Binance, golită de până la 6,4 miliarde de dolari în cel mai mare furt de criptomonede din istorie: cum au lucrat hackerii nord-coreeni, cât s-a recuperat și ce faci dacă ai cont

Binance, cea mai mare platformă de tranzacționare cu criptomonede din lume, a fost victima a ceea ce pare să fie cel mai mare furt de criptomonede din istorie. Joi seară, 29 octombrie, în mai puțin de patru ore, atacatorii au golit portofelele companiei de pe zece blockchainuri diferite. Firma de analiză TRM Labs estimează suma la 6,36 miliarde de dolari (circa 5,6 miliarde de euro), de patru ori mai mult decât recordul anterior, furtul de la Bybit din februarie 2025.

Binance a confirmat un incident de securitate, a suspendat retragerile pe mai multe rețele și spune că fondurile utilizatorilor sunt în siguranță: pierderile vor fi acoperite din fondul de urgență al companiei și din banii proprii. TRM Labs atribuie atacul, „cu încredere ridicată”, grupului TraderTraitor, o unitate de hackeri a Coreei de Nord.

Actualizare, 4 noiembrie: atacul a pornit de la un interviu fals, iar dovada rezervelor a fost publicată

Binance a publicat pe 3 noiembrie raportul inițial al anchetei. Atacul a început cu câteva luni înainte, iar pasul decisiv a fost un interviu de angajare fals, după care un inginer a descărcat pe calculatorul de serviciu o temă de programare infectată. Până pe 3 noiembrie fuseseră înghețate sau interceptate circa 2,85 miliarde de dolari din sumele furate. Pe 2 noiembrie, Binance a terminat și dovada rezervelor pentru 10 monede, printre care BTC, ETH, USDT și BNB, care arată că soldurile clienților sunt acoperite cel puțin 1 la 1. Am explicat pas cu pas cum s-a desfășurat atacul și cum recunoști un interviu fals în articolul despre raportul Binance.

Actualizare, 1 noiembrie: retragerile se reiau treptat, iar FBI confirmă atribuirea

Binance a început duminică dimineață să redeschidă retragerile, în etape, începând cu rețeaua Bitcoin. Prima etapă era programată între 08:00 și 11:00, ora României, și cuprinde 15 rețele, care se deschid pe rând, după verificări de securitate. Pe lângă Bitcoin, printre ele se află Ethereum, BNB Smart Chain, Tron, Solana, XRP Ledger, Dogecoin, Polygon, Avalanche, Arbitrum, Base și Optimism. Pentru restul rețelelor nu există încă o dată. Depunerile au funcționat tot timpul.

Compania spune că a acoperit deja 95% din cele 6,3 miliarde de dolari furate, față de 90% anunțat sâmbătă. Nu e vorba de bani recuperați de la atacatori, ci de monede cumpărate de Binance din fondul SAFU, din fondul de asigurare pentru contractele futures și din banii companiei, ca să înlocuiască ce s-a furat. Monedele principale, inclusiv BTC, ETH, USDT, BNB, SOL, USDC și XRP, sunt acoperite integral. Restul de 5% sunt monede mai puțin lichide, mai greu de cumpărat în cantitățile necesare. Binance își repetă promisiunea că pierderea o suportă compania, nu utilizatorii, și estimează că va publica dovada completă a rezervelor marți, 3 noiembrie.

Sâmbătă, FBI a atribuit oficial atacul grupului nord-coreean TraderTraitor, același identificat de TRM Labs. Potrivit FBI, membrii grupului au transformat deja bunurile furate în ether și sunt de așteptat noi încercări de spălare a banilor. Co-directorul general Richard Teng a spus că atacul a fost mai complex decât folosirea abuzivă a drepturilor unui singur inginer, cum sugera explicația inițială a companiei.

Dacă vrei să-ți retragi fondurile: verifică în aplicație sau pe binance.com dacă rețeaua pe care vrei să o folosești e deschisă, așteaptă-te la întârzieri în primele ore și reîncearcă după câteva minute dacă retragerea eșuează. Verifică de două ori adresa și rețeaua, iar la primul transfer spre un portofel nou trimite o sumă mică de test. Ignoră orice e-mail sau mesaj care promite „retrageri rapide” sau „prioritare”: în zilele acestea, astfel de mesaje sunt aproape sigur încercări de fraudă.

Cum s-a desfășurat atacul

Banii nu au fost luați din conturile clienților, ci din portofelele „calde” ale Binance, cele conectate permanent la internet, din care platforma plătește zilnic retragerile utilizatorilor. Majoritatea fondurilor unei platforme stau de obicei în portofele „reci”, ținute offline, tocmai pentru că cele calde sunt mai expuse.

Potrivit reconstituirii TRM Labs, pregătirile au început cu cel puțin 36 de ore înainte. Atacatorii au alimentat un portofel de operare cu sume mici trecute prin Tornado Cash, un serviciu care ascunde proveniența criptomonedelor, și și-au testat codul pe alte portofele. Apoi totul s-a petrecut foarte repede (orele sunt date în ora României):

Cea mai mare parte a pagubei vine de pe Ethereum (circa 3,8 miliarde de dolari) și Bitcoin (circa 1,5 miliarde). Pe Ethereum, atacatorii au folosit o funcție introdusă în 2025, prin care un portofel obișnuit poate executa temporar codul unui contract: au făcut portofelul Binance să ruleze un program care l-a golit automat. Pe celelalte nouă rețele au fost transferuri semnate obișnuite.

Ce spune Binance despre cauză

Binance a declarat că incidentul ar putea avea legătură cu laptopul compromis al unui inginer DevOps, adică al unui angajat care administrează infrastructura. Prin el, atacatorul ar fi ajuns la un serviciu intern și ar fi trimis cereri de retragere neautorizate. Compania spune că nu a găsit „nicio dovadă” că cheile private ale portofelelor ar fi fost furate.

Concluzia TRM Labs merge în aceeași direcție: atacatorii au reușit, cel mai probabil, să facă sistemul care semnează tranzacțiile portofelelor calde să semneze în numele lor, pe toate rețelele deodată. Cu alte cuvinte, nu au spart criptografia, ci au păcălit infrastructura care o folosește. Binance nu a publicat încă un raport complet.

Cât s-a recuperat

O parte importantă din bani a fost blocată în primele ore, pentru că era în monede stabile, emise de companii care pot îngheța adresele:

• Tether a înghețat circa 1,77 miliarde USDT;
• Circle a înghețat circa 825 de milioane USDC;
• Ripple, World Liberty Financial și consiliul de securitate al rețelei Arbitrum au blocat împreună încă aproape 100 de milioane de dolari.

În total, TRM Labs numără aproximativ 2,7 miliarde de dolari înghețați, iar CoinDesk vorbește de circa 3 miliarde. Atacatorii mai controlau însă peste 420.000 ETH și cei 18.270 BTC, în valoare de aproximativ 2,4 miliarde de dolari. Pe acestea nu le poate îngheța nimeni. TRM a urmărit deja cum sunt schimbate prin platforme descentralizate (Uniswap, Aave) și împărțite în sume mai mici, iar următorul pas, spune firma, vor fi serviciile care mută fondurile între rețele și brokerii care le transformă în bani.

Estimările diferă de la o sursă la alta: TechCrunch cita joi seară cel puțin 2 miliarde furate, Chainalysis a ajuns la circa 5,9 miliarde, iar TRM Labs la 6,36 miliarde. Diferențele vin în parte din momentul calculului și din prețul monedelor, care s-a schimbat chiar în timpul atacului.

Cine plătește

Binance spune că va acoperi pierderile din SAFU, fondul de urgență păstrat pentru astfel de situații, și din fondurile companiei. Potrivit CoinDesk, SAFU are circa un miliard de dolari în bitcoin, deci nu acoperă singur paguba. Co-directoarea generală Yi He a scris că Binance va acoperi „toate pierderile din atac”, iar fondatorul Changpeng Zhao, care nu mai conduce compania, dar e cel mai mare acționar, a spus că se așteaptă ca fondurile utilizatorilor să fie „acoperite integral”.

Ca ordin de mărime, înainte de atac Binance deținea active de circa 144 de miliarde de dolari, potrivit DefiLlama. Suma furată reprezintă aproximativ 4% din ele: o lovitură uriașă, dar nu una care să pună automat compania în imposibilitate de plată.

Piața a reacționat imediat. În seara atacului, bitcoinul a scăzut cu 4,8%, sub 77.000 de dolari, ether cu 5,7%, iar BNB, moneda Binance, cu 8%.

Ai cont pe Binance: ce faci acum

• Nu intra în panică și nu căuta scurtături. Retragerile se reiau treptat din 1 noiembrie, rețea cu rețea; verifică în aplicație dacă rețeaua de care ai nevoie e deschisă. Urmărește doar anunțurile din aplicație și de pe conturile oficiale.
• Ferește-te de „recuperări” și „verificări”. După orice atac mare apar mesaje false care cer să-ți confirmi contul, să instalezi o aplicație sau să muți fondurile „într-un portofel sigur”. Binance a avertizat explicit că nu trebuie să ai încredere în linkuri neoficiale și cereri de date. Citește și ghidul nostru despre phishing.
• Verifică securitatea contului. Autentificarea în doi pași cu o aplicație sau o cheie fizică, nu prin SMS, și o listă de adrese aprobate pentru retrageri reduc riscul, chiar dacă incidentul de acum nu a pornit de la conturile clienților.
• Nu ține pe platformă mai mult decât tranzacționezi. O platformă de schimb îți păstrează monedele în locul tău. Pentru economiile pe termen lung, un portofel propriu, cu cheile private păstrate corect, elimină acest risc, dar îți transferă ție responsabilitatea. Am explicat diferențele în episodul despre chei private și portofele din seria Crypto și Blockchain.

De ce contează

Atacurile atribuite Coreei de Nord arată tot mai mult ca operațiuni de spionaj: angajați vizați personal, laptopuri compromise, pregătire de zile întregi, apoi o execuție de câteva minute. TRM Labs vede aceleași tipare ca la Bybit, atribuit de FBI aceluiași grup, și ca la furtul de la KelpDAO din aprilie 2026.

Lecția pentru industrie e incomodă: nici cea mai mare platformă din lume, cu echipe de securitate dedicate, nu și-a putut proteja portofelele calde de un atac care, potrivit primelor indicii, a pornit de la un singur laptop compromis. Pentru utilizatori, concluzia e mai simplă: o platformă care promite că îți păstrează banii în siguranță poate face asta doar până la primul atac reușit.

Surse: TRM Labs (29–30 octombrie: suma totală, rețelele afectate, cronologia, metoda de atac, atribuirea către TraderTraitor, fondurile înghețate și cele rămase la atacatori), CoinDesk (29–30 octombrie: explicația Binance despre laptopul inginerului, fondul SAFU, declarațiile Yi He și Changpeng Zhao, activele Binance, evoluția prețurilor, estimarea Chainalysis), TechCrunch (29 octombrie: confirmarea incidentului, suspendarea retragerilor, declarațiile Binance, prima estimare). Orele sunt convertite în ora României din ora UTC folosită de TRM Labs. Conversia în euro e aproximativă, la un curs de circa 1,14 $/€. Cifrele pot fi revizuite pe măsură ce Binance publică rezultatele anchetei. Actualizarea din 1 noiembrie folosește CNBC (31 octombrie: acoperirea de 90%, sursele banilor, monedele acoperite integral, declarația lui Richard Teng), Reuters, prin Business Recorder, și The National (1 noiembrie: acoperirea de 95%, calendarul primei etape, atribuirea FBI), CryptoTicker (rețelele din prima etapă, dovada rezervelor, recomandările pentru utilizatori) și The Defiant (începutul redeschiderii cu rețeaua Bitcoin).