מי שניסה אתמול בלילה למשוך כסף מחשבון בבינאנס לא הצליח. הבורסה הגדולה בעולם למטבעות קריפטו השעתה הפקדות ומשיכות, הודיעה שהיא בודקת “אירוע אבטחה”, ולפי ההודעה שלה האירוע נוגע לנכסים בשווי כ-6.3 מיליארד דולר. כ-3 מיליארד מהם, היא אומרת, כבר הוקפאו.

מה קרה

לפי הבדיקה הראשונית של בינאנס עצמה, הכול התחיל ממחשב נייד של אחד המהנדסים בחברה שנפרץ. מהמחשב הזה הגיע התוקף לאחת המערכות הפנימיות של הבורסה, ומשם נשלחו פקודות משיכה שאף אחד לא אישר. בינאנס מדגישה שאין לה עדות לדליפה של מפתח פרטי, כלומר של הקוד הסודי שחותם על העברות מהארנקים שלה. חוקרים חיצוניים שעקבו אחרי ההעברות על הבלוקצ'יין עדיין חלוקים ביניהם על המנגנון המדויק, ובינאנס מצידה לא פרסמה פירוט טכני.

החלק שדווקא עבד קרה בשעות שאחרי. חלק גדול מהכסף שיצא הוא לא ביטקוין אלא מטבעות שהערך שלהם קבוע מול הדולר, וכאלה מונפקים על ידי חברה אמיתית עם כתובת ועם הנהלה. לחברה כזאת יש מתג: היא יכולה לסמן כתובת מסוימת, והמטבעות שיושבים בה פשוט מפסיקים לזוז. הכסף נשאר רשום על הבלוקצ'יין וחסר שימוש. כך הודיעה טת'ר שהקפיאה יותר מ-1.567 מיליארד USDT, סירקל הודיעה על יותר מ-800 מיליון USDC, ולפי יי הה, ממקימות בינאנס, ריפל הקפיאה עוד כ-200 מיליון דולר.

כמה נגנב בפועל אף אחד לא יודע לומר עדיין. בינאנס לא פרסמה סכום הפסד סופי, ו-6.3 מיליארד דולר הוא ההיקף שהיא מייחסת לאירוע ולא סכום שאושר כגנוב. חברת הניתוח Chainalysis העריכה כ-5.912 מיליארד דולר, Glassnode הגיעה לכ-5.3 מיליארד, וחלק מהאנליסטים מזהירים שההערכות הגבוהות עשויות לכלול העברות שאינן קשורות לאירוע. יי הה כתבה ש“כספי המשתמשים בטוחים” ושהחברה תכסה כל הפסד.

למה זה חשוב לכם

לישראלים רבים יש חשבון בבינאנס, והאירוע הזה ממחיש מה המשמעות של ההחזקה הזאת. כסף שיושב בחשבון בבורסה רשום על שמכם אצל הבורסה, והמפתחות שמזיזים אותו בפועל הם שלה. ברגע שהיא עוצרת משיכות אתם לא יכולים להוציא אותו, גם אם לחשבון שלכם לא קרה שום דבר. בענף אומרים את זה בארבע מילים: not your keys, not your coins.

ויש כאן גם סיכון מיידי יותר. אחרי כל אירוע כזה מגיע גל הודעות שמתחזות לבורסה ומציעות “לאמת את החשבון” או “להציל את הכסף”. מערך הסייבר הלאומי הזהיר כבר בתחילת החודש משיחות ומסרונים שמתחזים ל-Binance, ועכשיו יש לקמפיין הזה עילה מושלמת להיתלות בה.

מה עושים?

אל תגיבו להודעה, לשיחה או למייל בנושא האירוע. עדכונים אמיתיים מופיעים באפליקציה הרשמית ובאתר של הבורסה, שאליו מגיעים בהקלדת הכתובת ולא בלחיצה על קישור.

אל תפנו לשירותי “שחזור כספים” שצצים ברשתות ובתוצאות החיפוש בימים כאלה. אין גורם פרטי שמחזיר קריפטו שנגנב, ומי שמציע את זה גובה מקדמה ונעלם.

החזיקו בבורסה רק את מה שאתם באמת סוחרים בו, והעבירו את היתר לארנק שהמפתח שלו אצלכם. בחשבון עצמו שווה להגדיר רשימת כתובות מאושרות למשיכה, כך שגם מי שמצליח להיכנס אינו יכול לשלוח כסף לכתובת חדשה.

כדאי לומר את זה בפירוש: שום הגדרה בחשבון שלכם לא הייתה מונעת את האירוע הזה, כי הפריצה הייתה אצל בינאנס ולא אצל הלקוחות. ההקפאה עבדה הפעם רק מפני שרוב הכסף היה במטבעות שיש להם בעל בית. על ביטקוין אין מתג כזה.