החתימות היו אמיתיות. העסקה שאושרה הייתה זדונית.
גניבת נכסי קריפטו דרך ספק הארנק, למרות שימוש בכמה חותמים לאישור העסקה.
שווי הנכסים שנגנבו
אומדן ה-FBI בסמוך לאירוע.[1]
מועד הגניבה
הגניבה בוצעה במהלך העברה מארנק קר.[1]
אישור עסקה בכמה חתימות
החותמים אישרו עסקה שהוצגה להם באופן מטעה.[3]
האירוע בקצרה
ב-21 בפברואר 2025 נגנבו נכסים מארנק Ethereum קר של בורסת הקריפטו Bybit. לפי ממצאי החקירה הראשוניים שפרסמה החברה, התוקפים פגעו בסביבת ספק הארנק Safe{Wallet} והטעו את החותמים לגבי העסקה שאישרו. ה-FBI ייחס את הגניבה לצפון קוריאה.
הפעולה השגרתית שהפכה לאירוע
Bybit תיארה העברה מתוכננת מארנק קר, שמפתחותיו נשמרים בנפרד מהסביבה המקוונת, לארנק חם המשמש לפעילות שוטפת. ממשק החתימה הציג לחותמים עסקה שנראתה תקינה, אך הפעולה שאושרה בפועל אפשרה לתוקפים להשתלט על הארנק.[3]
החקירה מול ספק הארנק
בהודעתה מ-26 בפברואר מסרה Bybit שהתוקפים השיגו גישה באמצעות פרטי הגישה של מפתח בחברת Safe ופגעו בסביבת הספק. בבדיקות Sygnia ו-Verichains לא נמצאו סימני חדירה לתשתית Bybit.[2]
הייחוס של ה-FBI
ה-FBI דיווח על גניבה בשווי של כ-1.5 מיליארד דולר וייחס אותה לצפון קוריאה, בפעילות שהוא עוקב אחריה בשם TraderTraitor.[1]
ציר זמן
- 21 בפברואר 2025דיווח החברה
העברה מארנק קר
לפי Bybit, במהלך העברה שגרתית נוצלה סביבת החתימה להעברת שליטה בארנק ולמשיכת נכסים ממנו.[3]
- 21–22 בפברואר 2025דיווח החברה
תגובה פומבית וניהול נזילות
הנהלת הבורסה פרסמה עדכונים, טיפלה בבקשות משיכה ופנתה לשותפים ולחוקרי בלוקצ׳יין.[3]
- 25 בפברואר 2025דיווח החברה
הרחבת מאמצי ההשבה
החברה הודיעה על תוכנית תגמולים ומעקב אחר הכספים במסגרת LazarusBounty.[3]
- 26 בפברואר 2025דיווח החברה
ממצאי חקירה ראשוניים
Bybit פרסמה ממצאים מבדיקות Sygnia ו-Verichains לגבי סביבת Safe{Wallet} ותהליך אישור העסקה.[2]
- 26 בפברואר 2025
ה-FBI מפרסם ייחוס
הודעה רשמית ייחסה את הגניבה לצפון קוריאה וכללה מידע על כתובות ששימשו להעברת הנכסים.[1]
מה קרה טכנית
השפעה עסקית ועלויות
כל סכום מוצג עם סוג ההוצאה והתקופה שלו. סיוע מימוני, נכסים שנגנבו ודרישת כופר אינם בהכרח עלות בפועל.
שווי נכסי הקריפטו שנגנבו בסמוך לאירוע. הסכום אינו מתאר הוצאות שיקום או תשלום כופר.[1]
Bybit דיווחה על מאמצים להבטחת משיכות ולכיסוי הפער בנכסים. מימון כזה אינו זהה להשבת נכסים מידי התוקפים.[3]
החברה הפעילה תוכנית תגמולים ושיתופי פעולה לאיתור כספים. בתיק לא נקבע שיעור השבה כולל ועדכני.[3]
התוקפים וטענות האחריות
ה-FBI ייחס את הגניבה לצפון קוריאה ולפעילות המכונה TraderTraitor. פרופיל Lazarus מספק הקשר רחב יותר לפעילות הצפון קוריאנית; שמות המעקב אינם בהכרח חופפים בכל פעילות.[1]
לפרופיל במאגר התוקפיםלקחים למנהלים ולאנשי אבטחה
לאמת בנפרד את פרטי העסקה ותוצאתה
בפעולה כספית קריטית כדאי לאמת יעד, הרשאות ותוצאת עסקה בערוץ שאינו מסתמך על אותו ממשק חתימה.
להגן על שרשרת הבנייה וההפצה
בדיקת ספקים צריכה לכלול את סביבת הפיתוח, ניהול המפתחות ודרך הפצת הקוד שמגיע למשתמשים.
להיערך למשבר אמון ולנזילות
תוכנית תגובה לבורסה צריכה לכסות גם פניות לקוחות, קצב משיכות ותקשורת עם שותפים ורשויות.
מה עדיין אינו ידוע
- דוחות החקירה הראשוניים אינם בהכרח תיאור סופי של כל שלבי הפגיעה בספק.
- אין בתיק אומדן מאומת של כלל ההוצאות או שיעור ההשבה המצטבר נכון להיום.
הסיקור בחדשות סייבר
מקורות, מחקרים ותחקירים
המספרים בגוף התיק מפנים למקורות שלהלן. לצד כל מקור מופיע מועד פרסומו; מועד בדיקת התיק מצוין בראש העמוד.
- 1
- 2
- 3
- 4
