Κλοπή του αιώνα στην Binance: Πώς οι χάκερ άρπαξαν $6,3 δισ. μέσα σε λιγότερο από μισή ώρα –  Τα στοιχεία που οδηγούν στη Βόρεια Κορέα

Μέσα σε λιγότερο από 30 λεπτά, χάκερ κατάφεραν να αποσπάσουν κρυπτονομίσματα αξίας περίπου 6,3 δισεκατομμυρίων δολαρίων από την Binance, το μεγαλύτερο ανταλλακτήριο κρυπτονομισμάτων στον κόσμο. Η επίθεση εξελίχθηκε με καταιγιστικούς ρυθμούς, καθώς η αξία των κλοπιμαίων έφτασε αρχικά το ένα δισεκατομμύριο δολάρια, εκτινάχθηκε στα τρία δισεκατομμύρια μέσα σε λίγα λεπτά και άγγιξε τελικά τα 6,3 δισεκατομμύρια πριν συμπληρωθεί μισή ώρα.

Στη Binance, περίπου 100 εργαζόμενοι συγκροτούν ομάδα διαχείρισης κρίσης. Στις οθόνες τους, τα χρήματα συνεχίζουν να φεύγουν.

Η μεγαλύτερη κλοπή στην ιστορία των κρυπτονομισμάτων (αλλά και ευρύτερα η μεγαλύτερη κλοπή που έχει καταγραφεί ποτέ) εξελίσσεται σε μια αναμέτρηση ταχύτητας: από τη μία, όσοι προσπαθούν να εντοπίσουν και να δεσμεύσουν τα κλεμμένα περιουσιακά στοιχεία. Από την άλλη, ένας εξαιρετικά οργανωμένος αντίπαλος, που τα μεταφέρει, τα ανταλλάσσει και επιχειρεί να εξαφανίσει τα ίχνη τους μέσα σε χιλιάδες συναλλαγές.

Τα στοιχεία συγκλίνουν προς μια γνώριμη απειλή. Οι εταιρείες ανάλυσης συναλλαγών TRM Labs και Chainalysis αποδίδουν με υψηλό βαθμό βεβαιότητας την επίθεση σε κρατικά υποστηριζόμενους χάκερ της Βόρειας Κορέας. Η οριστική διαδρομή της εισβολής, ωστόσο, παραμένει υπό διερεύνηση — και η αρχική εξήγηση για έναν παραβιασμένο υπολογιστή μηχανικού αποδεικνύεται ανεπαρκής.

Οι δοκιμές πριν από το χτύπημα

Η επίθεση δεν αρχίζει τη στιγμή που αδειάζουν τα ψηφιακά πορτοφόλια. Σύμφωνα με τα ευρήματα της Elliptic, την προηγουμένη ο επιτιθέμενος πραγματοποιεί τρεις μικρές μεταφορές κρυπτονομισμάτων μέσω του Tornado Cash, μιας υπηρεσίας που χρησιμοποιείται για να δυσκολεύει την ανίχνευση της προέλευσης κεφαλαίων.

Περίπου τέσσερις ώρες πριν από την επίθεση, δοκιμάζει το κακόβουλο λογισμικό σε δύο άλλα ψηφιακά πορτοφόλια.

Λίγο μετά τις 8 το βράδυ της Πέμπτης, ώρα Λονδίνου, πέντε πορτοφόλια της Binance χάνουν αιφνιδίως περίπου 300 εκατ. δολάρια. Οι μεταφορές επαναλαμβάνονται. Σχεδόν ολόκληρο το ποσό των 6,3 δισ. δολαρίων αφαιρείται μέσα στα πρώτα 30 λεπτά, ενώ ακολουθεί ένα δεύτερο, πολύ μικρότερο κύμα αναλήψεων περίπου τρεις ώρες αργότερα.

Οι αυτοματοποιημένες ειδοποιήσεις των εταιρειών ασφαλείας αρχίζουν να φτάνουν σε μεγάλους επενδυτές. Μέσα στη Binance, η διοίκηση αναζητεί επειγόντως τις διευθύνσεις στις οποίες καταλήγουν τα κεφάλαια και επικοινωνεί με εταιρείες που μπορούν ακόμη να εμποδίσουν τη μετακίνησή τους.

Ένας υπολογιστής δεν εξηγεί όλη την επίθεση

Η πρώτη έρευνα της Binance υποδεικνύει παραβίαση του φορητού υπολογιστή ενός μηχανικού λογισμικού, μέσω της οποίας πραγματοποιούνται μη εξουσιοδοτημένες αναλήψεις. Το λαπτοπ αυτό ήταν η κερκόπορτα μας λένε.

Στη συνέχεια, η εικόνα αλλάζει. Ο συνδιευθύνων σύμβουλος Ρίτσαρντ Τενγκ διευκρινίζει ότι οι δράστες δεν χρησιμοποίησαν απλώς τα δικαιώματα πρόσβασης ενός εργαζομένου και ότι δεν επρόκειτο για ενέργεια «με ένα κλικ». Μάλιστα με «μηχανισμό αυτοκαστροφής» σβήνονταν τα εργαλεία που χρησιμοποιούσα οι χάκερς. Η εταιρεία εντοπίζει πρόσθετα σημεία παραβίασης και προχωρά σε ανακατασκευή και επανέλεγχο ολόκληρης της τεχνολογικής υποδομής της.

Οι υπολογιστές μηχανικών αποτελούν ελκυστικούς στόχους επειδή συχνά παρέχουν προνομιακή πρόσβαση σε πολλά τμήματα ενός συστήματος. Μια τέτοια παραβίαση μπορεί να επιτρέψει στους εισβολείς να μελετήσουν τόσο τις τεχνικές δικλίδες όσο και τις εσωτερικές διαδικασίες έγκρισης μεταφορών.

Στην προκειμένη περίπτωση, οι ερευνητές εξετάζουν και την πρόσβαση στο σύστημα ψηφιακής υπογραφής των διαδικτυακά συνδεδεμένων πορτοφολιών της Binance. Ether αξίας 3,8 δισ. δολαρίων φέρεται να αφαιρέθηκαν με εκμετάλλευση λειτουργίας που επιτρέπει στους χρήστες να αναθέτουν σε αυτοματοποιημένο λογισμικό την εξουσιοδότηση συναλλαγών.

Γιατί τα ίχνη οδηγούν στη Βόρεια Κορέα

Στο επίκεντρο των υποψιών βρίσκεται η TraderTraitor, βορειοκορεατική μονάδα κυβερνοεπιθέσεων που συνδέεται με την ομάδα Lazarus.

Η μέθοδος παρουσιάζει χαρακτηριστικά προηγούμενων επιχειρήσεών της: αρχική παραβίαση υπολογιστή προγραμματιστή ή μηχανικού, αναγνώριση των συστημάτων και προετοιμασία μιας επίθεσης προσαρμοσμένης στις διαδικασίες μεταφοράς κεφαλαίων του στόχου.

Το FBI έχει συνδέσει την TraderTraitor με τουλάχιστον τρεις κλοπές κρυπτονομισμάτων από το 2023, μεταξύ των οποίων την επίθεση ύψους 1,5 δισ. δολαρίων στη Bybit το 2025 — τη μεγαλύτερη μέχρι το χτύπημα στη Binance.

Υπάρχει και ένα πιο συγκεκριμένο εύρημα: ερευνητές της Chainalysis εντοπίζουν κεφάλαια από τη Binance σε ορισμένα από τα ίδια πορτοφόλια που είχαν χρησιμοποιηθεί για την υποδοχή κλεμμένων περιουσιακών στοιχείων από την Bitget. Εκείνη η επίθεση, τον προηγούμενο μήνα, είχε αφαιρέσει σχεδόν 400 εκατ. δολάρια και είχε επίσης συνδεθεί με βορειοκορεάτες χάκερ.

Η Πιονγιάνγκ αρνείται διαχρονικά ότι χρηματοδοτείται μέσω κυβερνοεγκλήματος. Οι εκτιμήσεις των εταιρειών ανάλυσης για τη συγκεκριμένη επίθεση παραμένουν αποδόσεις ευθύνης βάσει ερευνητικών ευρημάτων.

Ο αγώνας για να «παγώσουν» τα χρήματα

Δεν έχουν όλα τα κρυπτονομίσματα τις ίδιες δυνατότητες δέσμευσης.

Οι εκδότες ψηφιακών νομισμάτων συνδεδεμένων με το δολάριο, όπως η Tether και η Circle, μπορούν να μπλοκάρουν συγκεκριμένες διευθύνσεις και να δεσμεύσουν τα νομίσματά τους. Η Binance στρέφεται άμεσα σε αυτούς.

Στις 9.01 το βράδυ, ώρα Λονδίνου, η Tether εκδίδει εντολή αποκλεισμού των πορτοφολιών των δραστών. Τρία λεπτά αργότερα ακολουθεί η Circle.

Σύμφωνα με την Elliptic, οι παρεμβάσεις δεσμεύουν αμέσως 1,6 δισ. δολάρια σε νομίσματα της Tether και 825 εκατ. δολάρια σε νομίσματα της Circle. Ακόμη 200 εκατ. δολάρια μπλοκάρονται όταν μεταφέρονται από τη Binance σε ήδη αποκλεισμένες διευθύνσεις. Άλλες εταιρείες δεσμεύουν επιπλέον ψηφιακά περιουσιακά στοιχεία.

Οι δράστες, όμως, έχουν προετοιμαστεί και για αυτή την αντίδραση. Σπεύδουν να ανταλλάξουν νομίσματα που μπορούν να δεσμευτούν με άλλα που δεν διαθέτουν αντίστοιχο μηχανισμό, αποδεχόμενοι ακόμη και σημαντικές απώλειες για να προλάβουν τους αποκλεισμούς.

Σε μία από τις κινήσεις τους, τοποθετούν ψηφιακά νομίσματα αξίας 60 εκατ. δολαρίων στην πλατφόρμα δανεισμού Aave και τα χρησιμοποιούν ως ενέχυρο για να δανειστούν σχεδόν 20.000 μονάδες αιθέρα, αξίας περίπου 44,6 εκατ. δολαρίων εκείνη τη στιγμή.

Τι γνωρίζουμε για το 80%

Οι εκτιμήσεις για τα κεφάλαια που παραμένουν υπό τον έλεγχο των δραστών αποτυπώνουν διαφορετικά στάδια της έρευνας.

Η Elliptic υπολογίζει ότι, μέσα στις πρώτες ώρες, οι χάκερ ελέγχουν τουλάχιστον 3,33 δισ. δολάρια. Η TRM εκτιμά ότι έχουν διαφύγει περίπου 2,4 δισ. δολάρια σε κρυπτονομίσματα χωρίς δυνατότητα κεντρικής δέσμευσης.

Σε νεότερη δήλωση, την Παρασκευή, εκπρόσωπος της Binance αναφέρει ότι έχει διασφαλιστεί περίπου το 80% των κλεμμένων περιουσιακών στοιχείων, ενώ το υπόλοιπο εξακολουθεί να αναζητείται. Η διατύπωση αυτή δεν διευκρινίζει ότι το σύνολο του συγκεκριμένου ποσοστού έχει ήδη επιστρέψει στα πορτοφόλια της εταιρείας.

Η Binance επιμένει ότι τα κεφάλαια των χρηστών είναι ασφαλή και ότι θα καλύψει τις απώλειες. Η αναστολή των αναλήψεων, πάντως, πυροδοτεί ανησυχία και συγκρίσεις στα κοινωνικά δίκτυα με την κατάρρευση της FTX.

Χιλιάδες συναλλαγές για να χαθούν τα ίχνη

Η μεταφορά των κλεμμένων κεφαλαίων συνεχίζεται μέσα από εκατοντάδες πορτοφόλια.

Η Chainalysis περιγράφει μοτίβα νομιμοποίησης εσόδων που δεν έχει παρατηρήσει ξανά. Κατά τη μετακίνηση χρημάτων προς το δίκτυο Tron, οι ερευνητές καταγράφουν χιλιάδες συναλλαγές σε σύντομο διάστημα, με τα κεφάλαια να πηγαινοέρχονται ανάμεσα σε διευθύνσεις μέσω ταχύτατων, αυτοματοποιημένων διαδικασιών.

Η πιθανή χρήση τεχνητής νοημοσύνης στην εισβολή αποτελεί υπό εξέταση ενδεχόμενο, όχι επιβεβαιωμένο εύρημα.

Μία εβδομάδα πριν από την επίθεση, ο ιδρυτής της Binance, Τσανγκπένγκ Ζάο, είχε προειδοποιήσει ότι κανένα ψηφιακό πορτοφόλι δεν είναι απολύτως ασφαλές. Τώρα, η εταιρεία καλείται να αποκαταστήσει την υποδομή της, να εντοπίσει τα υπόλοιπα κεφάλαια και να πείσει τους πελάτες της ότι μπορεί να προστατεύσει τα περιουσιακά τους στοιχεία.

naftemporiki.gr με πληροφορίες από BBC, Wall Street Journal, FT