FBI והשירות החשאי בחקירת בייננס: התוקף ניצל את EIP-7702 וסירקל הקפיאה 823 מיליון דולר

הפריצה לבייננס, שנאמדת לפי הבורסה ורוב המקורות בכ-6.3 מיליארד דולר (רויטרס מדווחת על 6.4 מיליארד), עברה בחלקה דרך מנגנון של את'ריום בשם EIP-7702. כך אמר ביום שישי מנכ״ל הבורסה ריצ'רד טנג, שהסביר שהתוקף השיג באמצעותו הרשאת ביצוע על ארנק חם של הבורסה, ו"ההאצלה הזו לא עברה דרך מנגנוני האישור הרגילים שלנו". באותו יום אישר ה-FBI שהוא מעורב בחקירה, סירקל הודיעה שהקפיאה כ-823 מיליון דולר ב-USDC, ונשיא ה-CFTC (הרשות האמריקאית לפיקוח על מסחר בחוזים עתידיים) מייקל סליג כבר משתמש באירוע כדי לקדם פיקוח אמריקאי על בורסות אופשור.

איך האצלת EIP-7702 הפכה ארנק של בייננס לשואב

EIP-7702 (הצעת שיפור לאת'ריום מספר 7702) נכנס לרשת בשדרוג Pectra ב-7 במאי 2025. הוא מאפשר לארנק רגיל (EOA, חשבון שנשלט במפתח פרטי בלבד) לשאול קוד של חוזה חכם בלי להחליף כתובת. חתימה של בעל החשבון מצמידה לו מצביע לחוזה, ומאותו רגע כל קריאה לחשבון מריצה את קוד החוזה עם גישה מלאה לכספים. המפרט עצמו מזהיר שאפליקציות לא צריכות לבקש ממשתמשים לחתום על הרשאה כזו: "אין דרך בטוחה לספק את הממשק הזה". בתוך שבועות מהשקת השדרוג מצאה חברת המסחר Wintermute שיותר מ-80% מההאצלות הפנו לעותקים של אותו חוזה sweeper זדוני, שמרוקן אוטומטית ארנקים שהמפתחות שלהם דלפו.

לפי TRM Labs, התוקף החזיק 50 הרשאות חתומות מראש. לפי Chainalysis, ארנק תפעולי שמומן דרך המיקסר Tornado Cash שידר אותן לרשת, הארנק החם התחיל להריץ קוד שהתוקף פרס, והנכסים נשאבו לכתובות שבשליטתו. הרשאה כזו דורשת חתימה תקפה של החשבון עצמו, וארנקי בייננס בתשע רשתות אחרות שלחו כסף לתוקף בהעברות חתומות רגילות. לכן TRM מעריכה שנפרצה תשתית החתימה של בייננס, ולא שנמצא פגם באת'ריום. טנג הוסיף שהמתקפה "לא בוצעה בידי אדם אחד", שמעבר למחשב הנייד של מהנדס DevOps (תשתיות ופריסה) נמצאו נקודות חדירה נוספות, ושהתוקף הפעיל מנגנון השמדה עצמית שמחק כלים ועקבות. לדברי הבורסה, לא נמצאה ראיה לכך שמפתחות פרטיים של ארנקים דלפו.

המרוץ בין המנפיקות להאקרים

המתקפה החלה ב-20:04 UTC ביום חמישי. לפי Decrypt, רוב הכסף יצא מארנקי בייננס ב-10 רשתות בתוך כ-20 דקות. ההאקרים ניסו להמיר סטייבלקוינס כמו USDT ו-USDC, שלמנפיקה שלהם יש יכולת להקפיא טוקנים בכתובות מסוימות, לביטקוין ולאת'ר, שאין להם מנפיק מרכזי שיכול לחסום.

ההקפאה הגדולה הראשונה של טת'ר הגיעה 37 דקות אחרי שהכסף נחת בארנק הראשי של התוקף באת'ריום, וסירקל הצטרפה שלוש דקות אחר כך. ריפל ו-World Liberty Financial פעלו זמן קצר אחריהן. הנתון של טת'ר משתנה בין הדיווחים: בדיווח אחד של Decrypt הופיע סכום של 975.1 מיליון דולר, אבל החברה עצמה הודיעה על הקפאה של יותר מ-1.567 מיליארד USDT.

בחלק מהמקרים ההאקרים הקדימו. מהנדס CertiK דיקסון וו עקב אחרי 500 מיליון USDT שנשלחו לכתובת אחת, ו-325 מיליון מהם נמכרו לעושי שוק תמורת ETH עד 20:59 UTC, פחות משעה אחרי שהפריצה החלה. בין 20:58 ל-21:01 הפקיד ארנק שמקושר לתוקפים 60 מיליון USDT ב-Aave V3 באת'ריום ולווה מולם 44.6 מיליון דולר ב-WETH (את'ר עטוף), כ-40 דקות לפני ההקפאה הראשונה. לפי מארק זלר, מייסד Aave Chan Initiative, רשימה שחורה על הארנק לא מחזירה ביטחונות שכבר יושבים בבריכת ההלוואות. Aave הקפיאה זמנית את שווקי V3 ו-V4 ושחררה אותם אחרי שקבעה שהחוזים לא נפגעו ושהפוזיציות מגובות בביטחונות יתר.

בייננס מדברת על כ-3 מיליארד דולר שאותרו או הוקפאו. Elliptic העריכה 2.84 מיליארד עד 7:00 UTC ביום שישי, ועוד כ-3.33 מיליארד שנותרו בידי התוקפים בנכסים שאינם ניתנים להקפאה. הקפאה מונעת מהתוקפים להוציא את הכסף, אבל לא מחזירה אותו אוטומטית לבייננס או למשתמשים.

הלבנה אוטומטית והנחות של עד 26%

Chainalysis זיהתה אלפי עסקאות בפרקי זמן קצרים, שבהן הכסף מסתובב בין כתובות מקושרות ולעיתים חוזר לארנקים מוקדמים בשרשרת. החברה כינתה זאת "דפוסי הלבנה שלא ראינו בעבר". ברשת טרון קיבלו ארנקים רבים בדיוק 1 TRX לפני שהגיעו אליהם סכומים נוספים שהועברו הלאה, ולפי החוקרים זה מעיד על הוראות מתוכנתות.

לפי Elliptic, ההאקרים המירו כ-786 מיליון דולר בסטייבלקוינס לאת'ר ולטרון לפני שההקפאות נכנסו לתוקף. באת'ריום הומרו כ-434 מיליון USDT ל-160,451 ETH דרך Uniswap, 1inch ומערכות בקשת הצעת מחיר של עושי שוק, במחירים גרועים ב-12% עד 26% ממחיר השוק. Elliptic מסיקה מכך שההאקרים העדיפו המרה מהירה על פני שמירת הערך. עוד כ-234 מיליון USDT הוחלפו ב-638 מיליון TRX ב-SunSwap, 48 מיליון דולר ב-RLUSD של ריפל נמכרו לפני שהוטלו הגבלות, וכ-150 טוקנים נוספים הומרו ל-ETH.

הביטקוין מתנהל אחרת. 18,270 BTC פוצלו ל-19 כתובות, רובן עם כ-1,000 BTC, ונכון ל-30 באוקטובר אף אחת מהן לא הגיעה לבורסה או לשירות מזוהה. Elliptic צופה שהכסף יעבור דרך ארנקים נוספים, גשרים בין רשתות ומיקסרים, ובסוף דרך ברוקרים מחוץ לבורסה (OTC) ובורסות. ביום שישי שלח ארנק טרון שארקהם מייחסת לתוקף כ-5.19 מיליון TRX, כ-1.73 מיליון דולר, ל-12 כתובות.

ה-FBI, השירות החשאי והטיעון של נשיא ה-CFTC

ה-FBI אמר לרויטרס שהוא עובד עם שותפים ממשלתיים ופרטיים להערכת היקף האירוע, ודובר השירות החשאי אמר לבלומברג שהחוקרים עובדים "מסביב לשעון". השירות החשאי, שאחראי גם על פשעי מחשב ומטבעות דיגיטליים, השתתף באפריל במבצע Atlantic יחד עם הסוכנות הבריטית לפשע, בייננס, קוינבייס וחברות נוספות. המבצע זיהה יותר מ-20,000 נפגעי פישינג, איתר 45 מיליון דולר והקפיא 12 מיליון. TRM ו-Chainalysis מייחסות את הפריצה לקבוצה הצפון קוריאנית TraderTraitor, שנקשרה גם לפריצה לבייביט בהיקף 1.5 מיליארד דולר בפברואר 2025.

סליג אמר ל-CNBC שהפריצה "מוכיחה בדיוק את הטענה שלנו" ושמדובר ב"בורסות אופשור לא מפוקחות". הוא מציע "אופציה פדרלית" שבה בורסות כאלה יירשמו ב-CFTC ויעמדו באותם תקני סייבר שחלים על השווקים בארה״ב. הרשות מקדמת כללים משלה אחרי שחוק Clarity נתקע בסנאט. לפי The Block, גם הנשיא טראמפ אמר שהממשל בוחן את הפריצה. בינתיים בייננס הקצתה יותר מ-6.34 מיליארד דולר, מתוכם 5 מיליארד שכבר מוחזקים בטוקנים שנגנבו, ומתכננת לפתוח משיכות בהדרגה מיום ראשון ולפרסם הוכחת רזרבות ביום שני.

למשקיעים מישראל עם כסף בבייננס

טנג אומר שהפריצה פגעה בארנק החם של הבורסה ולא בכספי לקוחות, אבל המשיכות מושעות בינתיים. כשהן ייפתחו, שמרו צילומי מסך של היתרות והיסטוריית העסקאות. בנקים בישראל נוטים לעכב העברות מבורסות זרות ולבקש תיעוד מקור כספים, ועד 1 במאי 2027 עדיין חלה בדיקת המקור החובה מעל 100,000 ש״ח בשנה (פירוט השינוי בהוראה 411). שלחו קודם העברת ניסיון קטנה לכתובת שלכם.

המקרה של EIP-7702 רלוונטי גם לארנק האישי שלכם. אם אפליקציה מבקשת מכם לחתום על שדרוג חשבון או הרשאת האצלה, סרבו. מי שמחזיק סכום משמעותי לטווח ארוך יכול לקרוא את המדריך לשמירת ביטקוין בארנק קר, ומי שמעדיף חשיפה בלי משמורת עצמית יכול לבחון ספק ישראלי ברישיון רשות שוק ההון או קרן מחקה ביטקוין שבה המס מנוכה במקור.

הכתבה נועדה למטרות מידע בלבד ואינה ייעוץ השקעות.