Η επίθεση είχε προετοιμαστεί πριν από την πρώτη μεταφορά

Τα στοιχεία της Elliptic δείχνουν ότι οι δράστες είχαν ξεκινήσει τις δοκιμές τους αρκετές ώρες πριν από την κύρια επίθεση. Την προηγούμενη ημέρα πραγματοποίησαν τρεις μικρές μεταφορές κρυπτονομισμάτων μέσω του Tornado Cash, μιας υπηρεσίας που χρησιμοποιείται για να δυσκολεύει την παρακολούθηση της προέλευσης και της διαδρομής των κεφαλαίων.

Περίπου τέσσερις ώρες πριν από το χτύπημα, δοκίμασαν το κακόβουλο λογισμικό τους σε δύο διαφορετικά ψηφιακά πορτοφόλια. Λίγο μετά τις 20:00 την Πέμπτη, ώρα Λονδίνου, ξεκίνησε η μαζική αφαίρεση κεφαλαίων από πέντε πορτοφόλια της Binance.

Οι πρώτες μεταφορές αφορούσαν περίπου 300 εκατ. δολάρια, όμως η επιχείρηση εξελίχθηκε με τέτοια ταχύτητα ώστε σχεδόν ολόκληρο το ποσό των 6,3 δισ. δολαρίων να έχει αφαιρεθεί μέσα στα επόμενα 30 λεπτά. Περίπου τρεις ώρες αργότερα ακολούθησε και ένα δεύτερο, πολύ μικρότερο κύμα αναλήψεων.

Οι εταιρείες κυβερνοασφάλειας άρχισαν να ενημερώνουν μεγάλους επενδυτές για το περιστατικό, ενώ στο εσωτερικό της Binance ενεργοποιήθηκε μηχανισμός έκτακτης ανάγκης. Προτεραιότητα ήταν να εντοπιστούν οι διευθύνσεις που είχαν δεχθεί τα χρήματα και να κινητοποιηθούν οι εταιρείες που διέθεταν τη δυνατότητα να παγώσουν μέρος των κλεμμένων περιουσιακών στοιχείων.

Η πραγματική έκταση της παραβίασης παραμένει υπό διερεύνηση

Η πρώτη εκδοχή που εξέτασε η Binance έκανε λόγο για παραβίαση του φορητού υπολογιστή ενός μηχανικού λογισμικού, μέσω του οποίου οι δράστες κατάφεραν να πραγματοποιήσουν μη εξουσιοδοτημένες συναλλαγές.

Στη συνέχεια, όμως, η διοίκηση έδωσε μια πιο σύνθετη εικόνα. Ο συνδιευθύνων σύμβουλος της εταιρείας, Ρίτσαρντ Τενγκ, διευκρίνισε ότι δεν επρόκειτο για μια απλή αξιοποίηση των δικαιωμάτων πρόσβασης ενός εργαζομένου ούτε για επίθεση που μπορούσε να ολοκληρωθεί με μία μόνο ενέργεια.

Η έρευνα αποκάλυψε πρόσθετα σημεία παραβίασης, ενώ οι χάκερ φέρεται να χρησιμοποιούσαν μηχανισμό αυτοκαταστροφής για να διαγράφουν τα εργαλεία και τα ίχνη της δραστηριότητάς τους. Η Binance προχώρησε σε εκτεταμένο επανέλεγχο και ανακατασκευή τμημάτων της τεχνολογικής της υποδομής.

Οι υπολογιστές μηχανικών αποτελούν συχνά ελκυστικούς στόχους για οργανωμένες ομάδες κυβερνοεγκλήματος, καθώς μπορούν να προσφέρουν πρόσβαση σε κρίσιμα συστήματα και εσωτερικές διαδικασίες. Μέσω μιας τέτοιας παραβίασης, οι εισβολείς έχουν τη δυνατότητα να μελετήσουν τους μηχανισμούς ασφαλείας, τις διαδικασίες έγκρισης συναλλαγών και τα δικαιώματα πρόσβασης που διαθέτουν διαφορετικοί χρήστες.

Στην περίπτωση της Binance, οι ερευνητές εξετάζουν ειδικότερα το ενδεχόμενο πρόσβασης στο σύστημα ψηφιακής υπογραφής των διαδικτυακά συνδεδεμένων πορτοφολιών. Σύμφωνα με τα ευρήματα, Ether αξίας περίπου 3,8 δισ. δολαρίων φέρεται να αφαιρέθηκε με την εκμετάλλευση λειτουργίας που επιτρέπει την ανάθεση της εξουσιοδότησης συναλλαγών σε αυτοματοποιημένο λογισμικό.

Οι υποψίες στρέφονται στην ομάδα TraderTraitor

Οι ενδείξεις που έχουν συγκεντρωθεί παραπέμπουν στην TraderTraitor, μονάδα κυβερνοεπιθέσεων της Βόρειας Κορέας που συνδέεται με το ευρύτερο δίκτυο της Lazarus.

Η συγκεκριμένη ομάδα έχει συνδεθεί με επιθέσεις στις οποίες οι δράστες αποκτούν αρχικά πρόσβαση σε υπολογιστές προγραμματιστών ή μηχανικών, μελετούν το εσωτερικό περιβάλλον των εταιρειών και στη συνέχεια οργανώνουν στοχευμένες επιχειρήσεις για την αφαίρεση ψηφιακών περιουσιακών στοιχείων.

Το FBI έχει αποδώσει στην TraderTraitor τουλάχιστον τρεις μεγάλες κλοπές κρυπτονομισμάτων από το 2023. Ανάμεσά τους βρίσκεται και η επίθεση στη Bybit, τον Φεβρουάριο του 2025, κατά την οποία αφαιρέθηκαν περίπου 1,5 δισ. δολάρια. Εκείνη θεωρούνταν η μεγαλύτερη κλοπή στην ιστορία της αγοράς κρυπτονομισμάτων μέχρι το χτύπημα στη Binance.

Ένα ακόμη στοιχείο που ενισχύει τις υποψίες προέρχεται από την Chainalysis. Οι ερευνητές εντόπισαν κεφάλαια από την επίθεση στη Binance σε ορισμένα από τα ίδια ψηφιακά πορτοφόλια που είχαν χρησιμοποιηθεί για τη διαχείριση κλεμμένων περιουσιακών στοιχείων από την Bitget. Η συγκεκριμένη επίθεση είχε πραγματοποιηθεί τον προηγούμενο μήνα, με απώλειες σχεδόν 400 εκατ. δολαρίων, και είχε επίσης συνδεθεί με βορειοκορεάτες χάκερ.

Η Πιονγιάνγκ αρνείται συστηματικά τις κατηγορίες περί χρηματοδότησης του κράτους μέσω κυβερνοεγκλήματος. Οι εκτιμήσεις για την ευθύνη της συγκεκριμένης ομάδας βασίζονται στα στοιχεία που έχουν συγκεντρώσει οι εταιρείες ανάλυσης και δεν αποτελούν οριστική επιβεβαίωση της ταυτότητας των δραστών.

Η Tether και η Circle μπλοκάρουν δισεκατομμύρια

Καθοριστικό ρόλο στην προσπάθεια περιορισμού των απωλειών παίζει η δυνατότητα ορισμένων εκδοτών stablecoins να παγώνουν ψηφιακά περιουσιακά στοιχεία.

Σε αντίθεση με το Bitcoin και το Ether, τα stablecoins που εκδίδονται από εταιρείες όπως η Tether και η Circle διαθέτουν κεντρικούς μηχανισμούς διαχείρισης. Αυτό σημαίνει ότι οι εκδότες μπορούν, υπό συγκεκριμένες προϋποθέσεις, να αποκλείσουν διευθύνσεις και να εμποδίσουν τη χρήση των νομισμάτων που βρίσκονται σε αυτές.

Η Binance επικοινώνησε άμεσα με τις δύο εταιρείες. Στις 21:01, ώρα Λονδίνου, η Tether προχώρησε σε αποκλεισμό των σχετικών πορτοφολιών, ενώ τρία λεπτά αργότερα ακολούθησε η Circle.

Σύμφωνα με τα στοιχεία της Elliptic, οι δύο παρεμβάσεις οδήγησαν στη δέσμευση περίπου 1,6 δισ. δολαρίων σε stablecoins της Tether και 825 εκατ. δολαρίων της Circle. Επιπλέον, περίπου 200 εκατ. δολάρια μπλοκαρίστηκαν όταν μεταφέρθηκαν από τη Binance σε διευθύνσεις που είχαν ήδη αποκλειστεί. Στην προσπάθεια συμμετείχαν και άλλες εταιρείες, οι οποίες προχώρησαν σε πρόσθετες δεσμεύσεις.

Οι χάκερ, ωστόσο, επιχείρησαν να προλάβουν τις κινήσεις των εκδοτών. Άρχισαν να ανταλλάσσουν περιουσιακά στοιχεία που μπορούσαν να παγώσουν με άλλα κρυπτονομίσματα, τα οποία δεν διαθέτουν αντίστοιχο κεντρικό μηχανισμό ελέγχου. Σε ορισμένες περιπτώσεις αποδέχθηκαν ακόμη και σημαντικές απώλειες στην αξία των κεφαλαίων, προκειμένου να τα απομακρύνουν από τις διευθύνσεις που κινδύνευαν να αποκλειστούν.

Μία από τις συναλλαγές που εντόπισαν οι ερευνητές αφορούσε την πλατφόρμα δανεισμού Aave. Οι δράστες κατέθεσαν κρυπτονομίσματα αξίας περίπου 60 εκατ. δολαρίων ως εγγύηση και στη συνέχεια δανείστηκαν σχεδόν 20.000 Ether, αξίας περίπου 44,6 εκατ. δολαρίων εκείνη τη στιγμή.

Πόσα χρήματα έχουν διασωθεί και πόσα παραμένουν στα χέρια των δραστών

Οι εκτιμήσεις για το ύψος των κεφαλαίων που εξακολουθούν να ελέγχουν οι χάκερ διαφέρουν, καθώς οι εταιρείες ανάλυσης παρακολουθούν συνεχώς τις μεταφορές και τις νέες δεσμεύσεις.

Η Elliptic υπολόγισε ότι τις πρώτες ώρες μετά την επίθεση οι δράστες εξακολουθούσαν να ελέγχουν τουλάχιστον 3,33 δισ. δολάρια. Από την πλευρά της, η TRM Labs εκτίμησε ότι περίπου 2,4 δισ. δολάρια είχαν ήδη μεταφερθεί σε κρυπτονομίσματα που δεν μπορούσαν να δεσμευτούν μέσω κεντρικού εκδότη.

Σε μεταγενέστερη ενημέρωση, εκπρόσωπος της Binance ανέφερε ότι είχε διασφαλιστεί περίπου το 80% των κλεμμένων περιουσιακών στοιχείων, ενώ οι προσπάθειες εντοπισμού του υπολοίπου συνεχίζονταν. Η διευκρίνιση έχει σημασία, καθώς η διασφάλιση ή δέσμευση κεφαλαίων δεν σημαίνει απαραίτητα ότι όλα έχουν ήδη επιστραφεί στην εταιρεία.

Η διοίκηση της Binance διαβεβαιώνει ότι τα κεφάλαια των πελατών είναι ασφαλή και ότι η εταιρεία θα καλύψει τις απώλειες. Παράλληλα, η προσωρινή αναστολή των αναλήψεων προκάλεσε ανησυχία στην αγορά, με αρκετούς χρήστες να εκφράζουν φόβους και να συγκρίνουν την κατάσταση με όσα είχαν προηγηθεί της κατάρρευσης της FTX.

Χιλιάδες συναλλαγές για να χαθούν τα ίχνη των χρημάτων

Η επιχείρηση απόκρυψης της διαδρομής των κεφαλαίων συνεχίστηκε και μετά την αρχική κλοπή. Οι χάκερ διασκόρπισαν τα χρήματα σε εκατοντάδες ψηφιακά πορτοφόλια, επιχειρώντας να δυσκολέψουν την παρακολούθησή τους από τις εταιρείες ανάλυσης blockchain.

Η Chainalysis εντόπισε ένα ιδιαίτερα σύνθετο μοτίβο συναλλαγών, το οποίο περιλάμβανε χιλιάδες γρήγορες μεταφορές μεταξύ διαφορετικών διευθύνσεων, καθώς και κινήσεις προς το δίκτυο Tron. Η ταχύτητα και ο αυτοματοποιημένος χαρακτήρας των συναλλαγών δυσχεραίνουν την προσπάθεια εντοπισμού και δέσμευσης των κεφαλαίων.

Παράλληλα, εξετάζεται το ενδεχόμενο οι δράστες να αξιοποίησαν εργαλεία Τεχνητής Νοημοσύνης κατά την οργάνωση ή την εκτέλεση της επίθεσης. Μέχρι στιγμής, ωστόσο, πρόκειται για πιθανότητα που βρίσκεται υπό διερεύνηση και όχι για επιβεβαιωμένο στοιχείο.

Η υπόθεση αναδεικνύει για ακόμη μία φορά πόσο σύνθετη έχει γίνει η ασφάλεια των μεγάλων ανταλλακτηρίων κρυπτονομισμάτων. Η Binance καλείται πλέον να ολοκληρώσει τον τεχνολογικό επανέλεγχο των συστημάτων της, να εντοπίσει όσο το δυνατόν μεγαλύτερο μέρος των κεφαλαίων και, κυρίως, να αποκαταστήσει την εμπιστοσύνη των πελατών της. Την ίδια στιγμή, η έκβαση της επιχείρησης ανάκτησης θα αποτελέσει ένα ακόμη σημαντικό τεστ για τις δυνατότητες αντιμετώπισης οργανωμένων κυβερνοεπιθέσεων στην αγορά των ψηφιακών περιουσιακών στοιχείων.