כך נגנבו מיליארדים דרך שירות החתימה של הבורסה
מראיונות עבודה מזויפים וגישה לכלי AI פנימי, אל חתימות תקפות והרשאה זדונית על הבלוקצ׳יין. שרשרת התקיפה, המרדף אחרי הכסף והחזרה ההדרגתית לפעילות.
נכסים שנפגעו באירוע
הערכת Binance בתחקיר הראשוני מ-3 בנובמבר.[1]
נכסים שהוקפאו או נעצרו
דיווח החברה מ-3 בנובמבר. הקפאה אינה החזרה לבורסה.[1]
השלמת נכסים מכספי החברה
עדכון 4 בנובמבר: השלמת הנכסים שנגנבו מכספי Binance, ולא שיעור הכספים שהושבו מהתוקפים.[4]
האירוע בקצרה
ב-29 באוקטובר 2026 נגנבו נכסים מארנקים חמים של Binance בכמה רשתות בלוקצ׳יין. התיק מחבר בין התחקיר הראשוני של החברה, ניתוחי הפעילות ברשת והייחוס הרשמי ל-TraderTraitor. הוא מפריד בין סכום הגניבה, נכסים שהוקפאו והשלמת יתרות מכספי הבורסה. תמונת המצב מעודכנת ל-5 בנובמבר, והחקירה עדיין נמשכת.
הבורסה והארנקים החמים
ארנק חם מחובר למערכות התפעול ומשמש, בין היתר, למשיכות לקוחות. לפי TRM Labs, האירוע הקיף עשר רשתות; על Ethereum הופעלה האצלת סמכות זדונית, וברשתות נוספות נשלחו העברות עם חתימות תקפות.[7]
גישה לחתימה אינה בהכרח גניבת מפתח
בעדכון מ-30 באוקטובר מסרה Binance שלא נמצאה ראיה לדליפת מפתחות פרטיים. סיווג כללי במאגר תקיפות כגניבת מפתח אינו מוכיח שזה מה שקרה. בתיק הזה מתוארת פגיעה בתשתית החתימה, בהתאם למידע שפורסם.[2]
מה מצב השירות כעת?
ב-5 בנובמבר הודיעה החברה על פתיחת משיכות לנכסים נוספים החל מ-04:00 UTC, בכפוף לבדיקות ובשלבים. זהו תיעוד של תהליך התאוששות פעיל, ולא הודעה שכל המשיכות חזרו במלואן.[5]
ציר זמן
- יוני–ספטמבר 2026דיווח החברה
הכנת הגישה דרך מפתחים
לפי החברה, מתקין Homebrew זדוני חשף מידע על צוות הארנקים; בהמשך, מטלת גיוס מזויפת הדביקה מחשב של מהנדס נוסף.[1]
- 20–29 באוקטובר 2026דיווח החברה
מגישה פנימית לשירות החתימה
לדברי Binance, התוקפים התקדמו בעזרת כלי AI פנימי, השיגו טוקן פריסה והפעילו קונטיינר זדוני בתשתית הארנקים.[1]
- 29 באוקטובר · 20:05 UTCמחקר וחקירה
העברות מתחילות בכמה רשתות
TRM תיעדה את תחילת הגניבה בסביבות 20:05. רוב הכספים יצאו בתוך כעשרים דקות; פעילות נוספת נמשכה בהמשך הערב.[7]
- 29 באוקטובר · 20:20:59 UTCמחקר וחקירה
עסקה אחת, 50 הרשאות
Blockaid זיהתה עסקה מסוג 4 ובה חמישים הרשאות עם ערכי nonce עוקבים. אחת התאימה למצב החשבון והפעילה את ההאצלה הזדונית.[8]
- 29 באוקטובר · 20:24:23 UTCמחקר וחקירה
כ-2.5 מיליארד דולר בהעברה אחת
לפי Blockaid, הארנק המואצל העביר ETH ועשרות סוגי טוקנים לכתובת התוקף. ההרשאה אפשרה גם ריקון של כספים שהגיעו אליו מאוחר יותר.[8]
- 30 באוקטובר · 00:10 UTCדיווח החברה
ביטול ההאצלה על הבלוקצ׳יין
החברה מדווחת שההרשאה בוטלה באמצעות הפניה לכתובת האפס. השבתת המשיכות במערכת הבורסה לבדה לא ביטלה אותה.[1]
- 31 באוקטובר 2026
ייחוס רשמי לצפון קוריאה
ה-FBI ייחס את הגניבה לצפון קוריאה וזיהה את פעילות התוקפים בשם TraderTraitor. פורסמו גם כתובות למעקב ולחסימה.[6]
- 1 בנובמבר 2026דיווח החברה
הודעה על חזרה למשיכות בשלבים
Binance פרסמה חלון מתוכנן לפתיחת שלב ראשון בין 06:00 ל-09:00 UTC. החזרה הוגדרה לפי נכסים ורשתות, ולא כפתיחה גורפת.[3]
- 3 בנובמבר 2026
- 4–5 בנובמבר 2026
מה קרה טכנית
שרשרת גישה אנושית ותפעולית
לפי החברה, הגישה ממחשב עובד ומהתשתית הפנימית אפשרה שימוש בשירות החתימה מחוץ למסלול המשיכות הרגיל.[1]
מה עושה EIP-7702?
המנגנון מאפשר לחשבון Ethereum להצביע על קוד של חוזה שירוץ בהקשר שלו, באמצעות הרשאה חתומה. ההרשאה נשמרת ברשת עד שמשנים או מבטלים אותה; סגירת מערכת המשיכות אינה משנה את מצב החשבון על הבלוקצ׳יין.[11]
מהו nonce ולמה היו 50 הרשאות?
nonce הוא מונה של החשבון. עסקאות יוצאות מקדמות אותו, וגם הרשאת EIP-7702 תקפה מגדילה אותו. אם המונה כבר התקדם מ-100 ל-101, הרשאה ל-100 תיפסל. בארנק עמוס המונה משתנה במהירות; לפי TRM, התוקפים הכינו חמישים הרשאות חתומות לערכים עוקבים כדי לכסות חלון כזה.[12][11][7]
מה בדיוק התקבל ברשת?
לפי Blockaid, טווח הערכים היה 18,914,775 עד 18,914,824. עסקה אחת כללה את חמישים ההרשאות, ורק אחת התקבלה. המפרט מורה לדלג על הרשאה שאינה עוברת את הבדיקות ולהמשיך לבאה. ההבחנה בין הרשאות לבין עסקאות חשובה להבנת המתקפה.[8][11]
MPC לא ביטל הרשאה שכבר נוצרה
לפי Binance, חתימת MPC המבוזרת חייבה הליך ביטול ייעודי. נדרשת גם בדיקת המשמעות העסקית של פעולה חתומה.[1]
השפעה עסקית ועלויות
כל סכום מוצג עם סוג ההוצאה והתקופה שלו. סיוע מימוני, נכסים שנגנבו ודרישת כופר אינם בהכרח עלות בפועל.
ההיקף אינו עלות סופית נטו. ההערכה המוקדמת של TRM הייתה כ-6.36 מיליארד דולר; ההערכות משקפות מדידות בזמנים שונים.[1][7]
הקפאה אינה החזרה לבורסה. אין להציג את ההפרש מהגניבה כעלות סופית.[1]
החברה מסרה שהקצתה יותר מ-100% מהמימון הנדרש. היתרה להשלמה כללה נכסים פחות נזילים. צילום היתרות הורחב ל-44 טוקנים; פרסום צילום אינו שקול להשלמת ביקורת עצמאית מלאה.[4]
התוקפים וטענות האחריות
זהו השם שבו משתמש ה-FBI לייחוס הפעילות הצפון-קוריאנית באירוע. פרופיל Lazarus Group מקושר כהקשר רחב לפעילות צפון קוריאה; הקישור אינו קביעה שכל פעילות המיוחסת ללזרוס בוצעה בידי אותו צוות.[6]
לפרופיל במאגר התוקפיםלקחים למנהלים ולאנשי אבטחה
לאשר את משמעות החתימה
מדיניות החתימה צריכה לבדוק גם האצלת סמכויות ושינוי קוד חשבון. בקרות סכום וכתובת יעד של העברה רגילה אינן מכסות בהכרח הרשאה לפעולות עתידיות.
להפריד כלי פיתוח מתשתית הארנקים
יש לצמצם את ההרשאות הזמינות ממחשבי מפתחים ומכלי AI פנימיים, להגן על טוקני פריסה ולהריץ מטלות גיוס וקוד לא מוכר בסביבה מבודדת.
לתרגל ביטול הרשאות ברשת
נוהל חירום צריך לכלול ביטול האצלות, טיפול בחתימות שהופקו מראש ובדיקה לפני שמזרימים שוב כסף לארנק חשוד, גם כשמערכת המשיכות כבר הושבתה.
לנהל שלושה מאזנים נפרדים
בדיווח לציבור יש להבחין בין נכסים שנגנבו, נכסים שהוקפאו ונכסים שנרכשו לכיסוי היתרות. כך ניתן לעקוב אחרי ההתאוששות בלי לבלבל אותה עם השבת כספי הגניבה.
מה עדיין אינו ידוע
- התחקיר של Binance מוגדר ראשוני. טרם פורסם במקורות שנבדקו דוח סופי של הבדיקה העצמאית.
- לא פורסמו כל הפרטים הטכניים של הגישה דרך כלי ה-AI. אין בסיס לקבוע שהיה מדובר ב-prompt injection או בחולשת יום אפס מסוימת.
- עדיין אין עלות סופית נטו, סכום סופי שהוחזר לבורסה או חשבון מלא של הוצאות התגובה.
- אין להסיק שמנגנון EIP-7702 מסביר את ההעברות בכל הרשתות. ניתוחי החוקרים מתארים גם העברות רגילות עם חתימות תקפות.
הסיקור בחדשות סייבר
מקורות, מחקרים ותחקירים
המספרים בגוף התיק מפנים למקורות שלהלן. לצד כל מקור מופיע מועד פרסומו; מועד בדיקת התיק מצוין בראש העמוד.
- 1
- 2
- 3
- 4
- 5
- 6
- 7
- 8
- 9
- 10
- 11מחקר וחקירה7 במאי 2024, מפרט מתעדכןמפרט EIP-7702: הרשאות לביצוע קוד בחשבונות
Ethereum Improvement Proposals
- 12
