A nyomozók milliárdokat követtek nyomon kriptovaluta-tárcákon keresztül, miközben közel 3 milliárd dollárt sikerült befagyasztani. De hol van a maradék pénz?
A 2026. október 29-i, 6,34 milliárd dolláros Binance-feltörés ügyében indított vizsgálat egy összetett műveletet tárt fel, amelyben hamis toborzási interjúk, fertőzött fejlesztői eszközök és kompromittált belső rendszerek játszottak szerepet.

A Binance november 3-án közzétett legfrissebb jelentése szerint a hackerek legalább négy hónappal azelőtt megkezdték a támadás előkészítését, hogy pénzt emeltek volna el a világ legnagyobb kriptovaluta-tőzsdéjéről.
Az FBI az észak-koreai TraderTraitor hackercsoportot azonosította felelősként. Phenjan tagadja a vádat.

Hogyan jutottak be a hackerek a Binance rendszerébe?
Az első biztonsági rés júniusban keletkezett, amikor a Binance egyik mérnöke egy módosított szoftvertelepítő eszközt töltött le, miközben egy mesterséges intelligencia alapú programozási alkalmazást próbált installálni.
Bár a Binance észlelte a gyanús tevékenységet, lecserélte a számítógépet és megváltoztatta a hitelesítő adatokat, a támadók már értékes információkat szereztek a vállalat tárca-infrastruktúrájáról.

Szeptemberben egy másik mérnököt egy legitim toborzási platformon keresztül kerestek meg.
A feltételezett munkáltató két interjút szervezett, köztük egy videós találkozót egy fiktív cég állítólagos vezérigazgatójával.
A mérnököt ezt követően arra utasították, hogy töltsön le egy kártékony kódot tartalmazó programozási feladatot.

Október 20-án a támadók kihasználták a kompromittált számítógépet és egy belső MI-eszközt, hogy további mérnökök rendszereihez férjenek hozzá.
Kilenc nappal később az ellopott hitelesítő adatok lehetővé tették kártékony szoftverek telepítését a Binance tárca-aláíró infrastruktúrájába.
A hackereknek nem volt szükségük a tárcák privát kulcsainak ellopására. Egyszerűen manipulálták a tranzakciók jóváhagyására felhatalmazott rendszereket.

6,3 milliárd dollár átutalva órák alatt
A lopás október 29-én, röviddel 20:00 UTC után kezdődött.
Négy percen belül öt Binance-tárca 233,46 millió XRP-t utalt át egy támadók által kontrollált címre.

Ezt további utalások követték a Bitcoin, Ethereum, Solana, Tron és más hálózatokon.
A TRM Labs blokklánc-nyomozó cég becslése szerint a hackerek körülbelül 3,79 milliárd dollárt vontak ki Ethereum-tárcákból (beleértve a stabilcoinokat is), valamint 18 270 Bitcoint, mintegy 1,47 milliárd dollár értékben.

További 628 millió dollár távozott Tron-tárcákból, megközelítőleg 296 millió dollárt loptak el XRP-ben, és 96 millió dollárt Solana tokenekben.
Az Ethereum hálózaton a támadók kihasználták az EIP-7702 autorizációs mechanizmust, 50 aláíró tranzakciót benyújtva a kártékony jogosultságok létrehozásához.
Ezek a jogosultságok lehetővé tették az átutalások folytatását még azután is, hogy a Binance megkezdte a normál kifizetések felfüggesztését.
Az utolsó illetéktelen tranzakciót, amely 2 961,9 ETH-t érintett, 23:56 UTC-kor erősítették meg.

Hová került a pénz?
A hackerek azonnal elkezdték a fagyasztható stabilcoinokat olyan kriptovalutákra váltani, mint az Ethereum.
A Chainalysis azonosított egy műveletet, amelyben 325 millió dollárnyi stabilcoint kevesebb mint 20 perc alatt körülbelül 285 millió dollár értékű ETH-ra cseréltek.
A támadók gyakorlatilag feláldoztak 40 millió dollárt azért, hogy az eszközöket a stabilcoin-kibocsátók közvetlen befagyasztási jogkörén kívülre helyezzék.
A nyomozók több ezer automatizált tranzakciót is megfigyeltek újonnan létrehozott címeken keresztül.
Az Elliptic jelentése szerint a tevékenység körülbelül 12 000 tárcát érintett 11 blokkláncon, mintegy 40 000 tranzakcióval.

A Bitquery november 3-i elemzése szerint a támadók még mindig nagyjából 3 milliárd dollárt tartottak ellenőrzésük alatt, elsősorban Bitcoinban és Etheumban.
Nyolc nagy Ethereum-tárca őrizte a nyomon követett ETH nagy részét, míg 18 270 Bitcoin 19 cím között maradt szétosztva.
Néhány összeget decentralizált szolgáltatásokon, többek között a THORChain, Relay és SunSwap platformokon keresztül mozgattak meg.

A Bitquery 685 millió TRX-et követett nyomon, amelyet 220 címre osztottak szét, és további utalásokat azonosított láncok közötti (cross-chain) váltószolgáltatásokon keresztül.
Azonban az ellopott kriptovaluta nagy része látszólag inaktív tárcákban maradt. A nyomon követett készletek nem bizonyítják, hogy a források elérték Észak-Koreát, vagy hogy hagyományos valutára váltották volna őket.

Közel 3 milliárd dollár befagyasztva
A Binance jelentése szerint körülbelül 2,85 milliárd dollárt sikerült befagyasztani vagy visszatartani, ami az ellopott eszközök nagyjából 45%-ának felel meg.
Az FBI 628 kriptovaluta-címet tett közzé, amelyek a lopáshoz köthetők, és felszólította a tőzsdéket, valamint a decentralizált pénzügyi (DeFi) operátorokat a gyanús tranzakciók blokkolására.
A 6,34 milliárd dolláros támadás több mint négyszerese a Bybit-től 2025 februárjában ellopott mintegy 1,5 milliárd dollárnak.
A lépték még a hagyományos pénzügyi bűnözési standardok szerint is rendkívüli.

Mi történik a Binance ügyfeleivel?
A Binance közlése szerint a veszteségeket a felhasználók számára létrehozott Secure Asset Fund (SAFU) alapból és vállalati tartalékokból fedezi.
Október 31-ig a tőzsde arról számolt be, hogy az érintett token-eszközök 98%-át pótolta, bár a későbbi nyilatkozatok eltérő mérőszámokat használtak a helyreállításra.
A Reuters szerint a Binance november 2-ig 4,72 milliárd dollárnyi nettó ügyfélkiáramlást tapasztalt – ez a platformon tartott eszközök körülbelül 3%-a.

A kifizetések azóta nagyrészt normalizálódtak.
A legnagyobb megválaszolatlan kérdések azokra a biztonsági mulasztásokra vonatkoznak, amelyek lehetővé tették több alkalmazott kompromittálását, a kártékony tárca-jogosultságok gyors visszavonásának képességére, valamint az ellopott pénzeszközök végső célállomására.

A vizsgálat rávilágít a digitális pénzügyek alapvető gyengeségére: a kifinomult kriptográfiai védelem nem tudja kompenzálni a kompromittált operációs rendszereket.
Egyelőre milliárdok maradnak láthatóak a nyilvános blokkláncokon – de a láthatóság nem jelent egyet a megtérüléssel.