Un grup de hackeri au furat criptomonede în valoare de aproximativ 6,3 miliarde de dolari de pe Binance, cea mai mare platformă de tranzacționare a activelor digitale din lume. Atacul, produs joi, 29 octombrie 2026, a fost pregătit cu cel puțin 36 de ore înainte. Cea mai mare parte a banilor a dispărut în numai 20 de minute. Primele investigații indică faptul că atacatorii au pătruns în sistemele informatice ale companiei și au reușit să autorizeze transferuri către propriile portofele digitale. Specialiștii în securitate cibernetică suspectează implicarea unui grup de hackeri nord-coreeni, responsabil și pentru alte furturi de criptomonede.
Cum au pătruns hackerii în sistemele Binance
Jaful depășește de peste patru ori precedentul record, înregistrat în februarie 2025, când aproximativ 1,5 miliarde de dolari au fost sustrase de pe platforma Bybit. Compania de analiză Elliptic consideră că atacul asupra Binance ar putea reprezenta cel mai mare furt cunoscut din istorie, indiferent de natura bunurilor sustrase.
Ancheta internă a companiei indică drept posibil punct de plecare laptopul compromis al unui inginer DevOps, responsabil de administrarea și funcționarea unor servicii informatice. Prin intermediul dispozitivului, atacatorii ar fi obținut acces la un sistem folosit pentru procesarea retragerilor de criptomonede.
Binance a precizat că verificările nu au identificat dovezi privind divulgarea cheilor private, codurile criptografice care permit controlul asupra fondurilor din portofelele digitale.
„Nu am găsit dovezi că ar fi fost divulgate cheile private ale vreunui portofel”, a transmis compania într-un comunicat publicat vineri, 30 octombrie.
Ulterior, Binance a anunțat că investigația a identificat și alte puncte prin care atacatorii au pătruns în sistem, fără să ofere detalii suplimentare.
Specialiștii companiei americane TRM Labs au ajuns la concluzia că hackerii au compromis sistemul care autorizează tranzacțiile. În loc să obțină direct cheile private, ar fi reușit să determine serviciile Binance să aprobe transferurile frauduloase.
Portofelele vizate erau conectate permanent la internet și erau utilizate pentru efectuarea rapidă a tranzacțiilor. Ele sunt cunoscute sub denumirea de hot wallets și sunt mai expuse atacurilor informatice decât portofelele păstrate offline.
Potrivit TRM Labs, pregătirile au început cu cel puțin 36 de ore înaintea furtului. Pe 28 octombrie, un portofel controlat de atacatori a primit trei transferuri mici prin Tornado Cash, un serviciu folosit pentru a îngreuna identificarea originii criptomonedelor. În ziua următoare, hackerii au testat programele pregătite pentru atac, înainte de a le utiliza împotriva Binance.
Pe rețeaua Ethereum, au exploatat o funcționalitate introdusă în 2025, care permite unui portofel digital să execute instrucțiuni prin intermediul unui program specializat. Atacatorii au pregătit 50 de autorizări semnate în prealabil, astfel încât să poată prelua controlul asupra unuia dintre portofelele companiei.
Miliarde de dolari transferate în aproximativ 20 de minute
Primele retrageri frauduloase au avut loc joi, în jurul orei 22:05, ora României. Cinci portofele Binance au transferat aproximativ 233 de milioane de unități XRP, evaluate la aproape 300 de milioane de dolari, către o singură adresă controlată de atacatori.
În minutele următoare, au început să dispară criptomonede și de pe alte rețele, printre care Solana, Bitcoin, Tron și Ethereum.
În jurul orei 22:20, dintr-un portofel Bitcoin au fost retrași 18.270 de bitcoini, în valoare de aproximativ 1,47 miliarde de dolari. Hackerii au început imediat să împartă suma în tranșe mai mici, transferate către mai multe adrese digitale, pentru a îngreuna urmărirea banilor.
La numai două minute, un alt portofel Binance a transferat criptomonede în valoare de peste 600 de milioane de dolari pe rețeaua Tron.
Cele mai mari pierderi au fost înregistrate pe Ethereum, unde atacatorii au retras active evaluate la aproximativ 3,8 miliarde de dolari. O singură tranzacție, efectuată în jurul orei 22:24, a reprezentat peste 2,5 miliarde de dolari.
Potrivit Elliptic, hackerii au obținut controlul asupra a 186 de tipuri de active digitale de pe Ethereum, inclusiv Ether, USDT și USDC.
După primele retrageri, atacatorii au continuat să transfere fonduri din portofelele compromise. O nouă serie de tranzacții a fost înregistrată aproximativ trei ore mai târziu, pe rețelele Avalanche și Polygon.
În total, operațiunea a afectat portofele Binance de pe mai multe rețele blockchain, iar valoarea exactă a criptomonedelor furate diferă ușor între estimările companiilor de analiză. Binance a evaluat pierderile la aproximativ 6,3 miliarde de dolari, în timp ce Elliptic a calculat o sumă de 6,43 miliarde de dolari, pe baza valorii activelor în momentul furtului.
Aproximativ trei miliarde de dolari au fost blocate
Imediat după identificarea atacului, Binance a suspendat temporar retragerile de criptomonede și a început verificarea sistemelor de securitate. Compania a colaborat cu autoritățile și cu firmele care emit anumite monede digitale pentru a împiedica transferarea fondurilor furate.
Până vineri, 30 octombrie, aproximativ trei miliarde de dolari au fost blocate, potrivit Binance.
O parte importantă a banilor a fost recuperată de sub controlul imediat al atacatorilor prin intervenția companiilor Tether și Circle, care emit USDT și USDC. Ambele sunt criptomonede concepute să își mențină valoarea în apropierea unui dolar american.
Spre deosebire de Bitcoin, asemenea monede pot fi blocate de emitenții lor, dacă sunt identificate portofele implicate în activități ilegale. Măsura împiedică transferarea fondurilor, dar nu înseamnă că banii au fost deja restituiți proprietarilor.
Hackerii au încercat să evite blocarea sumelor prin schimbarea criptomonedelor furate în Bitcoin, Ether și alte active asupra cărora nu există aceeași posibilitate de intervenție.
Elliptic a identificat schimburi de criptomonede în valoare de sute de milioane de dolari. Într-unul dintre cazuri, atacatorii au transformat 434 de milioane de unități USDT în Ether, acceptând pierderi considerabile la schimb pentru a efectua tranzacțiile cât mai repede.
Au utilizat și platforma de împrumuturi Aave, unde au depus aproximativ 60 de milioane de dolari în criptomonede drept garanție pentru a împrumuta Ether.
TRM Labs a estimat că aproximativ 2,4 miliarde de dolari în Bitcoin și Ether se aflau deja în afara posibilității de blocare directă de către emitenți.
Binance a anunțat că va acoperi integral pierderile prin fondul său de protecție a utilizatorilor, SAFU, și din resursele financiare proprii. Fondul dispune de o rezervă în Bitcoin evaluată la aproximativ un miliard de dolari.
Compania a precizat că fondurile clienților sunt în siguranță și că va publica un raport tehnic după încheierea investigației.
Hackerii nord-coreeni, suspectați de organizarea atacului
TRM Labs și Chainalysis, două companii americane specializate în investigarea tranzacțiilor cu criptomonede, consideră că atacul ar putea fi opera grupului TraderTraitor, asociat Coreei de Nord.
TRM Labs susține că dispune de indicii solide privind implicarea grupării, atât din analiza tranzacțiilor, cât și din alte informații obținute în timpul investigației.
TraderTraitor este asociat grupului Lazarus, căruia autoritățile americane i-au atribuit numeroase atacuri informatice asupra instituțiilor financiare și platformelor de criptomonede.
În februarie 2025, hackeri nord-coreeni au sustras aproximativ 1,5 miliarde de dolari de pe platforma Bybit. FBI a atribuit oficial atacul Coreei de Nord.
Specialiștii au identificat asemănări între cele două operațiuni. În ambele cazuri, hackerii au pătruns în sistemele folosite pentru autorizarea tranzacțiilor, fără să fie necesară compromiterea mecanismelor criptografice care protejează monedele.
Elliptic a descoperit și că o parte dintre fondurile furate de la Binance au ajuns la o adresă digitală utilizată anterior pentru transferarea unor criptomonede provenite dintr-un atac asupra platformei Bitget, atribuit provizoriu unor hackeri nord-coreeni.
Autoritățile americane acuză de mai mulți ani regimul de la Phenian că utilizează furturile de criptomonede pentru a obține valută și a finanța programele sale militare. Coreea de Nord respinge în mod obișnuit acuzațiile privind implicarea în atacuri informatice.
Binance nu a confirmat identitatea autorilor. Compania colaborează cu autoritățile, inclusiv cu FBI și Serviciul Secret al Statelor Unite, pentru identificarea atacatorilor și recuperarea fondurilor.