אוקטובר השחור: גל פריצות פוגע בבורסות וביצרניות ארנקים, וככה מחזיקי קריפטו מתגוננים

אוקטובר 2026 עוד לא נגמר, ובקהילת אבטחת המידע כבר קוראים לו "אוקטובר השחור". לפי Cointelegraph, החודש הביא כמה עשרות מתקפות סייבר גדולות וחולשות שאותרו בעזרת כלי בינה מלאכותית, מהשרתים שמריצים חלק גדול מהאינטרנט ועד ספקיות שירות של בורסות קריפטו. מחזיקי קריפטו נמצאים בקו האש הזה יותר מרוב הגולשים, כי אצלם פרט אישי שדלף יכול להפוך תוך ימים להודעת פישינג משכנעת, ומכשיר מזויף יכול לרוקן ארנק.

חולשת PHP פתחה את הגל, והניצול התחיל בתוך שעות

ב־21 באוקטובר פרסמה קרן PHP חולשות קריטיות בשפת התכנות, שלפי Cointelegraph משמשת כ־70% מאתרי האינטרנט. החולשות אותרו בעזרת כלי בינה מלאכותית. Cloudflare דיווחה על מיליוני ניסיונות לנצל אותן אחרי הפרסום, ועל אלפי ניסיונות כבר בשעות שלפניו. ה־NSA האמריקאית הורתה לארגונים לעדכן מיד או לנתק מערכות פגיעות מהרשת, וצרפת ופינלנד חסמו זמנית גישה לחלק מהאתרים.

ההבדל לעומת גלים קודמים הוא הכלכלה של ההתקפה. לפי המרואיינים בכתבה, מה שדרש בעבר משאבים של מדינה אפשר היום לעשות עם כלים זמינים לכל אחד, בזמן שהיכולת של אותם כלים לתקן פרצות מפגרת אחרי היכולת שלהם למצוא אותן. ג'ייסון קלינטון, יועץ האבטחה הראשי של Anthropic, הזהיר שהמצב יחמיר עוד לפני שישתפר. בבריטניה הממשלה קוראת לאזרחים להיערך לשיבושים בתשתיות, ובסיסים צבאיים אמריקאיים התבקשו להתכונן ל־90 יום של פעולה עצמאית במסגרת יוזמת FORTRESS.

לוח האירועים של החודש

לצד אלה דווח על פריצה למידע רפואי של Quest Diagnostics, על שמונה רשויות אישורים דיגיטליים של חברת eMudhra ההודית עם מפתחות חלשים (מצב שעלול לאפשר התחזות לאתרים מוכרים), ועל השבתה רחבה של GitHub. בעולם ה־DeFi, CryptoSlate דיווחה על הפסד של 6 מיליון דולר בפרוטוקול X100 בעקבות פגמים במנגנון ההצבעה שנוצלו בהלוואת בזק.

הקריפטו בחזית: התוקפים נכנסו דרך הספקים

בכל אחד מאירועי הקריפטו החודש התוקפים נכנסו דרך ספק או מערכת צדדית. ב־Keystone התוקף ניצל חולשה בכלי ניטור של צד שלישי באתר. בקוינבייס הדליפה הייתה אצל ספקית אנליטיקה. בביתאמב החדירה הייתה למערכת העבודה הפנימית של העובדים. ובדרום קוריאה כולה, ועדת השירותים הפיננסיים (FSC) דיווחה כבר מוקדם יותר בחודש על גל מתקפות נגד 16 גופים פיננסיים שגרם לכ־100,000 דליפות מידע.

בשום אחד מהמקרים האלה לא דווח על גניבת מטבעות מהבורסה, ובכל זאת הנזק עלול להתגלגל הלאה. דליפה של שם, מייל וטלפון היא השלב הראשון בהונאה, והשלב השני מגיע בדרך כלל כמה שבועות אחר כך, בטלפון מ"מחלקת האבטחה" או במייל שמודיע שאתם "בין הנפגעים". מייסד בינאנס צ'אנגפנג ז'או כתב השבוע שמידע שדולף מבורסות משמש בעיקר לפישינג, להשתלטות על כרטיסי SIM ולהנדסה חברתית, ושכתובות ונתוני אחזקות שדלפו כבר הובילו לסחיטה ולשוד פיזי.

המקרה של Keystone מסוכן יותר מדליפת פרטים רגילה, כי מפתח האימות מאפשר לייצר מכשיר שהאפליקציה של היצרן תזהה כמקורי. החברה קבעה את 20 באוקטובר כקו הגבול: מכשירים שנמסרו לפניו נחשבים בטוחים, ועל מכשירים שנמסרו אחריו היא לא מתחייבת. פרטים מלאים בכתבה על המפתח שנגנב מ־Keystone.

ארנק חם לכיס, ארנק קר לחיסכון

חלק מהמומחים הגיבו לגל בהמלצה לוותר על שמירה עצמית ולהשאיר הכול אצל גוף מוסדי. ג'יימסון לופ, קצין האבטחה הראשי של Casa, הזכיר בתגובה שזה מבטל את הטעם בביטקוין מלכתחילה. ואכן, החודש הזה הראה שגם בורסות ענק מחזיקות את פרטי הלקוחות אצל ספקים שאין להן שליטה מלאה עליהם.

ג'ונתן ריס מחברת האבטחה CertiK הציע חלוקה פשוטה: סכום קטן לשימוש שוטף בארנק חם (אפליקציה בטלפון או במחשב), והחיסכון לטווח ארוך בארנק קר, כלומר ארנק חומרה שהמפתחות שלו לא נוגעים ברשת. הוא הוסיף המלצה שנשמעת מובנת מאליה ומופרת כל יום: לקרוא מה אתם מאשרים לפני שאתם חותמים על עסקה, במקום לאשר בעיניים עצומות. רוב הגניבות מארנקים פרטיים ב־DeFi מתחילות בחתימה על הרשאה שהמשתמש לא הבין.

רשימת הבדיקה למחזיק קריפטו בישראל

ההמלצות הבאות מבוססות על מה שאמרו אוסטין דיברס מ־GitHub, ריס ומאט שומר לכתבה של Cointelegraph, ועל ההמלצות של ז'או. סידרנו אותן לפי האיום שכל אחת חוסמת:

דיברס הוסיף שתי פעולות שלוקחות עשר דקות: לבטל הרשאות של אפליקציות וחיבורים ישנים שאתם כבר לא משתמשים בהם, ולהפעיל עדכונים אוטומטיים לדפדפן ולמערכת ההפעלה. שומר המליץ למחוק אפליקציות מיותרות ולנתק מכשירים חכמים שאין בהם צורך עד שהגל יירגע.

תרחיש: שיחה מ"הבורסה" ביום חמישי בערב

נניח שאתם מחזיקים חשבון בקוינבייס ומקבלים שיחה. הדובר יודע את השם המלא שלכם ואת המייל שאיתו נרשמתם, ומספר שבעקבות "אירוע האבטחה שפורסם בחדשות" החשבון שלכם בסיכון. הוא מציע להעביר את היתרה ל"ארנק מאובטח זמני" ושולח קוד לטלפון כדי "לאמת את זהותכם".

כל פרט בשיחה הזו יכול להיות אמיתי ועדיין להוביל לגניבה. השם והמייל נמצאים כנראה במאגר שדלף, האירוע אכן פורסם, והקוד שמגיע אליכם הוא קוד אימות אמיתי שהמתחזה ביקש מהבורסה בשמכם. ברגע שתקריאו אותו, הוא בפנים. הכלל פשוט: בורסה לא מבקשת להעביר כספים לארנק אחר, לא מבקשת קוד אימות בטלפון, ואף פעם לא מבקשת את מילות השחזור או את המפתח הפרטי. מנתקים ונכנסים לחשבון בעצמכם.

שאלות ותשובות

האם הכסף שלי בקוינבייס או בביתאמב בסכנה ישירה?

לפי שתי הבורסות, לא דווח על גניבת כספים. הסכנה העיקרית היא הונאות שמשתמשות בפרטים שדלפו.

קניתי ארנק Keystone בשנה האחרונה. מה לעשות?

בדקו מתי המכשיר נמסר. אם אחרי 20 באוקטובר, אל תפקידו בו כספים לפני אימות מול התמיכה של החברה. אם הזמנתם מהחנות הרשמית בשנים 2024 עד 2026, הניחו שכתובת המשלוח שלכם עלולה להיות בידי התוקף.

כדאי להעביר את כל הקריפטו לבורסה ישראלית או לקרן מחקה?

זו החלטת השקעה שתלויה בכם. בקרן מחקה אין צורך לנהל מפתחות, אבל גם שם החשבון שלכם בבית ההשקעות מוגן בסיסמה ובאימות דו־שלבי, ואותם כללים חלים. ההשוואה בין המסלולים מופיעה במדריך לקניית ביטקוין בישראל.

הכתבה נועדה למטרות מידע בלבד ואינה ייעוץ השקעות או ייעוץ אבטחת מידע אישי.