ה־FBI מייחס את שוד בייננס ל־TraderTraitor הצפון קוריאנית וקורא ל־THORChain לחסום את ההלבנה
ה־FBI קבע שיחידת TraderTraitor של צפון קוריאה גנבה כ־6.3 מיליארד דולר מבייננס, פרסם מאות כתובות וקרא ל־THORChain ולספקי DeFi לחסום עסקאות שקשורות לשלל.
ה־FBI קבע רשמית שיחידת הסייבר הצפון קוריאנית TraderTraitor עומדת מאחורי הגניבה של כ־6.3 מיליארד דולר מבייננס ביום חמישי, 29 באוקטובר. בהתראה שפורסמה בשבת, 31 באוקטובר, הלשכה פרסמה מאות כתובות קריפטו שקשורות לשוד, וקראה למפעילי צמתים של THORChain, למפעילי צמתי RPC, לפלטפורמות DeFi, לשירותי המרה מיידית ולחברות ניתוח בלוקצ'יין לחסום עסקאות עם הכתובות האלה או עסקאות שנגזרות מהן. חברות ניתוח הבלוקצ'יין TRM Labs ו־Chainalysis זיהו "ברמת ודאות גבוהה" את קבוצת לזרוס, המוכרת גם בשם TraderTraitor, וההתראה של ה־FBI מוסיפה לכך אישור רשמי של ממשלת ארה"ב.
מה כתוב בהתראה של ה־FBI
לפי ה־FBI, החוקרים שלו, יחד עם השירות החשאי ויחידת החקירות הפליליות של רשות המסים האמריקאית (IRS-CI), ראו את התוקפים ממירים את רוב השלל לאת'ר. הלשכה צופה שבשלב הבא הכסף יעבור דרך פרוטוקולים מבוזרים ושירותי החלפה מיידית, כדי לטשטש את המקור. הבקשה לחסום גם עסקאות "שנגזרות" מהכתובות רחבה יותר מחסימה של הכתובות עצמן. פיונגיאנג מכחישה כבר שנים שהיא מפעילה יחידות סייבר לגניבה כספית, והנציגות שלה בז'נבה והשגרירות שלה בסין לא הגיבו לפניות.
כדי להבין את סדר הגודל, אפשר להעמיד את הסכום מול נתוני CertiK. לפי החברה, גורמים צפון קוריאניים גנבו בין 2016 לתחילת 2026 כ־6.75 מיליארד דולר ב־263 אירועים מתועדים, בממוצע כ־25.7 מיליון דולר לאירוע. הפריצה לבייננס לבדה שווה לכ־93% מהסכום הזה (6.3 חלקי 6.75), ופי 4.2 מהגניבה של 1.5 מיליארד דולר מ־Bybit, שה־FBI ייחס לצפון קוריאה בשנה שעברה. ב־2025 ייחסה CertiK לקבוצות צפון קוריאניות יותר מ־2 מיליארד דולר מתוך כ־3.4 מיליארד דולר שאבדו בפריצות, ב־79 מתוך 656 אירועים. ארגון המחקר MilitarySpend מעריך את התקציב הביטחוני השנתי של צפון קוריאה בעד 6 מיליארד דולר, הערכה שהוא עצמו מגדיר כלא ודאית.
| תאריך | מה קרה |
|---|---|
| 29 באוקטובר (חמישי) | הפריצה, כ־6.3 מיליארד דולר יוצאים מבייננס |
| 30 באוקטובר (שישי) | ריצ'רד טנג מתאר "מתקפה מורכבת" |
| 31 באוקטובר (שבת) | התראת ה־FBI; בייננס מדווחת על השלמת 90% מהנכסים ובמוצאי שבת על 95% |
| 1 בנובמבר (ראשון) | פתיחת השלב הראשון של המשיכות |
מארנק חם לצינור אוטומטי
בתחילה העריכה בייננס שנפרץ המחשב הנייד של אחד המהנדסים. טנג, אחד משני המנכ"לים, סיפר שהמתקפה כללה גם תוכנה זדונית שנועדה למחוק את עקבותיה, ושהחקירה "חשפה נקודות פריצה נוספות". לפי החשד, הסוכנים השתמשו בהרשאה מיוחדת כדי להפוך ארנק חם של הבורסה, כלומר ארנק שמחובר לאינטרנט, לצינור שהעביר כספים אוטומטית אל התוקף. ב־TRM מעריכים שהתוקף השיג גישה למערכת החתימה של הארנק. מומחים מעריכים שסביר שגם כאן נעשה שימוש בבינה מלאכותית כדי לחדור למערכות, וב־Chainalysis אומרים שהתוקף הפעיל דפוסי הלבנה "שלא ראינו בעבר".
עקיפת ההקפאות דרך פרוטוקולי הלוואות בטרון
הקפאות של סטייבלקוינס כבר הגבילו כ־3 מיליארד דולר מהשלל. Chainalysis מתארת את השיטה שבה התוקפים מנסים לחמוק מהן:
- המרת TRX לסטייבלקוינס.
- הפקדת הסטייבלקוינס בפרוטוקול הלוואות בטרון.
- קבלת אסימון קבלה על ההפקדה, אסימון שמנפיק הסטייבלקוין לא יכול להקפיא ישירות.
- העברת האסימון לארנק חדש, פדיון שלו בחזרה לסטייבלקוינס וגישור לנכסים כמו ETH.
החברה איתרה כ־500 אלף דולר שעברו במסלול הזה. הסכום קטן ביחס לשלל כולו, אבל לפי Chainalysis הוא מדגים איך התוקפים מנצלים נזילות ב־DeFi ומצמצמים את החשיפה שלהם להקפאות.
THORChain בין הקריאה של ה־FBI לתקלה שעצרה את ההאקרים
מסלול הלבנה נוסף נחסם בגלל תקלה טכנית. ארגון מחדש של בלוקים ברשת את'ריום גרם ל־THORChain להנפיק בטעות החזר כפול על הפקדה של 10 ETH, והפרוטוקול הפעיל עצירת חירום שמנעה החלפות ברוב הגשרים שלו. העצירה הייתה זמנית ופגעה בכל המשתמשים, כולל ההאקרים, ולא נועדה לחסום כספים גנובים.
THORChain כבר ספגה ביקורת בעבר על כך שאפשרה עסקאות בכספים גנובים. בספטמבר הפרוטוקול סירב לחסום כספים מהפריצה של 388 מיליון דולר ל־Bitget, בטענה שהארכיטקטורה הפתוחה שלו לא מאפשרת צנזורה סלקטיבית. באותו חודש הוא הרוויח כ־63% מהכנסה חודשית של 3 מיליון דולר, כלומר כ־1.9 מיליון דולר, בחמשת ימי המסחר הסוערים שקשורים לפריצה. THORChain טוענת שהשבתות חירום, כמו זו שאחרי הפריצה של 11 מיליון דולר אליה במאי, שונות מהותית מרשימה שחורה של כתובות. המייסד השותף צ'אד באראפורד הגיב לפנייה של ה־FBI שלמפעילי הצמתים אין מידע מעבר למה שגלוי לכולם בזמן אמת: "לא צריך צווים, תרחיש אידיאלי לחקירות".
כתובות מסומנות, משיכות מבייננס והחשבון בבנק הישראלי
בייננס הודיעה שהשלימה 95% מהנכסים שנגנבו, במימון של חלק מקרן SAFU בהיקף מיליארד דולר, חלק מקרן הביטוח של החוזים העתידיים וכספים מקופת החברה, ושהקצתה פנימית כ־6.34 מיליארד דולר לכיסוי ההפסדים. לפי החברה, 5% הנותרים הם נכסים פחות סחירים, ולכן השלמתם עשויה לקחת יותר זמן. השלב הראשון של המשיכות כולל ביטקוין, את'ריום, BNB, סולנה, XRP, דוג'קוין ומטבעות נוספים.
אם אתם מושכים עכשיו מבייננס, משכו לארנק בשליטתכם ושמרו את מזהי העסקאות. כשהכסף יגיע בהמשך לבנק ישראלי, הבנקים נוטים לעכב או לשאול על העברות מבורסות זרות ולבקש תיעוד של מקור הכספים, ועד 1 במאי 2027 עדיין חלה בדיקת המקור והמסלול מעל 100 אלף ש"ח בשנה. גם לפי הכללים החדשים של חוזר 2862, שימוש במערבלים ובבורסות לא מפוקחות מעלה את רמת הסיכון. מי שהשתמש לאחרונה בפרוטוקולים בטרון או בשירותי החלפה מיידית כדאי שיבדוק שלא קיבל כספים מהכתובות שה־FBI פרסם, כי הבקשה לחסימה חלה גם על עסקאות שנגזרות מהן. לטווח הארוך, כדאי לשקול להחזיק את רוב הסכום מחוץ לבורסה, כפי שמוסבר במדריך לשמירת ביטקוין בארנק חם ובארנק קר.
הכתבה נועדה למטרות מידע בלבד ואינה ייעוץ השקעות.
אהבתם את הכתבה? שתפו אותה
שלחו לחבר שמתעניין בקריפטו, בקבוצת הוואטסאפ או בטלגרם.
