רוב הכסף יצא בתוך עשרים דקות. ב-29 באוקטובר, בשעה 20:05 לפי שעון UTC, התחילו העברות מארנקים של בינאנס על עשרה בלוקצ'יינים במקביל, ולפי חברת הניתוח TRM מדובר בכ-6.36 מיליארד דולר, בערך פי ארבעה מהגניבה הגדולה שקדמה לה. כשכתבנו כאן על האירוע ביום שישי אף אחד לא היה מוכן לנקוב בסכום סופי ואף אחד לא נקב בשם. עכשיו יש שם.

מה קרה

ה-FBI, יחד עם השירות הסודי האמריקאי ועם האגף לחקירות פליליות של רשות המס, ייחס את הגניבה לקבוצה בשם TraderTraitor, שפועלת מטעם קוריאה הצפונית ומכונה בדוחות שונים גם Lazarus, APT38, Jade Sleet ו-UNC4899. לפי ההודעה התוקפים ממירים את הנכסים בעיקר לאת'ריום, וצפויים להמשיך ולהלבין אותם דרך שירותי החלפה מהירה ומערכות מסחר מבוזרות. ה-FBI פרסם גם רשימת כתובות ארנקים שהכסף עובר בהן. שתי חברות ניתוח בלוקצ'יין, TRM ו-Chainalysis, הצביעו על אותה קבוצה עוד לפני ההודעה הרשמית.

המספרים עצמם עדיין נעים, ושווה לדעת מי אומר מה. ההיקף שמיוחס לאירוע נע בין 6.36 ל-6.43 מיליארד דולר לפי הגורם המדווח, 82 אחוזים ממנו זז על את'ריום וביטקוין, ועד כה הוקפאו כ-2.85 מיליארד דולר על ידי מנפיקות המטבעות היציבים טת'ר, סירקל וריפל ועל ידי הרשתות Arbitrum ו-Optimism. לפי TRM התוקף התחרה בהקפאות: הוא מכר USDT לעושי שוק ולווה את'ריום כנגד USDT, וכך מחזיק כיום יותר מ-420 אלף את'ריום ו-18,270 ביטקוין שאף מנפיק לא יכול להקפיא. בינאנס אמרה שחידשה הבוקר את השלב הראשון של המשיכות, שההפקדות לא נפסקו, ושהיא תכסה את ההפסד מכספי החברה ומקרן הביטוח שלה.

החלק שמעניין יותר הוא איך הקבוצה נכנסת בכלל. לפי דיווחי מיקרוסופט, SentinelOne ו-Zscaler, הדרך המועדפת של TraderTraitor היא פנייה לעובד בחברה שמעניינת אותה, כמעט תמיד בתור מגייס או לקוח פוטנציאלי, עם קובץ או מאגר קוד שצריך להריץ כדי "לבצע מבחן קבלה" או לבדוק אינטגרציה. מיקרוסופט תיארה חברה פיקטיבית שהציגה את עצמה כחברת מודיעין בלוקצ'יין מבוססת AI, ועוד שתי חברות כיסוי שנבנו לאותה מטרה. כלומר הגישה לא מושגת דרך חולשה בקוד של הקורבן אלא דרך אדם שפתח קובץ, ולשיטה הזאת קוראים הנדסה חברתית.

למה זה חשוב לכם

לישראלים רבים יש חשבון בבינאנס, והמשיכות חוזרות בשלבים. אם המשיכה שלכם לא עוברת, זה כנראה התור ולא החשבון שלכם. אבל יש כאן עניין שני, שנוגע גם למי שלא נגע בקריפטו בחיים: ישראל מלאה במתכנתים ובאנשי פיננסים שמקבלים פניות מגייסים בלינקדאין כדבר שבשגרה, וזה בדיוק הערוץ שהקבוצה הזאת עובדת בו.

מה עושים?

אם המשיכה מבינאנס נכשלת, בדקו את המצב רק באפליקציה הרשמית. אל תחפשו "דרך חלופית למשוך" בקבוצות טלגרם או בתוצאות חיפוש, כי זה בדיוק מה שמחכה שם.

קיבלתם פנייה של מגייס עם מאגר קוד, קובץ התקנה או "מבחן בית" להריץ? אל תריצו אותו על המחשב שבו אתם עובדים או מחזיקים ארנק. אמתו את זהות החברה והמגייס דרך האתר הרשמי שלה, לא דרך הקישור שנשלח אליכם.

החזיקו בבורסה רק את מה שאתם סוחרים בו בפועל, והפרידו בין המכשיר שבו אתם ניגשים לכסף ובין המכשיר שבו אתם פותחים קבצים מאנשים שלא פגשתם.

חברת Elliptic מעריכה שהמתקפה הזאת כמעט מכפילה את כל מה שקוריאה הצפונית נחשדת בגניבתו עד כה בקריפטו, סכום שעמד לפי הערכתה על יותר מ-6.5 מיליארד דולר. לא נדרשה לכך חולשה בבינאנס. נדרש מהנדס אחד שפתח קובץ.