‏Binance: נגנבו 6.3 מיליארד דולר מהארנקים החמים, מחשב נייד של DevOps כרמז ראשון, וה-FBI מצביע על צפון קוריאה

‏Binance מאשרת שהארנקים החמים שלה נפרצו ב-29 באוקטובר, עם הפסד של כ-6.3 מיליארד דולר. תחילה הצביעה החברה על מחשב נייד של מהנדס DevOps, ולאחר מכן מצאה נקודות חדירה נוספות. לפי BleepingComputer, ה-FBI מייחס את הגניבה לקבוצה הצפון קוריאנית TraderTraitor.

מה קרה

‏Binance מסרה שהארנקים החמים שלה נפרצו בסביבות 20:05 UTC ב-29 באוקטובר 2026, מה שאפשר משיכות לא מורשות בהיקף של כ-6.3 מיליארד דולר. ‏TRM Labs, הנוקבת בסכום של 6.36 מיליארד, מדווחת שהכספים יצאו בעשר רשתות בלוקצ׳יין, רובם בתוך כ-20 דקות, ומכנה זאת גניבת הקריפטו הגדולה ביותר שתועדה. לפי BleepingComputer, ה-FBI פרסם ב-31 באוקטובר התראה המייחסת את הגניבה ל-TraderTraitor, קבוצה הנתמכת על ידי המדינה הצפון קוריאנית; יחד עם ה-Secret Service ו-IRS Criminal Investigation הוא ביקש מפלטפורמות המסחר לחסום 628 כתובות הקשורות להלבנת הכספים.

כיצד התוקפים חדרו

ההודעה הראשונה של Binance הצביעה על מחשב נייד פרוץ של מהנדס DevOps, ששימש להגיע לקונטיינר שירות ולהגיש עסקאות משיכה. ההודעה הבאה מוסיפה שממצאים מאוחרים יותר חשפו נקודות חדירה נוספות. החברה מוסרת שאין ראיות לדליפת מפתחות פרטיים ומבטיחה דוח מפורט. לפי BleepingComputer, אחד המנכ״לים השותפים אמר שהתוקף לא הסתפק בהרשאות של מהנדס יחיד ושאיש לא הוחזק כאחראי. ‏TRM Labs סבורה שההסבר הסביר ביותר הוא השתלטות על תשתית החתימה של הארנקים החמים; ‏Binance לא פרסמה סיבת שורש.

‏Binance מדווחת על כ-3 מיליארד דולר שהוקפאו ברשתות ומבטיחה לספוג את ההפסד. ב-1 בנובמבר מסרה שכ-95% מהסכום כוסה, שההפקדות לא נפגעו ושלב ראשון של משיכות מתוכנן לאותו יום בין 06:00 ל-09:00 UTC.

מה לעשות עכשיו

1. הקצו עמדות ייעודיות לניהול: ללא דוא״ל וגלישה כללית במחשב שיש לו גישה לסביבת הייצור.
2. הסירו סודות ארוכי טווח ממחשבים ניידים: בדקו את ~/.ssh, את ~/.kube/config ואת קובצי ההרשאות לענן, ועברו לגישה קצרת מועד דרך SSO עם MFA במפתח חומרה.
3. מדדו מה מחשב נייד יכול לעשות: הריצו kubectl auth can-i --list עם פרטי ההתחברות של מנהל מערכת, הסירו את המיותר וחסמו גישה ישירה מרשתות המשרד לקונטיינרים בסביבת הייצור.
4. דרשו אישור שני לפעולות בלתי הפיכות: ייצוא המוני, מחיקת גיבויים, תשלומים.
5. הגדירו התראות נפח עם עצירה אוטומטית: ב-20 דקות אין זמן להחלטה אנושית.

הדעה שלנו

מעט חברות מחזיקות מיליארדים, אך כמעט לכולן יש מחשב נייד של מנהל מערכת שמגיע לסביבת הייצור. מה שלא יקבע הדוח הסופי, היעד נשאר זהה: מחשב פרוץ אחד לעולם לא אמור להספיק כדי להפעיל פעולה בלתי הפיכה. גם שלילת גישה מהירה כדאי לתרגל לפני שהיא נדרשת.

מקורות

• Binance — Security Incident Update
• Binance — Security Incident Update #2
• Binance — Security Incident: Recovery Update #4
• TRM Labs — North Korea steals USD 6.36 billion from Binance
• BleepingComputer — FBI links $6.3 billion Binance crypto heist to North Korean hackers
• BleepingComputer — Binance links $6.3 billion crypto theft to compromised DevOps laptop

איך אנחנו בוחרים, מאמתים וכותבים את הניתוחים שלנו ←