SEAL: האקרים המזוהים עם צפון קוריאה ישבו כשמונה שבועות במערכות בייננס לפני הפריצה של 6.3 מיליארד דולר

ארגון אבטחת הסייבר ללא מטרות רווח Security Alliance (SEAL) מעריך שקבוצת TraderTraitor, המזוהה עם צפון קוריאה, הייתה בתוך המערכות של בייננס כשמונה שבועות לפני הפריצה של 29 באוקטובר, שבה נפגעו נכסים בשווי כ־6.3 מיליארד דולר. לפי הדוח שפרסם הארגון ביום חמישי, החדירה הראשונית התרחשה מתישהו בספטמבר, ומרגע שהתוקפים בפנים הם מסוגלים לנוע במערכות "ברמה גבוהה של חשאיות לאורך תקופות ממושכות". בייננס לא השיבה לפניית Cointelegraph בנוגע להערכה.

מראיון עבודה מזויף ועד שירות החתימה

הגרסה של בייננס עצמה מתחילה עוד קודם. הבורסה ייחסה את הפריצה לראיון עבודה מזויף, שדרכו נפרץ מכשיר של עובד ונגנבו פרטי גישה לתשתית הארנקים. בפוסט ב־X היא הוסיפה שהקמפיין התחיל ביוני, כשמכשיר של עובד אחר נפרץ. בייננס זיהתה את האירוע והחליפה את המכשיר, אבל עד אז התוקפים כבר אספו מידע על הצוות ועל מבנה הארנקים. בדוח הראשוני מיום שלישי נכתב שהתוקפים הגיעו לשירות חתימה פנימי והעבירו כספים מחוץ לתהליך המשיכה הרגיל.

כך נראה ציר הזמן לפי המקורות:

• יוני: מכשיר של עובד בייננס נפרץ ומוחלף, והמידע שנאסף נשאר אצל התוקפים.
• ספטמבר: לפי SEAL, קבוצת TraderTraitor משיגה גישה למערכות הבורסה.
• 29 באוקטובר: הפריצה. לפי TRM Labs נגנבו כ־6.36 מיליארד דולר, רובם בתוך כ־20 דקות.
• 30 באוקטובר: המנכ"ל המשותף ריצ'רד טנג אומר שנפגע הארנק החם של הבורסה עצמה.
• יום שבת: ה־FBI מייחס בדוח את המתקפה ל־TraderTraitor. קים יו ג'ונג, אחותו של קים ג'ונג און, דוחה את ההאשמות.

SEAL זיהה לפחות ארבע "חברות קש" שהקבוצה הפעילה בקמפייני גיוס מזויפים ב־2026: citalab.net, citalab.com, bitfit.io ו־oddium.io. אם אתם עובדים בתעשיית הקריפטו וקיבלתם פנייה מאחד הדומיינים האלה, אל תפתחו קבצים ואל תתקינו תוכנות שנשלחו אליכם.

שבועות של שקט לפני כל ריקון

הממצא המטריד בדוח הוא החזרתיות. SEAL מצביע על אותו דפוס רב־שלבי בפריצות גדולות נוספות:

לגוף שמנהל כספי לקוחות, המשמעות היא שחלון הזיהוי נמדד בשבועות. בבייננס, גם הזיהוי של יוני והחלפת המכשיר לא עצרו את מה שהגיע אחר כך. גם בארה"ב יש תגובה: לפי דיווח ב־Cointelegraph, הפד וה־OCC (הממונה על המטבע) בודקים את הבנקים האמריקאים בעקבות הפריצה.

יחס האחסון הקר מספר רק חלק מהסיפור

טנג אמר ש"הרוב המכריע" של נכסי המשתמשים מוחזק בארנק קר המנותק מהרשת, ועובר לארנק חם רק כשלקוחות מבקשים משיכה. פיצול מדויק בייננס לא פרסמה. המתחרות מיהרו לפרסם את הנתונים שלהן:

בדרום קוריאה רף החובה הוא 80%, ו־Dunamu, החברה האם של Upbit, אומרת שהיעד שלה הוא פחות מ־1% מנכסי הלקוחות בארנקים חמים. המספרים לא ממש בני השוואה, כי כל בורסה מודדת בתקופה אחרת ועשויה לחשב מול בסיס נכסים אחר.

ג'ונתן ריס מ־CertiK מסביר למה גם השוואה מדויקת לא הייתה מספיקה. הסכום של 6.3 מיליארד דולר הוא ערך מצטבר על פני 10 בלוקצ'יינים, ובאת'ריום התוקפים רוקנו ארנק חם שוב ושוב בכל פעם שהגיעו הפקדות חדשות. כשתוקף מחזיק ביכולת להפיק חתימות תקפות, החשיפה נקבעת לפי מה שמערכת החתימה מרשה להעביר לאורך זמן, ויתרה ברגע נתון לא מבטאת אותה. מגבלות שאוכפת האפליקציה שמבקשת את החתימה נעקפות אם האפליקציה עצמה נפרצה. מגבלות שאוכפת מערכת החתימה באופן עצמאי עדיין יכולות לבלום.

עידן אופרת, מייסד שותף ומנהל המוצר של Fireblocks, אומר שבורסות מחזיקות בדרך כלל בארנקים חמים כסף לכמה ימי משיכות צפויות, לרוב אחוזים בודדים מהנכסים המנוהלים, וחלקן משתמשות בארנקי ביניים שמחייבים אישור ידני. אלכס טובול, מנהל הטכנולוגיה של ארנק הקריפטו Walt הפועל בטלגרם, מוסיף שמיליארדים בארנק חם אינם חריגים לבורסה בגודל של בייננס, אבל מילוי מחדש מהאחסון הקר צריך לדרוש החלטת גזברות נפרדת ואישור ידני. רשות ניירות הערך והחוזים העתידיים של הונג קונג (SFC) הזהירה כבר באוגוסט 2025 שמערכות חתימה פרוצות, בקרות גישה חלשות ועובדים שמאשרים עסקאות מתחזות עלולים לסכן גם את הארנקים הקרים.

החשבון של Gate: 104.58% משני צילומי מצב

Gate השיקה מסגרת בשם Proof of Security, ולפי הבורסה האחסון הקר שלה יכסה 104.58% מנכסי הלקוחות גם אם כל הארנקים החמים יתרוקנו. החישוב הוא 88.26% (חלק הקר מתוך האחסון, צילום מ־4 בנובמבר) חלקי 84.39% (חלק המשתמשים מתוך הרזרבות, מצילום Proof of Reserves מוקדם יותר). הבורסה עצמה מציינת שלשני הצילומים יש סכומי בסיס שונים ושתנודות מחיר ותנועות כספים ביניהם לא נכללו, ו־CryptoSlate מסמנת בדיוק את הפער הזה.

דוגמה היפותטית ממחישה את הבעיה. נניח שבצילום האחסון סך הנכסים היה 8 מיליארד דולר, כלומר 7.06 מיליארד באחסון קר (8 כפול 0.8826). ונניח שבצילום הרזרבות הסך היה 9 מיליארד, כלומר כ־7.6 מיליארד של לקוחות (9 כפול 0.8439). היחס בפועל יוצא כ־93%, אף שהיחס בין האחוזים עדיין מראה 104.58%. אלה מספרים להמחשה בלבד, ו־CryptoSlate מדגישה שהנתונים לא מעידים על חדלות פירעון או על הפסדים. לנתוני 18 באוקטובר שפרסמה Gate (כ־8.7 מיליארד דולר רזרבות מול כ־7.3 מיליארד נכסי משתמשים נטו) אי אפשר להצמיד את אחוזי נובמבר.

Gate כוללת באחסון הקר גם נכסים מסורתיים כמו מניות ואג"ח ממשלת ארה"ב אצל משמורנים עצמאיים, לא מפרסמת כתובות ארנקים מטעמי אבטחה, והביקורת של הצד השלישי עדיין בתהליך.

מה בודקים לפני שמשאירים מטבעות בבורסה זרה

אם אתם מחזיקים יתרות בבורסה בחו"ל, אחוז האחסון הקר שהיא מפרסמת הוא נתון אחד מתוך כמה, ומה שחסר בו הוא אופן אישור המשיכות. כמה צעדים מעשיים:

• הפעילו בחשבון רשימת כתובות משיכה מאושרות, אחד הבלמים שיוג'ין האר מ־BitGo מונה לצד מגבלות סכום ואישורים נוספים.
• העדיפו בורסה שמפרסמת מתודולוגיה וביקורת חיצונית שהושלמה, ולא רק אחוז כותרת.
• כמות שאינכם סוחרים בה אפשר להעביר לארנק בשליטתכם, לפי המדריך לשמירת ביטקוין בבטחה.
• מי שרוצה חשיפה בלי לנהל מפתחות יכול לבחון קרנות מחקות ביטקוין שנסחרות בישראל מאז 31 בדצמבר 2024, בדמי ניהול של כ־0.2% בשנה וניכוי מס במקור, או קרנות סל אמריקאיות דרך חשבון מסחר רגיל. פרטים נוספים במדריך לקניית ביטקוין בישראל.

הכתבה נועדה למטרות מידע בלבד ואינה ייעוץ השקעות.