. V aktualizácii z 3. novembra TRM uviedla nové postupy sledované najmä na sieti Tron vrátane využitia vlastného tokenu, poolu likvidity a nadväzujúcich presunov medzi sieťami. To opisuje pohyb časti výnosov z krádeže, nie dôkaz, že celý ukradnutý objem už bol premenený na hotovosť.

Kto je za útokom a čo z príbehu vyplýva

FBI 31. októbra verejne pripísala krádež Severnej Kórei a označila súvisiacu aktivitu názvom TraderTraitor. K rovnakému záveru dospela aj TRM Labs na základe vlastnej analýzy transakcií a ďalších informácií. Ide o silnejšiu oporu než samotný odhad burzy, no verejnosť nemá k dispozícii všetky podklady použitých vyšetrovacích postupov. Pripísanie útoku konkrétnej skupine navyše nerieši každú otázku o vnútorných slabinách Binance.

Pre prevádzkovateľov finančnej infraštruktúry je najdôležitejšia kombinácia troch rizík. Prvým je spúšťanie cudzieho kódu na pracovných zariadeniach, aj keď prichádza ako zdanlivo bežná inštalácia či zadanie na pohovore. Druhým sú prístupové tokeny a interné nástroje, cez ktoré sa útočník môže po prvotnom prieniku dostať bližšie ku kritickým systémom. Tretím je podpisovanie transakcií: ak sa neoprávnená operácia dostane až na blockchain, vypnutie používateľského rozhrania ju nemusí zastaviť. Toto sú bezpečnostné závery vyplývajúce z opísaného priebehu, nie potvrdenie konkrétneho zlyhania každého z týchto opatrení v Binance.

Pre klientov burzy je podstatné rozlišovať medzi stavom ich účtu, krytím záväzkov burzy a osudom ukradnutých kryptomien. Binance sľubuje, že stratu znáša sama, a uvádza postupné obnovenie prevádzky. Presný hospodársky dopad, úplná príčina prieniku aj konečný rozsah návratnosti aktív však zostávajú otvorené. Kým nebude ukončené vyšetrovanie a nezávislé preverenie, najpresnejším opisom prípadu je viacstupňový útok s potvrdenými odchádzajúcimi prevodmi a s predbežne vysvetlenou cestou do podpisovacej infraštruktúry.