GOPAX עוצרת מסחר ומשיכות בגלל מייל איום, ובטרון נגנבו לפחות 4 מיליון דולר ב־USDT

הבורסה הדרום קוריאנית GOPAX עצרה ביום שישי, 6 בנובמבר, את המסחר ואת המשיכות הרגילות אחרי שקיבלה מייל מגורם שטען שהוא מסוגל לפרוץ אליה, והיא מעבירה עכשיו את כל נכסי הלקוחות לאחסון לא מקוון. לפי החברה לא נגרם עד כה אובדן נכסים, והאיום עצמו לא אומת. יום קודם לכן פרסמה חברת נתוני הבלוקצ'יין Bitquery חקירה שמתחקה אחרי גניבות של לפחות 4.06 מיליון דולר ב־USDT מכתובות ברשת טרון, על רקע דיווחים על פרצות באייפון שמנצלות את המכשיר בלי שהמשתמש לוחץ על דבר.

מייל איום אחד ושתי הודעות בהפרש של שעה

לפי סוכנות הידיעות יונהפ, GOPAX הפסיקה את ההפקדות והמשיכות הרגילות ב־14:55 שעון מקומי (05:55 UTC), ואת המסחר ב־15:53. כל הפקודות הפתוחות בוטלו. משיכה דרך האתר או האפליקציה אינה זמינה, ומי שרוצה להוציא מטבעות צריך לפנות למוקד שירות הלקוחות, שם הבקשות מאושרות ידנית אחרי אימות פנימי. הבורסה הזהירה שהתהליך יארך יותר מהרגיל.

"כדי להבטיח משמורת בטוחה של נכסי המשתמשים, אנחנו מתכננים להעביר את כל הנכסים הווירטואליים לארנקים קרים", מסרה החברה. ארנק קר הוא אחסון שמנותק מהאינטרנט, בניגוד לארנק החם שדרכו הבורסה שולחת משיכות ללקוחות. לפי GOPAX, העברת היתרות מהארנקים החמים נועדה לצמצם את מה שזמין למי שמצליח לחדור למערכות המקוונות.

הדיווחים חלוקים לגבי ההפקדות. לפי Cointelegraph, שציטטה את העיתון Kyunghyang Shinmun, ההפקדות הושעו יחד עם המשיכות. לפי Bitcoin Magazine, סיקור קוריאני מאוחר יותר דיווח שההפקדות חודשו בזמן שהמשיכות באתר ובאפליקציה נשארו סגורות. תאריך לחידוש המסחר לא נקבע.

לבורסה יש היסטוריה קרובה של בעיות. החל מתחילת ספטמבר זוהתה גישה חריגה לחלק מחשבונות המשתמשים, ומידע אישי של שבעה לקוחות ושני עובדים בהווה או בעבר דלף, עם דליפה נוספת שאושרה באוקטובר. GOPAX מתייחסת לאירוע ההוא כנפרד מהמייל של יום שישי, וקשר בין השניים לא אומת.

80.54% באחסון קר, והמרווח שנשאר בחוץ

בדרום קוריאה בורסות חייבות להחזיק לפחות 80% מנכסי הלקוחות באחסון קר. לפי נתוני הרשות לפיקוח פיננסי, בסוף ספטמבר החזיקה GOPAX ‏80.54% מנכסי המשתמשים מחוץ לרשת, כמעט בדיוק על הרף. ימים ספורים לפני ההשעיה קראה ועדת השירותים הפיננסיים (FSC) לבורסות המקומיות להגדיל את האחזקות בארנקים קרים, בעקבות פריצת בייננס בהיקף של כ־6.3 מיליארד דולר.

כדי להבין את המשמעות, נניח בורסה שמחזיקה נכסי לקוחות בשווי 100 מיליון דולר. ב־80.54% אחסון קר, 80.54 מיליון דולר יושבים מחוץ לרשת ו־19.46 מיליון דולר נשארים בארנקים חמים. זה הסכום שתוקף עם גישה למערכות המקוונות יכול לנסות להוציא. העברה של כל הנכסים לאחסון קר מצמצמת מאוד את החשיפה הזו, במחיר של תור משיכות ידני.

הרגולטור הקוריאני כבר סימן את GOPAX. באוקטובר דיווחה ה־FSC על ליקויי אבטחת סייבר ב־130 מתוך 555 חברות פיננסיות שנבדקו, וזיהתה את Streami, החברה שמפעילה את GOPAX, ואת הבורסה Prabang בין 16 חברות שהיו מעורבות באירועי אבטחה קודמים. Prabang עצמה השעתה שירותים אחרי משיכות חריגות מהארנק החם שלה ב־24 באוקטובר, עם הפסד של כ־100 מיליון וון (כ־70 אלף דולר) שהיא הודיעה שתחזיר ללקוחות מכספי החברה.

365 כתובות בטרון ו־43 ארנקי איסוף

החקירה של Bitquery מכסה את התקופה שבין 5 באוקטובר ל־4 בנובמבר. היא מצאה לפחות 4.06 מיליון דולר ב־סטייבלקוין USDT שנגנבו, ברשת שכוללת 365 כתובות של קורבנות. 89 מהן איבדו רק TRX, המטבע של רשת טרון. Bitquery מתארת דפוס של טעינת TRX לכתובת, כדי לממן עמלות, ואחריה ריקון יתרת ה־USDT. 43 ארנקי איסוף מקושרים דרך זרימות מימון לארנק משותף ששימש לתשלום עמלות.

אם מחלקים את 4.06 מיליון הדולר בין 276 הכתובות שאינן בקבוצת ה־TRX בלבד, יוצא ממוצע גס של כ־14,700 דולר לכתובת. אבל ההתפלגות רחוקה מאחידה: העברה אחת ב־25 באוקטובר, של 519,093 USDT לארנק האיסוף TEDjN, שווה לבדה לכ־12.8% מהסכום הכולל.

Bitquery זהירה בניסוחים. מספר הכתובות אינו מספר האנשים שנפגעו, והקשרים הכספיים לא מוכיחים שמפעיל אחד שולט בכל הארנקים. החיבור לאייפון צר עוד יותר: רק גניבה אחת, מ־15 באוקטובר, הותאמה לחשבון שפורסם של בעל אייפון. לגבי רוב הכתובות לא זוהו לא המכשיר ולא הפרצה.

DarkSword ופרסומות באינסטגרם

הרקע לחשד באייפון מתועד היטב. ב־21 באוקטובר תיארו iVerify ו־Report URI פרסומות זדוניות ותגיות אנליטיקה שפג תוקפן, שהפיצו את ערכות הניצול Coruna ו־DarkSword לאייפונים פגיעים. iVerify דיווחה גם על הדבקה בגרסת הרוגלה P7 דרך פרסומת באינסטגרם, גרסה שהראתה יכולת לאסוף נתוני ארנק והשלימה גניבת קריפטו. Google Threat Intelligence Group תיעדה את DarkSword עוד ב־18 במרץ, ציינה שימוש בה בידי כמה גורמים, והמליצה לעדכן iOS או להפעיל את מצב הנעילה (Lockdown Mode) כשאין עדכון זמין.

בנפרד, Security Alliance רשמה שישה דיווחים על פריצות לארנקים במכשירי iOS בין 28 באוקטובר ל־3 בנובמבר, עם הפסדים של כ־127 אלף דולר, בכמה ארנקי Trust Wallet ובארנק Uniswap אחד. Trust Wallet פרסמה ב־6 בנובמבר אזהרה שקוראת להתקין את גרסת iOS העדכנית ביותר שזמינה למכשיר.

אייפון, USDT על טרון וכסף בבורסה זרה

אם אתם מחזיקים USDT על טרון בארנק מובייל באייפון, התחילו בעדכון מערכת ההפעלה. אם המכשיר ישן מדי לקבל עדכון, Google ממליצה על מצב הנעילה, ובמקביל כדאי לשקול להעביר את רוב היתרה לכתובת שלא נשלטת מהטלפון. Trust Wallet ביקשה מהמשתמשים לא לשמור את מילות השחזור ואת המפתחות הפרטיים בצילומי מסך או באפליקציית הפתקים, מקומות שרוגלה שאוספת נתוני ארנק עלולה להגיע אליהם. במדריך לשמירת ביטקוין בבטחה תמצאו את ההבדלים בין ארנק חם לקר ואיך מגבים מילות שחזור על נייר או מתכת.

מי שמחזיק כספים בבורסה זרה צריך להביא בחשבון שמשיכה עלולה להפוך בן לילה מכפתור באפליקציה לבקשה במוקד שירות, כמו שקרה ללקוחות GOPAX. שמרו תיעוד של הפקדות, משיכות ויתרות. בנקים בישראל נוטים לעכב או לבדוק העברות שמגיעות מבורסות קריפטו בחו"ל ולבקש מסמכים על מקור הכספים, ומשיכה חפוזה מבורסה בזמן אירוע אבטחה תעבור קל יותר כשהניירת כבר מסודרת. עד 1 במאי 2027 עדיין חל כלל הבדיקה מעל 100 אלף ש"ח בשנה, ואחריו נכנס מבחן מבוסס סיכון לפי חוזר 2862 של בנק ישראל.

הכתבה נועדה למטרות מידע בלבד ואינה ייעוץ השקעות.