Binance-hack: a Lazarus árnyéka vetül a 6,3 milliárd dolláros kriptolopásra
Észak-koreai hackerekre mutatnak a nyomok
A TRM Labs nagy bizonyossággal a TraderTraitor nevű észak-koreai hackeregységhez köti a Binance elleni támadást. A Lazarushoz kapcsolódó csoport azonosításához a vállalat blokkláncon rögzített tranzakciókat és más információkat is felhasznált, ugyanakkor a következtetését alátámasztó bizonyítékok teljes körét nem hozta nyilvánosságra. ZachXBT blokkláncnyomozó ettől függetlenül szintén a Lazarust nevezte meg valószínű elkövetőként.
Az attribúció, vagyis egy kibertámadás konkrét szereplőhöz rendelése ebben az esetben is külön kezelendő a pénzmozgások azonosításától. A tranzakciók megmutathatják, honnan hová kerültek az eszközök, az elkövetők személyazonosságának megállapításához azonban további bizonyítékok szükségesek. A Binance egyelőre nem jelentette ki hivatalosan, hogy a Lazarus vagy a TraderTraitor hajtotta végre a támadást.
Ido Ben-Natan, a Blockaid blokkláncbiztonsági vállalat társalapítója és vezérigazgatója a kriptoszektor eddigi legnagyobb hackertámadásaként jellemezte az esetet.
A crypto.news számára adott tájékoztatása szerint az Ethereum, az Arbitrum, az Optimism és az Avalanche hálózatain egy óránál rövidebb idő alatt legalább 3,5 milliárd dollár hagyta el a Binance online tárcáit. Ez már önmagában több mint kétszerese a 2025 februárjában történt Bybit-lopás nagyságrendjének, miközben a Bitcoin- és Tron-tranzakciók tovább növelték az érintett összeget.
Tíz blokkláncon mozgatták meg a vagyont
A TRM Labs összesítése szerint körülbelül 6,36 milliárd dollárnyi kriptoeszköz távozott a Binance ellenőrzése alatt álló tárcákból, összesen tíz blokklánchálózaton. Az érintett rendszerek között szerepelt az Ethereum, a Bitcoin, a Tron, a Solana és az XRP Ledger is. Az összeg kissé eltér a Binance által közölt, kerekített 6,3 milliárd dolláros becsléstől.
A vagyon jelentős részét egy hozzávetőleg húszperces időablakban mozgatták meg, amely 20:05 UTC körül kezdődött. Az Ethereumon mintegy 3,79 milliárd dollár, a Bitcoin hálózatán körülbelül 1,47 milliárd dollár, a Tronon pedig hozzávetőleg 628 millió dollár értékű kiáramlást azonosítottak. Az eltérő hálózatokon végrehajtott műveletek összehangolt, széles körű hozzáférésre utalnak.
Az Ethereum-tárca megtámadása előtt öt Binance-tárcából összesen 233,46 millió XRP, megközelítőleg 296 millió dollárnyi eszköz került ki. Ez különösen fontos részlet, mert azt mutatja, hogy az incidens nem korlátozódott egyetlen Ethereum-fiókra. A teljes történet megértéséhez a több hálózaton működő kiutalási és tranzakció-aláírási folyamatokat is vizsgálni kell.
Legalább 36 órával korábban megkezdődött az előkészítés
A nyomozók szerint a támadás előkészítése legalább 36 órával a lopás előtt elindult. Egy támadó által ellenőrzött tárca három kisebb összeget kapott a Tornado Cash szolgáltatáson keresztül, majd a támadók rosszindulatú programkódot teszteltek, mielőtt a Binance-t célba vették volna. A próbák és az előre telepített kód tudatosan előkészített műveletre utalnak.
A TraderTraitor neve korábbi jelentős kriptolopások kapcsán is felmerült. Az FBI a 2025. február 21. körül végrehajtott, hozzávetőleg 1,5 milliárd dolláros Bybit-lopást Észak-Koreának tulajdonította, és az érintett rosszindulatú kibertevékenységet TraderTraitor néven azonosította. Ez történeti előzményként fontos, de önmagában nem bizonyítja a csoport felelősségét a Binance mostani ügyében.
Az amerikai hatóságok korábban azzal vádolták az észak-koreai hackerműveletek résztvevőit, hogy kriptoeszközök eltulajdonításával segítik az ország fegyverprogramjainak finanszírozását. Emiatt az ilyen támadások vizsgálata túlmutathat a tőzsdei informatikai biztonságon és a pénzügyi kárrendezésen. A Binance-ügyben ugyanakkor a konkrét felelősség megállapítása továbbra is a folyamatban lévő vizsgálat része.
Ötven Ethereum-engedélyből egyetlen sikeres találat
A Blockaid technikai vizsgálata egy szokatlan Ethereum-tranzakciót azonosított, amely 50 EIP-7702-engedélyt tartalmazott. Ezek a Binance egyik legaktívabb online tárcáját, a Binance 14 nevű fiókot célozták. Az online, úgynevezett hot walleteket a tőzsdék a napi pénzmozgások gyors kiszolgálására használják.
Az EIP-7702 lehetővé teszi, hogy egy Ethereum-fiók okosszerződéskódot használjon a működéséhez. A támadó ötven egymást követő tranzakciós számlálóértékhez készített engedélyeket, így növelve annak esélyét, hogy valamelyik megfeleljen a tárca feldolgozáskor aktuális állapotának. A számláló, vagyis a nonce azért volt fontos, mert a tárca közben rendes kiutalásokat is kezelhetett.
Az ötven engedély közül csak egyetlenegy érvényesült, de ez elegendőnek bizonyult a rosszindulatú kód aktiválásához. Ben-Natan magyarázata szerint a támadó lényegében úgy változtatta meg a tárca működését, hogy egyetlen illetéktelen szereplő kiüríthesse azt. A veszély nemcsak a már ott tartott vagyonra, hanem a később beérkező összegekre is kiterjedt.
A Binance 14 tárcából megközelítőleg 2,5 milliárd dollárnyi eszközt vittek el, köztük 167 464 ETH-t és több mint 1,6 milliárd USDT-t. A későbbi tranzakciók az újonnan beérkezett pénzeket is célba vették. A rosszindulatú delegálás így tartós hozzáférést jelenthetett mindaddig, amíg azt meg nem szüntették.
Az aláírási infrastruktúra is érintett lehetett
Más Binance-tárcákból több hálózaton hagyományos, érvényesen aláírt tranzakciókkal mozgatták ki az eszközöket. A TRM értékelése szerint ez arra utalhat, hogy a támadó hozzáférést szerzett a tőzsde tranzakció-aláírási infrastruktúrájához. Ez szélesebb körű problémát jelenthet annál, mint amikor egyetlen okosszerződés hibáját használják ki.
A Binance előzetes vizsgálata egy DevOps-mérnök feltételezhetően kompromittált laptopját jelölte meg lehetséges belépési pontként. Ezen keresztül a támadó egy belső szolgáltatási konténerhez férhetett hozzá, és jogosulatlan kiutalásokat kezdeményezhetett. A vállalat részletes jelentést ígért a támadási útvonal feltárása után.
A tőzsde közlése szerint nem találtak bizonyítékot a privát kulcsok kiszivárgására. Ez nem zárja ki, hogy valaki illetéktelenül használta az aláírásokat előállító belső folyamatokat, de a két helyzet technikailag különbözik. A vizsgálatnak éppen azt kell tisztáznia, hogyan születhettek meg az engedélyek és tranzakciók a jogos tulajdonos szándékával ellentétesen.
Új tárcába került közel 39 millió dollárnyi ETH
Az Onchain Lens blokkláncfigyelő platform beszámolója szerint a támadó 17 260 ETH-t, az akkori árfolyamon hozzávetőleg 38,82 millió dollárt helyezett át egy új tárcába. A megjelölt fogadó cím a 0x03b0eE5d82990cFF1bDa48651AC3e436d1a020ea volt. A pénzmozgás újabb figyelmet irányított az eltulajdonított eszközök további útjára.
A megfigyelés időpontjában a támadóhoz kötött állomány még közel 480 720 ETH-t, körülbelül 1,08 milliárd dollárt tett ki. Ezek időponthoz és árfolyamhoz kötött adatok, ezért nem tekinthetők folyamatosan érvényes egyenlegnek. Az ETH esetében ráadásul nincs olyan tokenkibocsátó, amely a stabilcoinoknál alkalmazott módon egyszerűen befagyaszthatná az érintett cím egyenlegét.
Felmerült, hogy az eszközöket később Tornado Cash vagy más kriptomixerek segítségével próbálhatják nehezebben követhetővé tenni. Az új tárcába történő átutalás azonban önmagában még nem bizonyítja, hogy a pénz már ilyen szolgáltatásba került. A tényleges továbbutalásokat külön kell azonosítani.
Mintegy 3 milliárd dollárnyi vagyont zároltak
A Binance tájékoztatása szerint az együttműködő szereplők hozzávetőleg 3 milliárd dollárnyi érintett eszköz mozgását korlátozták. Paolo Ardoino, a Tether vezérigazgatója több mint 1,567 milliárd USDT befagyasztásáról számolt be, míg Jeremy Allaire, a Circle vezérigazgatója több mint 800 millió USDC zárolását jelezte. A stabilcoin-kibocsátók fellépése jelentős részben megakadályozhatta a pénzek további mozgatását.
Az Arbitrum Security Council körülbelül 74,6 millió ARB-t és 8425 ETH-t biztosított a támadóhoz kapcsolódó vagyonból. Ezek az intézkedések a visszaszerzés lehetőségét javíthatják, de a zárolás és az ügyfelek számára történő visszatérítés nem ugyanaz. A végső veszteség meghatározásához a ténylegesen visszaszerzett összegeket is ismerni kell.
Mikor indulhatnak újra a Binance-kiutalások?
A Binance azt vállalta, hogy a veszteségeket a SAFU ügyfélvédelmi alapból és a vállalat saját forrásaiból fedezi. Ezzel párhuzamosan a hatóságokkal és blokkláncelemzőkkel dolgozik a vagyon követésén, valamint a belső rendszerek megerősítésén. Az ügyfelek szempontjából a vállalás teljesítése és a szolgáltatások biztonságos helyreállítása a két legfontosabb kérdés.
A későbbi tájékoztatás szerint a befizetések működtek, a kiutalások azonban a rendszerek és a címellenőrzések fejlesztése alatt szüneteltek. A tőzsde a közlését követő 48 órán belülre várta a kiutalások újraindítását. Ez előzetes helyreállítási várakozás, nem pedig már megtörtént újraindítás vagy feltétel nélküli határidő.
A kriptopiacot is megrázta a támadás
Az incidens hírére a kriptovaluták piacán eladói nyomás jelentkezett, és a Bitcoin árfolyama átmenetileg 77 000 dollár alá esett. A beszámolóban szereplő 24 órás összesítés szerint a származtatott piaci likvidálások értéke meghaladta az 1,5 milliárd dollárt. Ez a tőkeáttételes pozíciók kényszerű lezárását jelenti, és nem adható hozzá a Binance-ből eltulajdonított vagyonhoz.
A nagy tőzsdét érintő biztonsági incidensek az egész piac kockázatvállalási hajlandóságát befolyásolhatják. A befektetők ilyenkor nemcsak az árfolyamokat, hanem a letétkezelés biztonságát, a kiutalások elérhetőségét és a szolgáltatók pénzügyi helyzetét is újraértékelik. A piaci esés teljes mértékét ugyanakkor nem lehet automatikusan egyetlen eseménynek tulajdonítani.
Összegzés: a pénz útja láthatóbb, a felelősség még vizsgálat alatt áll
A Binance elleni támadás mérete, a tíz hálózatot érintő pénzmozgások és az előkészítés nyomai összetett, összehangolt műveletre utalnak. A TRM Labs nagy bizonyossággal a TraderTraitorhoz köti az akciót, míg más nyomozók a Lazarust nevezik meg valószínű elkövetőként. Ez erős elemzői álláspont, de nem azonos a Binance által megerősített vagy jogerősen megállapított felelősséggel.
A következő érdemi fejleményt a részletes technikai jelentés, a kiutalások helyreállítása és a visszaszerzett vagyonról szóló új adatok jelenthetik. A hozzávetőleg 3 milliárd dolláros zárolás jelentős kárenyhítési eredmény, miközben a fennmaradó eszközök követése továbbra is kulcsfontosságú. A Binance teljes veszteségfedezetet ígért; a történet végső mérlegét ennek megvalósulása és a vizsgálat eredménye határozza meg.
