Binance, golită de până la 6,4 miliarde de dolari în cel mai mare furt de criptomonede din istorie: cum au lucrat hackerii nord-coreeni, cât s-a recuperat și ce faci dacă ai cont

Binance, cea mai mare platformă de tranzacționare cu criptomonede din lume, a fost victima a ceea ce pare să fie cel mai mare furt de criptomonede din istorie. Joi seară, 29 octombrie, în mai puțin de patru ore, atacatorii au golit portofelele companiei de pe zece blockchainuri diferite. Firma de analiză TRM Labs estimează suma la 6,36 miliarde de dolari (circa 5,6 miliarde de euro), de patru ori mai mult decât recordul anterior, furtul de la Bybit din februarie 2025.

Binance a confirmat un incident de securitate, a suspendat retragerile pe mai multe rețele și spune că fondurile utilizatorilor sunt în siguranță: pierderile vor fi acoperite din fondul de urgență al companiei și din banii proprii. TRM Labs atribuie atacul, „cu încredere ridicată”, grupului TraderTraitor, o unitate de hackeri a Coreei de Nord.

Cum s-a desfășurat atacul

Banii nu au fost luați din conturile clienților, ci din portofelele „calde” ale Binance, cele conectate permanent la internet, din care platforma plătește zilnic retragerile utilizatorilor. Majoritatea fondurilor unei platforme stau de obicei în portofele „reci”, ținute offline, tocmai pentru că cele calde sunt mai expuse.

Potrivit reconstituirii TRM Labs, pregătirile au început cu cel puțin 36 de ore înainte. Atacatorii au alimentat un portofel de operare cu sume mici trecute prin Tornado Cash, un serviciu care ascunde proveniența criptomonedelor, și și-au testat codul pe alte portofele. Apoi totul s-a petrecut foarte repede (orele sunt date în ora României):

Cea mai mare parte a pagubei vine de pe Ethereum (circa 3,8 miliarde de dolari) și Bitcoin (circa 1,5 miliarde). Pe Ethereum, atacatorii au folosit o funcție introdusă în 2025, prin care un portofel obișnuit poate executa temporar codul unui contract: au făcut portofelul Binance să ruleze un program care l-a golit automat. Pe celelalte nouă rețele au fost transferuri semnate obișnuite.

Ce spune Binance despre cauză

Binance a declarat că incidentul ar putea avea legătură cu laptopul compromis al unui inginer DevOps, adică al unui angajat care administrează infrastructura. Prin el, atacatorul ar fi ajuns la un serviciu intern și ar fi trimis cereri de retragere neautorizate. Compania spune că nu a găsit „nicio dovadă” că cheile private ale portofelelor ar fi fost furate.

Concluzia TRM Labs merge în aceeași direcție: atacatorii au reușit, cel mai probabil, să facă sistemul care semnează tranzacțiile portofelelor calde să semneze în numele lor, pe toate rețelele deodată. Cu alte cuvinte, nu au spart criptografia, ci au păcălit infrastructura care o folosește. Binance nu a publicat încă un raport complet.

Cât s-a recuperat

O parte importantă din bani a fost blocată în primele ore, pentru că era în monede stabile, emise de companii care pot îngheța adresele:

• Tether a înghețat circa 1,77 miliarde USDT;
• Circle a înghețat circa 825 de milioane USDC;
• Ripple, World Liberty Financial și consiliul de securitate al rețelei Arbitrum au blocat împreună încă aproape 100 de milioane de dolari.

În total, TRM Labs numără aproximativ 2,7 miliarde de dolari înghețați, iar CoinDesk vorbește de circa 3 miliarde. Atacatorii mai controlau însă peste 420.000 ETH și cei 18.270 BTC, în valoare de aproximativ 2,4 miliarde de dolari. Pe acestea nu le poate îngheța nimeni. TRM a urmărit deja cum sunt schimbate prin platforme descentralizate (Uniswap, Aave) și împărțite în sume mai mici, iar următorul pas, spune firma, vor fi serviciile care mută fondurile între rețele și brokerii care le transformă în bani.

Estimările diferă de la o sursă la alta: TechCrunch cita joi seară cel puțin 2 miliarde furate, Chainalysis a ajuns la circa 5,9 miliarde, iar TRM Labs la 6,36 miliarde. Diferențele vin în parte din momentul calculului și din prețul monedelor, care s-a schimbat chiar în timpul atacului.

Cine plătește

Binance spune că va acoperi pierderile din SAFU, fondul de urgență păstrat pentru astfel de situații, și din fondurile companiei. Potrivit CoinDesk, SAFU are circa un miliard de dolari în bitcoin, deci nu acoperă singur paguba. Co-directoarea generală Yi He a scris că Binance va acoperi „toate pierderile din atac”, iar fondatorul Changpeng Zhao, care nu mai conduce compania, dar e cel mai mare acționar, a spus că se așteaptă ca fondurile utilizatorilor să fie „acoperite integral”.

Ca ordin de mărime, înainte de atac Binance deținea active de circa 144 de miliarde de dolari, potrivit DefiLlama. Suma furată reprezintă aproximativ 4% din ele: o lovitură uriașă, dar nu una care să pună automat compania în imposibilitate de plată.

Piața a reacționat imediat. În seara atacului, bitcoinul a scăzut cu 4,8%, sub 77.000 de dolari, ether cu 5,7%, iar BNB, moneda Binance, cu 8%.

Ai cont pe Binance: ce faci acum

• Nu intra în panică și nu căuta scurtături. Retragerile sunt suspendate pe mai multe rețele și vor fi reluate după rezolvarea incidentului, potrivit companiei. Urmărește doar anunțurile din aplicație și de pe conturile oficiale.
• Ferește-te de „recuperări” și „verificări”. După orice atac mare apar mesaje false care cer să-ți confirmi contul, să instalezi o aplicație sau să muți fondurile „într-un portofel sigur”. Binance a avertizat explicit că nu trebuie să ai încredere în linkuri neoficiale și cereri de date. Citește și ghidul nostru despre phishing.
• Verifică securitatea contului. Autentificarea în doi pași cu o aplicație sau o cheie fizică, nu prin SMS, și o listă de adrese aprobate pentru retrageri reduc riscul, chiar dacă incidentul de acum nu a pornit de la conturile clienților.
• Nu ține pe platformă mai mult decât tranzacționezi. O platformă de schimb îți păstrează monedele în locul tău. Pentru economiile pe termen lung, un portofel propriu, cu cheile private păstrate corect, elimină acest risc, dar îți transferă ție responsabilitatea. Am explicat diferențele în episodul despre chei private și portofele din seria Crypto și Blockchain.

De ce contează

Atacurile atribuite Coreei de Nord arată tot mai mult ca operațiuni de spionaj: angajați vizați personal, laptopuri compromise, pregătire de zile întregi, apoi o execuție de câteva minute. TRM Labs vede aceleași tipare ca la Bybit, atribuit de FBI aceluiași grup, și ca la furtul de la KelpDAO din aprilie 2026.

Lecția pentru industrie e incomodă: nici cea mai mare platformă din lume, cu echipe de securitate dedicate, nu și-a putut proteja portofelele calde de un atac care, potrivit primelor indicii, a pornit de la un singur laptop compromis. Pentru utilizatori, concluzia e mai simplă: o platformă care promite că îți păstrează banii în siguranță poate face asta doar până la primul atac reușit.

Surse: TRM Labs (29–30 octombrie: suma totală, rețelele afectate, cronologia, metoda de atac, atribuirea către TraderTraitor, fondurile înghețate și cele rămase la atacatori), CoinDesk (29–30 octombrie: explicația Binance despre laptopul inginerului, fondul SAFU, declarațiile Yi He și Changpeng Zhao, activele Binance, evoluția prețurilor, estimarea Chainalysis), TechCrunch (29 octombrie: confirmarea incidentului, suspendarea retragerilor, declarațiile Binance, prima estimare). Orele sunt convertite în ora României din ora UTC folosită de TRM Labs. Conversia în euro e aproximativă, la un curs de circa 1,14 $/€. Cifrele pot fi revizuite pe măsură ce Binance publică rezultatele anchetei.