Článek
Kryptoměnový trh zasáhla zpráva o mimořádně rozsáhlém hackerském útoku na Binance. Odhadovaný finanční dopad incidentu dosahuje přibližně 6,3 miliardy USD, což z něj dělá jeden z největších útoků v historii kryptoměn. Vyšetřovatelé postupně odhalují, jak mohli útočníci proniknout do interní infrastruktury burzy.
Podezření se přitom stále výrazněji soustředí na severokorejskou hackerskou skupinu TraderTraitor. Binance slibuje pokrýt veškeré ztráty a tvrdí, že prostředky zákazníků zůstávají v bezpečí. Tržní reakce však ukazuje, že podobný incident může otřást důvěrou v celý kryptoměnový sektor.
Binance zasáhl hackerský útok za 6,3 miliardy USD
Kryptoměnové trhy se dostaly pod výrazný prodejní tlak poté, co se objevily informace o rozsáhlém bezpečnostním incidentu spojeném s burzou Binance. Investoři reagovali nervózně a pokles zasáhl nejen samotný token BNB, ale také Bitcoin, Ethereum a řadu dalších digitálních aktiv.
V době zveřejnění prvních zpráv se BNB obchodoval přibližně za 693 USD, což představovalo pokles o více než 8 % během 24 hodin. Bitcoin oslabil zhruba o 4,8 % a pohyboval se kolem 77 131 USD. Ethereum ztratilo přibližně 5,7 % a jeho cena klesla k úrovni 2 217 USD.
Výprodej se nevyhnul ani decentralizovaným financím. Token AAVE odepsal přibližně 11,3 % a UNI od Uniswapu klesl o 10,4 %. Nervozitu potvrzoval také index Crypto Fear & Greed, který se propadl na hodnotu 30 bodů. To znamenalo návrat do pásma strachu a nejnižší hodnotu od 14. srpna.
Binance nakonec vyčíslila celkový finanční dopad útoku přibližně na 6,3 miliardy USD. Současně oznámila, že ve spolupráci s dalšími účastníky blockchainového ekosystému dokázala zmrazit přibližně 3 miliardy USD z dotčených prostředků.
Je důležité rozlišovat mezi celkovým odhadovaným dopadem incidentu a částkou, kterou se podařilo zmrazit. Neznamená to, že Binance přišla o celou uvedenou sumu z vlastních rezerv. Přesná struktura škod a pohyb jednotlivých prostředků zůstávají předmětem vyšetřování.
Útok mohl začít napadením notebooku zaměstnance
Jedním z nejzajímavějších zjištění vyšetřování je pravděpodobný způsob, jakým útočníci získali přístup do interních systémů Binance. Burza uvedla, že první výsledky jejího šetření ukazují na kompromitovaný notebook zaměstnance z týmu DevOps.
DevOps představuje oblast, která propojuje vývoj softwaru a provoz technické infrastruktury. Zaměstnanci těchto týmů často pracují se systémy, které mají přístup k důležitým interním službám. Pokud útočník získá kontrolu nad podobným zařízením, může se dostat mnohem dál než při běžném napadení uživatelského účtu.
Podle Binance mohl kompromitovaný notebook umožnit přístup k jednomu ze servisních kontejnerů. Odtud následně mohli útočníci zadávat neoprávněné transakce vedoucí k výběru kryptoměn.
Zásadní je přitom skutečnost, že burza zatím nenašla důkazy o úniku soukromých klíčů k peněženkám. Útočníci tedy podle dosavadních zjištění nemuseli samotné klíče ukrást. Mohli místo toho zneužít systém, který oprávněné transakce podepisuje.
Právě tento rozdíl je pro pochopení celého incidentu mimořádně důležitý. Soukromý klíč představuje kryptografický nástroj, kterým vlastník potvrzuje transakce. Pokud však hacker dokáže zmanipulovat infrastrukturu pro jejich schvalování, může dosáhnout podobného výsledku, aniž by musel získat samotný klíč.
Útočníci zneužili mechanismus EIP-7702
Podrobnější informace přinesla bezpečnostní společnost Blockaid, která analyzovala pohyby prostředků přímo na blockchainu. Její zjištění ukazují na sofistikovaný postup využívající mechanismus EIP-7702.
Tento standard umožňuje běžnému kryptoměnovému účtu dočasně delegovat určité operace na kód chytrého kontraktu. Uživatel tak může například využívat pokročilejší funkce bez nutnosti měnit samotnou strukturu účtu.
Podle Blockaid útočníci spojili 50 autorizací EIP-7702 do jediné transakce namířené proti Binance. Jedna z těchto autorizací údajně odpovídala požadovanému nonce, tedy číslu určujícímu pořadí transakcí daného účtu. Díky tomu ji síť přijala.
Dotčený účet následně delegoval oprávnění na neověřený chytrý kontrakt označovaný jako sweeper. Ten umožňoval určenému operátorovi převádět tokeny a ether z napadeného účtu.
Nešlo tedy o obyčejné prolomení hesla nebo jednoduchou krádež kryptoměnové peněženky. Útok podle dosavadních poznatků zasáhl samotný mechanismus autorizace transakcí.
Společnost Blockaid zároveň upozornila, že příprava a provedení útoku mohly zahrnovat více kompromitovaných zařízení a pohyb uvnitř interní infrastruktury burzy.
Podezření míří na severokorejskou skupinu TraderTraitor
Ještě závažnější rozměr získal incident poté, co se do vyšetřování zapojily společnosti TRM Labs a Chainalysis a také známý blockchainový analytik ZachXBT.
TRM Labs připsala útok severokorejské hackerské skupině TraderTraitor s vysokou mírou jistoty. Její závěr vychází z kombinace informací získaných přímo z blockchainu i dalších zpravodajských poznatků.
Podobným směrem ukazují také zjištění ZachXBT. Ten upozornil, že prostředky ukradené při útoku na Binance a při dřívějším incidentu spojeném s burzou Bitget se po přesunech prostřednictvím protokolu THORChain setkaly na stejné blockchainové adrese.
Takové propojení může představovat důležitou stopu. Pokud dvě skupiny odcizených prostředků končí na stejné adrese a vykazují podobné vzorce pohybu, může to naznačovat společného pachatele nebo koordinaci mezi jednotlivými operacemi.
K podobnému závěru dospěl také Jonathan Levin, spoluzakladatel a ředitel společnosti Chainalysis. Ten odhadl rozsah krádeže na přibližně 6,4 miliardy USD a rovněž poukázal na pravděpodobné zapojení skupiny TraderTraitor.
Identita útočníků však zatím nebyla oficiálně potvrzena samotnou Binance. Jde o závěry bezpečnostních analytiků, které vycházejí z dostupných stop. Burza nadále spolupracuje s vyšetřovateli a orgány činnými v trestním řízení.
Severokorejští hackeři mají za sebou další velké útoky
TraderTraitor patří mezi hackerské skupiny, jejichž aktivity americké úřady spojují se Severní Koreou. Její operace se zaměřují především na kryptoměnové společnosti, burzy a zaměstnance, kteří mají přístup k citlivým systémům.
Významným příkladem je útok na burzu Bybit z února 2025. Ten podle zveřejněných forenzních závěrů využil kompromitované přihlašovací údaje vývojáře společnosti Safe, která poskytuje infrastrukturu pro správu kryptoměnových peněženek.
Útočníci tehdy získali přístup k infrastruktuře poskytovatele peněženek a dokázali zmanipulovat proces, při kterém oprávněné osoby schvalují transakce. Výsledkem bylo podepsání škodlivé transakce, která umožnila převést prostředky do rukou útočníků.
Dalším případem byla krádež více než 300 milionů USD z japonské kryptoměnové platformy DMM Bitcoin v květnu 2024. FBI společně s japonskými a americkými vyšetřovateli připsala tento incident severokorejským aktérům.
Vyšetřování odhalilo také zajímavou metodu sociálního inženýrství. Útočník se v jednom případě vydával za náboráře a zaměstnanci společnosti Ginco, která poskytuje služby v oblasti kryptoměnových peněženek, poslal škodlivý program v podobě údajného programátorského testu.
Tímto způsobem se mohl dostat k přístupu, který následně využil k manipulaci s legitimní transakční žádostí. Útoky tak stále častěji nesměřují přímo na blockchain, ale na lidi a technologické systémy, které s ním pracují.
Binance slibuje pokrýt všechny ztráty
Binance mezitím oznámila, že převezme finanční odpovědnost za veškeré ztráty související s incidentem. K jejich pokrytí chce využít vlastní prostředky a fond Secure Asset Fund for Users (SAFU).
SAFU představuje rezervní fond, který burza vytvořila právě pro mimořádné situace a ochranu zákazníků. Binance zároveň ujistila uživatele, že jejich prostředky zůstávají v bezpečí.
V průběhu bezpečnostního vyšetřování burza dočasně pozastavila vklady a výběry. Současně zrušila oprávnění spojená s dotčenou adresou a spolupracuje s blockchainovými analytickými společnostmi i policií na sledování a případném získání odcizených prostředků.
Dalším krokem má být zveřejnění aktualizovaného Proof of Reserves, tedy dokladu o rezervách, který má uživatelům poskytnout lepší přehled o finančním krytí klientských zůstatků.
Binance také přislíbila podrobnou technickou zprávu, jakmile vyšetřovatelé dokončí analýzu a ověří všechny podstatné skutečnosti.
Největší slabinou kryptoměn nemusí být samotný blockchain
Celý incident podle mě ukazuje na problém, který kryptoměnový sektor dlouhodobě podceňuje. Bezpečnost blockchainu je pouze jednou částí celého systému. Ani technologicky odolná síť totiž nedokáže ochránit prostředky, pokud útočníci získají přístup k zařízením zaměstnanců, interním službám nebo systému, který schvaluje transakce.
Zvlášť znepokojivé je, že podle dosavadních zjištění nemuselo dojít k přímému odcizení soukromých klíčů. Útočníci pravděpodobně našli cestu, jak přimět infrastrukturu k autorizaci operací, které by za normálních okolností nikdy neměly projít. To je podstatně širší bezpečnostní problém než samotná ochrana kryptoměnových peněženek.
Pozitivní je alespoň reakce Binance, která slíbila pokrýt všechny ztráty a spolupracuje na zmrazení prostředků. Samotný příslib však nestačí k obnovení důvěry. Burza bude muset přesvědčivě vysvětlit, jak k útoku došlo, jaké nedostatky umožnily jeho provedení a především jak zabrání opakování podobného incidentu.
Pokud se potvrdí spojení se skupinou TraderTraitor, půjde o další důkaz, že organizované hackerské operace představují pro kryptoměnový průmysl jednu z největších systémových hrozeb. A právě schopnost burz chránit nejen své peněženky, ale také zaměstnance a interní infrastrukturu bude stále důležitější.
Zdroj:
