בייננס: פריצה בהיקף של כ־6.3 מיליארד דולר, ככל הנראה דרך מחשב נייד של מהנדס, וכ־3 מיליארד כבר הוקפאו

בייננס, בורסת הקריפטו הגדולה בעולם, מעריכה שנכסים בשווי כ־6.3 מיליארד דולר נפגעו בפריצה שהתגלתה ביום חמישי בערב. לפי הבדיקה הראשונית שלה, ייתכן שנקודת הכניסה הייתה מחשב נייד פרוץ של מהנדס DevOps (האחראי על תשתיות ופריסת מערכות) בחברה. ההערכות לגבי הסכום עדיין לא מתיישבות: ספירה און־צ׳יין שפרסם Decrypt הגיעה ללפחות 5.57 מיליארד דולר, Chainalysis מעריכה 5.912 מיליארד בזמן הגניבה, ומנכ״ל החברה ג׳ונתן לוין כתב ב־X על 6.4 מיליארד. גם הקצה הנמוך של הטווח גדול פי יותר משלושה מהגניבה מביביט בפברואר 2025, כ־1.5 מיליארד דולר, שלפי Decrypt ו־ynet הייתה עד עכשיו השיא הקודם.

בייננס הודיעה שתכסה את כל ההפסדים מקרן החירום SAFU ומכספי החברה, והמנכ״לית המשותפת יי הה הבטיחה שכספי המשתמשים בטוחים. לפי העדכון האחרון של הבורסה, ההפקדות פועלות כרגיל והמשיכות צפויות להתחדש בתוך 48 שעות, אחרי שדרוג אבטחה של שירות המשיכות.

חתימה אחת ושלוש דקות: כך רוקנו הארנקים החמים

לפי בייננס, ייתכן שהפריצה למחשב של המהנדס איפשרה לתוקף לגשת לקונטיינר שירות ולשלוח בקשות משיכה לא מורשות. הבורסה מסרה שלא מצאה עדות לדליפה של מפתחות פרטיים, והחקירה נמשכת. עידו בן־נתן, מנכ״ל חברת האבטחה Blockaid, מעריך בשלב ראשוני שמדובר ב"שימוש לרעה במפתח", כלומר התוקף משתלט על מערכת החתימה וגורם לה לאשר עסקאות זדוניות בלי לחלץ את המפתח עצמו.

הכסף נמשך מכמה ארנקים חמים, ארנקים שמחוברים לרשת ומשמשים לעיבוד משיכות שוטפות. לפי Decrypt, כתובת שמומנה דרך המיקסר Tornado Cash (שירות שמטשטש את מסלול התשלומים) הגישה האצלה לאחד מהם באמצעות EIP-7702, מנגנון באת׳ריום שמאפשר לארנק רגיל להריץ קוד של חוזה חכם. שלוש דקות ו־24 שניות אחר כך, ב־20:24 שעון UTC, יצאו מהארנק 167,464 ETH ועוד 63 העברות טוקנים, בהן 1.615 מיליארד USDT. לפי Blockaid, התוקף צירף 50 הרשאות כאלה לעסקה אחת, ואחת מהן התאימה למונה העסקאות של החשבון ולכן התקבלה.

החלוקה לפי רשתות, לפי Decrypt, הייתה 3.51 מיליארד דולר באת׳ריום, 1.44 מיליארד ב־18,270 ביטקוין ו־630 מיליון בטרון. לפי CoinDesk נלקחו כ־204,500 ETH, כ־5.6% מעתודות האת׳ריום של בייננס, כך שהגיבוי ליתרות האת׳ריום של הלקוחות ירד לכ־94% עד להשלמת החוסר. אחד הארנקים שנפגעו הופיע בדוח הוכחת הרזרבות של הבורסה מאוקטובר, הדוח שבו היא מציגה את הנכסים שמגבים את יתרות הלקוחות.

בן־נתן אומר שהאירוע "דומה מאוד" לפריצה לביביט ומזכיר פעולות של צפון קוריאה, אבל מדגיש שהייחוס לא אושר. לוין מ־Chainalysis הולך רחוק יותר ומעריך שהתוקפת היא ככל הנראה TraderTraitor, הקבוצה שנקשרה גם לניצול KelpDAO באפריל בהיקף 292 מיליון דולר. בייננס עצמה לא זיהתה את התוקפים.

מי הקפיא כמה: טת׳ר, סירקל ו־WLF

סטייבלקוין שמנפיקה חברה מרכזית אפשר לחסום בכתובת מסוימת, וזה מה שעשו המנפיקות בשעות הראשונות. בייננס מעריכה את ההיקף המאומת שהוקפא בכ־3 מיליארד דולר, לעומת 2.54 מיליארד בעדכון קודם.

World Liberty Financial, המזוהה עם משפחת טראמפ, פעלה יחד עם BitGo. גם First Digital הודיעה שהקפיאה את ה־FDUSD שנגנב.

הכסף שאי אפשר להקפיא

לפי רשומות Etherscan שניתח Decrypt, התוקף החליף סטייבלקוינים באת׳ר, שאין לו מנפיק שיכול לחסום אותו. ההמרות עברו דרך יוניסוואפ, ובפלטפורמת ההלוואות אאבה הוא הפקיד 60 מיליון USDT ולווה כנגדם 19,762 ETH. אאבה הקפיאה הפקדות והלוואות חדשות בשווקי V3 ו־V4, ומסרה שהחוזים שלה לא נפגעו. נכון ל־22:07 UTC ישבו כ־253 אלף ETH, כ־570 מיליון דולר, בשני ארנקים בלי העברות יוצאות, ולפי Kairos Research כ־17,270 ביטקוין לא זזו.

גם אם כל 3 המיליארד שהוקפאו יחזרו, נשאר פער של כ־3.3 מיליארד דולר. ב־SAFU מוחזקים לפי ynet כמיליארד דולר בביטקוין, פחות משליש מהפער, ואת היתרה בייננס אמרה שתממן מכספי החברה. מונרו, מטבע פרטיות שמסתיר את זהות השולח, עלה בכ־6% ל־637 דולר, ולפי Decrypt ייתכן שזה סימן להעברת כספים אליו. אחרי הפריצה לביביט, לפי מנכ״ל ביביט, קבוצת לזרוס המירה 84.45% מהאת׳ר הגנוב לביטקוין דרך Thorchain.

BNB וביטקוין בלחץ, ומיליארד דולר בחיסולים

הביטקוין היה חלש עוד לפני ההעברה הראשונה, אחרי מכירות במניות הטכנולוגיה ופרשנות ניצית (כזו שצופה ריבית גבוהה לאורך זמן) להחלטת הפד מ־28 באוקטובר להותיר את הריבית ללא שינוי. עם היוודע הפריצה הוא ירד ב־4.8% אל מתחת ל־77 אלף דולר, לפי גלובס לשפל של שישה שבועות, ובבוקר שישי נסחר סביב 77,400 דולר. האת׳ריום ירד ב־5.7%, BNB איבד כ־8% ונסחר בין 693 ל־715 דולר לפי מקורות שונים, AAVE ירד ב־11.3% ו־UNI ב־10.4%. לפי CoinGlass נרשמו כמעט מיליארד דולר בחיסולים (סגירה כפויה של פוזיציות ממונפות) ביממה, מהם כ־532 מיליון בשעה אחת. מדד הפחד והחמדנות ירד ל־30, הרמה הנמוכה שלו מאז 14 באוגוסט.

ג׳פרי קנדריק מסטנדרד צ׳רטרד צופה ירידות נוספות בטווח הקצר ואומר שרק אחרי שחרור הנכסים ופרסום פרטים נוספים יימצא בסיס חדש. בטווח הארוך הוא רואה מעבר לבורסות מבוזרות ומשאיר יעד של 100 דולר ל־UNI ב־2030. עושות השוק Wintermute ו־GSR דיווחו על חשיפה לבייננס של פחות מ־20% ופחות מ־5% מההון העצמי בהתאמה, ואמרו שאינן צופות פגיעה משמעותית בפעילות.

למשקיעים מישראל עם יתרה בבייננס

כספים בבורסת קריפטו אינם מבוטחים בידי ממשלה, ולכן מה שעומד מאחורי היתרה שלכם כרגע הוא ההתחייבות של בייננס עצמה. תמונת העתודות הבאה של הבורסה, ב־1 בנובמבר, תראה אם החוסר באת׳ריום הושלם. כשהמשיכות ייפתחו מחדש, מי שמחזיק מטבעות לטווח ארוך יכול לשקול להעביר אותם לארנק בשליטתו, לפי המדריך לשמירת ביטקוין בבטחה.

אם אתם מתכננים להעביר כסף לחשבון בנק ישראלי, הכינו דוחות עסקאות מראש. בנקים בישראל נוטים לעכב העברות מבורסות זרות ולבקש תיעוד על מקור הכספים, ועד 1 במאי 2027 עדיין חלה בדיקת מקור הכספים המחייבת מעל 100 אלף שקל בשנה (הפרטים על חוזר 2862). מי שמעדיף חשיפה לביטקוין בלי חשבון בבורסה זרה יכול להשתמש בקרנות המחקות ביטקוין שנסחרות כאן מאז 31 בדצמבר 2024, בדמי ניהול של כ־0.2% וניכוי מס במקור, או בקרנות סל אמריקאיות דרך חשבון מסחר רגיל. אם תמכרו עכשיו בהפסד, ההפסד הממומש יקוזז מרווחי הון באותה שנת מס, כולל רווחים מניירות ערך, ויתרה שלא נוצלה תועבר לשנים הבאות. מכירה ישירה של מטבעות מחייבת דיווח בטופס 1399 בתוך 30 יום, כמפורט במדריך המס.

הכתבה נועדה למטרות מידע בלבד ואינה ייעוץ השקעות.