דוח בייננס: ראיון עבודה מזויף וכלי AI פנימי פתחו את הדרך לגניבת 6.3 מיליארד דולר
דוח האירוע של בייננס מתאר מבצע שנמשך חודשים. הוא התחיל במתקין משובש ביוני, עבר דרך מטלת קוד נגועה בספטמבר והגיע, בעזרת כלי AI פנימי, לשירות החתימה של הארנקים.
הפריצה לבייננס, שבה נפגעו לפי הבורסה נכסים בשווי 6.34 מיליארד דולר, התחילה ביוני במחשב של מהנדס שניסה להתקין כלי AI לכתיבת קוד. כך עולה מדוח האירוע שפרסמה בורסת הקריפטו ביום שלישי, 3 בנובמבר, ובו התיאור המלא של מסלול התקיפה. לפי Cointelegraph ו־Decrypt מדובר בפריצה הגדולה בתולדות הקריפטו. ה־FBI מייחס אותה למבצע TraderTraitor הצפון קוריאני, וקים יו ג'ונג, אחותו של קים ג'ונג און, הכחישה ביום פרסום הדוח כל מעורבות וטענה שהייחוס פוליטי.
המנכ"ל המשותף ריצ'רד טנג כתב ב־X שמדובר במבצע שנמשך חודשים. הפרטים בדוח תומכים בתיאור הזה, ומעוררים שאלות לגבי הסיבה שההגנות של הבורסה לא עצרו שיטות שהיא עצמה כבר הכירה.
מראיון עבודה מזויף לשירות החתימה של הארנקים
השלב הראשון היה כמעט שגרתי. מהנדס בצוות ה־DevOps של תשתית הארנקים חיפש במנוע חיפוש כלי AI פופולרי לכתיבת קוד, והוריד גרסה משובשת של Homebrew, מתקין תוכנות נפוץ בקרב מפתחים. צוות האבטחה זיהה את הפעילות החשודה, החליף את המכשיר והחליף את פרטי הגישה. אבל התוקפים כבר הספיקו ללמוד מי עובד בצוות הארנקים ומה תחומי האחריות של כל אחד.
בספטמבר הגיע תורו של מהנדס אחר. אדם שהציג את עצמו כמנהל פרויקט בחברה פיקטיבית פנה אליו דרך פלטפורמת גיוס לגיטימית. בראיון הראשון, בשיחת וידאו חיה, מי שהציג את עצמו כנציג משאבי אנוש שיתף פרופיל ברשת חברתית עם תמונות וסרטונים אישיים כדי לבנות אמון. בייננס הגדירה את השיטה "מתקדמת ומטעה יותר ממה שנראה בעבר". בראיון השני, באפליקציית צ'אט ומול מי שהציג את עצמו כמנכ"ל החברה, התבקש המהנדס להוריד מטלת קוד למחשב העבודה. המאגר הכיל נוזקה שלא הייתה מוכרת קודם. היא רצה בזמן ההתקנה, החליפה רכיב לגיטימי של כלי פיתוח בגרסה זדונית ויצרה קשר עם שרת של התוקפים. לפי בייננס, הנוזקה עקפה את תוכנת ההגנה על התחנות והסתירה את עקבותיה.
ציר הזמן של המתקפה
| מועד | מה קרה |
|---|---|
| יוני | מתקין Homebrew משובש במחשב של מהנדס ארנקים. המכשיר הוחלף, אבל מידע על הצוות נחשף |
| ספטמבר | גיוס מזויף, שני ראיונות ומטלת קוד נגועה במחשב של מהנדס נוסף |
| 20 באוקטובר | המחשב הפרוץ וכלי AI פנימי משמשים להשתלטות על שני מהנדסים נוספים, ובהם המהנדס מיוני. בהמשך התוקפים משיגים טוקן הרשאה לפריסת קונטיינרים |
| 29 באוקטובר | פריסת קונטיינר זדוני, גישה לשירות החתימה הפנימי והעברות מחוץ לתהליך המשיכה הרגיל. לפי Decrypt, הריקון נמשך כ־20 דקות |
| 31 באוקטובר | ה־FBI מייחס את התקיפה ל־TraderTraitor. בייננס השלימה 98% מנכסי הטוקנים שנפגעו |
| 3 בנובמבר | פרסום דוח האירוע |
הדוח לא קובע שמודל AI תכנן או ביצע את הגניבה בעצמו. הכלי הפנימי שימש קרש קפיצה בתוך מבצע שכלל פרטי גישה גנובים, תוכנות פיתוח משובשות והנדסה חברתית. לפי CryptoSlate, הבורסה הסתמכה על יותר מ־100 מודלי AI, בין היתר במאבק בהונאות.
EIP-7702 ו־MPC: למה הכסף המשיך לזרום אחרי עצירת המשיכות
שירות החתימה הפנימי הוא הרכיב שמאשר העברות קריפטו, ומי ששולט בו יכול להוציא כסף בלי לעבור בתהליך המשיכה שהלקוחות מכירים. ברשת את'ריום ניצלו התוקפים את EIP-7702, מנגנון שמאפשר לחשבון להאציל הרשאות ביצוע לחוזה חכם. כך קיבל חוזה בשליטתם שליטה חלקית בארנק חם של בייננס, כלומר ארנק מחובר לרשת שמשמש לפעילות השוטפת.
ההרשאות האלה נשארו בתוקף גם אחרי שבייננס השעתה את המשיכות. הארנק נשען על MPC (חישוב רב משתתפים), שמפזר את השליטה בחתימה בין כמה גורמים במקום מפתח פרטי אחד. השיטה נועדה למנוע נקודת כשל יחידה, אבל במקרה הזה, לפי הבורסה, לא היה מפתח בודד שאפשר להשתמש בו כדי לבטל את ההרשאות במהירות.
מתוך 6.34 מיליארד דולר, 2.85 מיליארד הוקפאו או יורטו, כ־45% מהסכום. Cointelegraph מעגל את ההיקף ל־6.3 מיליארד, ו־CryptoSlate מדווח על 6.34 מיליארד. גם במספר המעוגל, הסכום גדול פי 4.5 בערך מ־1.4 מיליארד הדולר שאיבדה Bybit בפברואר 2025. אז, לפי חברות אבטחה, הקוד הזדוני הושתל בתשתית של ספק חיצוני (Safe), ואילו הפעם המתקפה כוונה למערכות של הבורסה עצמה. בייננס הודיעה שתספוג את ההפסדים ולא תגלגל אותם ללקוחות.
57 ניסיונות שנבלמו, וקריאה של CZ לברית אבטחה
יי הי, ממייסדי בייננס, אמרה שצוות האבטחה זיהה ומנע ב־2026 57 מקרי תקיפה חשודים המקושרים לצפון קוריאה. לפי הדוח, השיטות כללו ראיונות עבודה מזויפים, חבילות תוכנה נגועות, תוספי דפדפן ואפליקציות ועידת וידאו מזויפות. "יירטנו רבים מהם, אבל המחיר של כישלון לעצור אפילו אחד היה כבד, וזה לא היה צריך לקרות", אמרה. הבורסה לא פירטה כמה מ־57 המקרים היו ראיונות מזויפים, ואם מישהו מהם קשור לקבוצה שביצעה את הפריצה.
השיטה מוכרת. Decrypt מזכיר שקבוצת WaterPlum, המכונה גם Contagious Interview, הדביקה לפחות 30 אלף מכשירים ביותר מ־100 מדינות, בערך בין דצמבר 2025 ליולי 2026. לפי אותו דיווח, הקבוצה לקחה כספים או פרטי גישה מיותר מ־7,000 ארנקים והעבירה כ־10.71 מיליון דולר לצפון קוריאה.
צ'אנגפנג ז'או (CZ), מייסד בייננס, אמר בראיון הראשון שלו מאז הפריצה, לפי The Block, שה־AI מאיץ מתקפות סייבר, וקרא להקים ברית אבטחה בתעשייה. בייננס עצמה מתכננת קרן למחקר אבטחה ויוזמות משותפות עם חברות AI, שחקני בלוקצ'יין וחברות סייבר, אך לא חשפה את גודל הקרן, את השותפות או את מועד ההשקה. במקביל הזמינה סקירת סייבר בלתי תלויה, בנתה מחדש את כלי ה־AI הפנימי ואת תשתית הארנקים והחליפה את המכשירים שנפרצו.
לקחים למפתחים ולמחזיקי קריפטו בישראל
אם אתם מפתחים בחברת קריפטו או פינטק ומקבלים פנייה מגייס עם הצעת שכר נדיבה במיוחד, הדוח של בייננס הוא תסריט שכדאי להכיר. לפי ג'ימי סו, מנהל האבטחה של בייננס, הקבוצות הצפון קוריאניות מציעות לעיתים שכר כפול ומשולש רק כדי להביא עובד לראיון. מטלת בית עדיף להריץ בסביבה מבודדת, למשל מכונה וירטואלית, ולא על מחשב העבודה. את כלי הפיתוח כדאי להוריד מהאתר הרשמי ולבדוק את הכתובת לפני ההתקנה. ובקשה "לעדכן את Zoom" באמצע ראיון, בתירוץ של בעיית שמע או וידאו, היא דפוס שתועד שוב ושוב במתקפות האלה.
למשקיעים, הלקח נוגע למשמורת. בייננס הודיעה שתספוג את ההפסד, אבל כל כסף שיושב בבורסה חשוף לסיכון התפעולי שלה. החזקות לטווח ארוך אפשר להעביר לארנק בשליטתכם, לפי ההנחיות במדריך לשמירת ביטקוין בבטחה. מי שרוצה חשיפה למחיר בלי לנהל מפתחות יכול לשקול את הקרנות המחקות ביטקוין שנסחרות בישראל מאז 31 בדצמבר 2024, בדמי ניהול של כ־0.2% בשנה ועם ניכוי מס במקור בבנק, או קרנות סל אמריקאיות על ביטקוין דרך חשבון מסחר רגיל.
הכתבה נועדה למטרות מידע בלבד ואינה ייעוץ השקעות.
אהבתם את הכתבה? שתפו אותה
שלחו לחבר שמתעניין בקריפטו, בקבוצת הוואטסאפ או בטלגרם.
