Így loptak el több mint 2000 milliárd forintot a Binance kriptotőzsdétől

A Binance elleni támadás 2026. október 29-én, magyar idő szerint csütörtökön 21:05-kor kezdődött. A hackerek a tőzsde online tárcáit ürítették ki, amelyekből a Binance a napi kiutalásokat intézi, mindezt legalább 10 blokkláncon egyszerre.

A Binancet ért lopás minden idők legnagyobb kriptolopása. A tőzsde nagyjából 6,3 milliárd dollárra teszi a kárt, a független blokkláncelemzők 6,4 milliárd dollár körüli összeget mértek, mert más időpont árfolyamával számoltak. Ez az október 29-i 328,8 forintos dollárárfolyammal több mint 2000, pontosabban nagyjából 2070 milliárd forint, és több mint négyszerese annak a mintegy 1,5 milliárd dollárnak, amelyet 2025 februárjában a Bybitről loptak el.

A TRM Labs blokkláncelemző cég mérése alapján a pénz nagy része nagyjából húsz perc alatt hagyta el a tőzsdét. A Binance még aznap este leállította a kiutalásokat, a befizetések viszont végig működtek.

A Binance október 30-i előzetes vizsgálata szerint a támadó egy üzemeltető mérnök feltört laptopján át jutott el a tőzsde egyik belső szolgáltatásáig, és onnan jogosulatlan kiutalásokat küldött be. A tőzsde a privát kulcsok kiszivárgására nem talált bizonyítékot. A blokkláncelemzők úgy látják, hogy a hackerek a tőzsde saját aláíró rendszerével íratták alá a kiutalási kéréseiket, a Binance vizsgálata pedig később további behatolási pontokat is talált.

Ötven engedélyből egy talált. Az Ethereumon a támadók az EIP-7702 nevű funkciót használták ki, amellyel egy tárca egyetlen aláírt engedéllyel egy külső okos szerződés kódját kezdi futtatni. Ezeket az engedélyeket is a tőzsde aláíró rendszerével íratták alá, ezért a privát kulcsra nem volt szükségük. Ötven ilyen engedélyt küldtek be egyszerre, mert nem tudhatták, hányadik sorszámnál tart éppen a tranzakciós tárca, és ebből a 35. betalált.

A tárca átvétele nagyjából 15 dollárnyi tranzakciós díjba került, a tárcára ültetett söprő kód utána három és fél órán át a támadó címeire továbbította az oda érkező pénzt. A technikai lépéseket külön cikkben mutattuk be: így verték át a hackerek a Binance tárcáját egyetlen tranzakcióval.

Nem a hackerek üzenete. Az X-en sokan osztják meg a kódban talált gúnyos mondatot, ezt azonban nem a hackerek hagyták ott. Egy független elemző írta a visszafejtett kód fejlécébe, a láncon futó gépi kódban nincs benne.

Az FBI október 31-én az észak-koreai TraderTraitor csoportot nevezte meg tettesként, amelyet a Lazarus gyűjtőnéven ismert állami hackerhálózathoz sorolnak. A hatóság ugyanezt a csoportot tette felelőssé a Bybit feltöréséért is. A TRM Labs, a Chainalysis és az Elliptic egymástól függetlenül ugyanerre jutott.

Közös nyom a Bitgettel. A legerősebb nyom az volt, hogy a Binancetől ellopott pénz egy része ugyanazokra a címekre érkezett, mint a Bitget szeptemberi, 388 millió dolláros feltöréséből származó pénz. Az előkészítés a korábbi észak-koreai támadások mintáját követte. A támadó tárcája október 28-án a Tornado Cash keverőszolgáltatásból kapott pénzt, a kódot pedig a támadás napján két tárcán kipróbálta, mielőtt élesben bevetette.

Az FBI 628 címet tett közzé, és arra kérte a kriptós szolgáltatókat, hogy blokkolják az ezekkel kapcsolatos tranzakciókat. A lista a hackerek pénzmosását nehezíti, a már elcserélt pénzt azonban nem hozza vissza.

Az állam bevételi forrása. A CertiK biztonsági cég szerint 2025-ben a kriptós hackertámadások 3,4 milliárd dolláros kárából nagyjából 2 milliárd dollárt, vagyis mintegy 60 százalékot észak-koreai csoportok vittek el. A cég 2016 és 2026 eleje között 263 esetben összesen 6,75 milliárd dollárt tulajdonít nekik, így ez az egyetlen lopás majdnem annyit hozott, mint az előző közel tíz év együtt.

A leggyorsabban a stablecoinok kibocsátói léptek. A Tether és a Circle már az első órában zárolta a támadó címein lévő USDT-t és USDC-t, a tőzsde úgy számol, hogy így nagyjából 3 milliárd dollárnyi lopott pénz nem mozdítható. Az Elliptic 2,85 milliárd dollár befagyasztását ellenőrizte, ez az általa mért zsákmány 44 százaléka.

A hackerek láthatóan számoltak a fagyasztással, és két úton próbálták kijátszani.

• A befagyasztható stablecoinok egy részét rövid idő alatt, több mint 10 százalékos veszteséggel Ethereumra váltották.
• Egy másik részét az Aave hitelpiacán fedezetként helyezték el, és a fedezet ellenében Ethereumot vettek fel kölcsön.

A Bitcoin (77 715 dollár) és az Ethereum ugyanis központi kibocsátó híján nem fagyasztható be. Az Elliptic november 1-jei számítása szerint nagyjából 3,25 milliárd dollárnyi kripto maradt a hackereknél, főleg Ethereum és Bitcoin.

A pénzt automatizált programok mozgatják ezernyi apró utalással, a THORChain csereplatform október 31-i leállása azonban lelassította az egyik kedvelt útvonalukat.

A Binance az első naptól azt mondja, hogy a kárt a tőzsde állja, nem az ügyfelei. Október 30-án 6,34 milliárd dollárt különített el erre a saját pénzéből, ebből 5 milliárd dollárnyit már pontosan azokban a tokenekben tartott, amelyeket elloptak.

A pótlás gyorsan haladt. A tőzsde október 30-án a kár 80, október 31-én 90, november 1-jén 95 százalékát jelentette pótoltnak. A pénz a SAFU nevű vészhelyzeti alapból, a határidős kereskedés biztosítási alapjának egy részéből és a cég saját tartalékaiból jött. A hiányzó 5 százalék kevésbé likvid tokenekből áll, ezeket nagy tételben nehezebb megvenni.

A pótlás ellenőrizhető is. A Binance november 2-án közölte, hogy elkészült az október 31-i tartalékigazolás kriptográfiai bizonyítéka, így a tíz legnagyobb érintett token tulajdonosai maguk ellenőrizhetik, hogy az egyenlegük mögött legalább 1:1 arányú fedezet áll. Brit ügyvédek ugyanakkor arra figyelmeztetnek, hogy a vállalás nem jogi kötelezettség, a felhasználási feltételek korlátozzák a tőzsde felelősségét.

A kiutalások november 1-jén, vasárnap reggel 7 órakor indultak újra magyar idő szerint, elsőként a Bitcoin hálózatán, délutánra pedig mind a 15 kiemelt hálózaton. A tőzsde a biztonsági ellenőrzések miatt fokozatosan nyit, több száz token kiutalása még szünetel, a következő kört a Binance november 3-ra tervezi.

Sokan rögtön ki is vitték a pénzüket. Az újranyitás utáni első kilenc és fél órában 3,64 milliárd dolláros nettó kiáramlást mért a Binance, ez a tőzsde 171 milliárd dolláros eszközállományának 2,1 százaléka.

Magyar szemmel két dolog fontos. A Binance november 2-án köszönő kampányt indított díjvisszatérítő utalvánnyal és megemelt kamattal, ebből azonban az Európai Gazdasági Térség lakói, így a magyar ügyfelek is ki vannak zárva. A csalók közben 150 dolláros kártérítést ígérő hamis képernyőképekkel próbálkoznak. Changpeng Zhao, a Binance alapítója is óvatosságra intett a csalók miatt. A tőzsde azt kéri, hogy az ügyfelek csak a hivatalos csatornáinak higgyenek, így privát üzenetben érkező kártérítési linkre soha ne kattints.

A teljes támadási láncot bemutató technikai jelentést a Binance a vizsgálat lezárása utánra ígérte, november 2-ig ez nem jelent meg.