ProCat Solutions

Húsz perc alatt tűnt el 6,3 milliárd dollár a Binance tárcáiból, és a nyomok Észak-Koreába vezetnek

Minden idők legnagyobb kriptolopása egy fejlesztő laptopjával kezdődött. Percről percre rekonstruáltuk, hogyan ürítették ki a tárcákat, hová tart a pénz, és mit jelent ez a piacnak.

2026. október 30. ProCat Solutions BinanceKriptobiztonságÉszak-KoreaTraderTraitorLazarusEIP-7702Hot walletPénzmosás

Megosztás

Húsz perc alatt tűnt el 6,3 milliárd dollár a Binance tárcáiból, és a nyomok Észak-Koreába vezetnek

Karikatúra: kitalált operett-diktátor arany fogakkal és arany órával, aranytrónon ül egy régi számítógépekkel teli szobában, körülötte aranyérmek — Illusztráció

Tizenkilenc perc. Október 29-én, csütörtökön magyar idő szerint 21:05-kor eltűnt az első XRP a Binance egyik tárcájából, 21:24-kor pedig egyetlen tranzakció 2,5 milliárd dollárt vitt el az Ethereumról. Mire az éjszaka véget ért, a világ legnagyobb kriptotőzsdéje elszenvedte minden idők legnagyobb kriptolopását. A TRM Labs blokklánc-elemző cég szerint a lopáskori árfolyamon 6,36 milliárd dollárnyi kripto ment el, a Binance saját becslése 6,3 milliárd. Ez több mint négyszerese a 2025 februári Bybit-lopásnak, az addigi csúcstartónak.

A pénz nem az ügyfelek számláiról tűnt el. A tőzsde saját, folyamatosan online lévő úgynevezett hot walletjeiből vitték el, amelyekből a Binance a felhasználói kifizetéseket intézi. A Cointegrity elemzése 17 ilyen tárcát számolt össze tíz blokkláncon. A legnagyobb tétel az Ethereumról ment el (3,79 milliárd dollár, köztük 200 630 ETH és 1,875 milliárd USDT), a Bitcoin-láncról 18 270 BTC, a Tronról 628 millió, az XRP Ledgerről 296 millió dollár.

Üres, éjszakai irodai nyitott tér, egy asztalon nyitva hagyott laptop, kávésbögre és belépőkártya

Az éjszaka, percről percre

A TRM, a Cointegrity, az Elliptic és a Cointelegraph élő tudósítása alapján az időpontok magyar idő szerint:

Október 28., reggel
A támadó tárcáját apró, a Tornado Cash keverőből érkező utalásokkal töltik fel. Az előkészítés és a tesztelés legalább 36 órán át tart.
Október 29., 16:59
Telepítik az utolsó „söprő” okosszerződést.
21:05
Az XRP Ledgeren indul a lopás, utána kilenc láncon sima, aláírt utalásokkal ürítik a tárcákat 21:48-ig.
21:20:59
Az Ethereumon célba ér az a csomag, amelyben 50 előre aláírt EIP-7702-felhatalmazás van.
21:24:23
Az első ethereumos söprés 167 464 ETH-t, 1,615 milliárd USDT-t és 62 másik tokent visz el, összesen 2,53 milliárd dollárt.
22:01 és 22:04
A Tether befagyasztja a fő fogadó címet, a Circle 823 millió USDC-t.
22:15
Az első nyilvános riasztás, egy Spreek nevű kutatótól az X-en.
22:30 és 23:32 között
A Binance leállítja a kifizetéseket. A pontos időpontban a források nem egyeznek.
00:56 (október 30.)
Az utolsó ismert söprés.
Október 30., 01:30
A TRM közzéteszi, hogy az észak-koreai TraderTraitor csoportot gyanítja. 09:37-kor a Binance további behatolási pontokról beszél, 11:55-kor bejelenti, hogy 6,34 milliárd dollárt különített el a kártérítésre.
Október 31.
A Binance közli, hogy a lopott eszközök 90 százalékát pótolta.

Hogyan jutottak be

Richard Teng, a Binance vezérigazgatója szerint a támadók egy DevOps-mérnök feltört laptopján keresztül jutottak be. Onnan elértek egy szolgáltatás-konténert, amely kifizetési tranzakciókat tudott beküldeni. Október 30-án Teng már arról beszélt, hogy a laptopon túl további behatolási pontokat is találtak, és ez nem egy mérnök jogosultságával végrehajtott, egy kattintásos akció volt. Privát kulcs a cég szerint nem szivárgott ki. A támadók egy „önmegsemmisítő” mechanizmussal eltüntették az eszközeiket.

Ez a történet lényege. A kulcsok biztonságban voltak, de a támadó azt a rendszert irányította, amely megmondja a kulcsoknak, mit írjanak alá. A Cointegrity így foglalta össze: a kulcsok aláírták, amit kértek tőlük. Az elemzés szerint öt ellenőrzési pont nem riasztott, hogy melyek, azt nem részletezi.

Az EIP-7702 csapdája

Az Ethereumon a támadók egy alig másfél éves funkciót használtak ki. Az EIP-7702 a 2025. május 7-i Pectra-frissítéssel élesedett, és lehetővé teszi, hogy egy hagyományos tárca egy okosszerződésre ruházza át a működését. A kényelmi funkcióból gyorsan bűnözői eszköz lett: a Wintermute 2025 júniusi elemzése szerint az addigi EIP-7702-delegálások több mint 97 százaléka ugyanarra a kódra mutatott, olyan „söprő” szerződésekre, amelyek automatikusan kiürítik a feltört tárcákat.

A Binance-nél a támadó nem tudhatta előre, hogy a végrehajtás pillanatában hányadik tranzakciónál tart a tárca. Ezért 50 felhatalmazást íratott alá, egymást követő sorszámokra, a 18 914 775-östől a 18 914 824-esig. Az egyik talált, és a „Binance 14” nevű tárca innentől a támadó szerződéseként működött. A delegálás állandó megbízásként viselkedett: minden újonnan beérkező összeget elsöpört, a felhasználók friss befizetéseit is. Ezért jött még hat söprés órákon át.

A biztonsági szakma ajánlásai egyértelműek. A hot walletek aláíró rendszerének egyszerűen el kellene utasítania az EIP-7702-felhatalmazásokat, vagy csak előre jóváhagyott szerződésekre engedni őket. Riasztani kellene, ha egy tőzsdei tárca címén kód jelenik meg. Hogy a Binance-nél melyik ellenőrzés hiányzott, nem tudjuk.

Férfi este a konyhaasztalnál a telefonját nézi, mellette nyitott laptop és félig megevett vacsora

A minta: kulcsot nem lopnak, aláírást igen

A TRM „nagy bizonyossággal” az észak-koreai TraderTraitor csoportot nevezte meg, amelyet az amerikai pénzügyminisztérium a Lazarus-csoport részeként kezel. A Chainalysis szerint is valószínűleg ők voltak, az Elliptic óvatosabb. Kormányzati megerősítés nincs, az FBI annyit közölt, hogy tud az esetről, a vizsgálatba a Secret Service is beszállt.

A módszer ismerős. 2024 májusában a japán DMM Bitcointól 308 millió dollárnyi BTC tűnt el, miután egy hamis LinkedIn-toborzó „felvételi tesztnek” álcázott programot küldött egy tárcaszolgáltató alkalmazottjának. 2025 februárjában a Bybit 1,5 milliárd dollárja azért veszett el, mert egy Safe{Wallet}-fejlesztő gépét egy fertőzött Docker-projekten át törték fel, és a webes felületbe csempészett kód miatt a Bybit aláírói egy manipulált tranzakciót hagytak jóvá. Az FBI öt nappal később nevezte meg a TraderTraitort. 2026 szeptemberében a Bitgetnél a támadók egy háttérrendszerben meghamisították a tranzakciós adatokat, és így indították el a jóváhagyási folyamatot. Kulcsot egyik esetben sem loptak. A fejlesztőket és a beszállítókat támadják, és azt a pontot, ahol az aláírás születik.

A pénz útja

A stabilcoinok mentek elsőnek, mert azokat a kibocsátó be tudja fagyasztani. A TRM szerint a támadó húsz percen belül 325 millió USDT-t váltott nagyjából 122 300 ETH-ra, a piaci árnál több mint 10 százalékkal drágábban. Ennyit megért, hogy a pénz befagyaszthatatlan legyen. Az Aave hitelpiacon 60 millió USDT fedezet mellé 19 762 ETH-t vett fel kölcsön, a Tronon 300 millió USDT-t helyezett el a JustLend platformon, 234 milliót TRX-re váltott. A Chainalysis szerint a mosás automatizált, szkriptek ezrével gyártják az egyszer használatos címeket.

A Tether 37 perccel az első ethereumos söprés után lépett. A kisebb tételekkel együtt a TRM szerint összesen mintegy 2,7 milliárd dollár fagyott be. A 18 270 bitcoint 19 adagra bontották, és október 30-ig egyiket sem mozdították, ahogy az XRP-t és a SOL-t sem. A TRM szerint a támadónál nagyjából 420 ezer ETH és a teljes BTC-állomány maradt, ami egyetlen kibocsátó számára sem elérhető.

A Bybit-pénzzel tíz nap alatt végeztek: a 499 ezer ETH 72 százaléka a THORChain nevű láncközi protokollon át alakult bitcoinná. Az Elliptic szerint a készpénzzé váltás ennél jóval tovább, hónapokig tartott, tőzsdén kívüli (OTC) brókereken keresztül. Most is erre számítanak.

Mi lesz a piaccal

Október 30-án a bitcoin 3,3 százalékot esett, 76 173 dollárig, egy hónap után először került 77 ezer alá. Az ether nagyjából 6, a BNB 7,6 százalékot veszített, a spot ETH ETF-ekből már október 29-én 105,5 millió dollár áramlott ki. A Bloomberg szerint az esés egy része a technológiai részvények aznapi zuhanásából jött. Október 31-re a bitcoin 77 600, az ether 2252 dollár körül stabilizálódott.

A nagyobb kérdés a támadónál maradt készlet. A 18 270 BTC nagyjából 1,4 milliárd dollár, ez a CoinGecko szerint a bitcoin egynapi, 51,6 milliárd dolláros forgalmának 2,7 százaléka. A 420 ezer ETH a 24/7 Wall St számítása szerint a napi ethereum-forgalom 3,6 százaléka, ami önmagában nem elég ahhoz, hogy 2000 dollár alá nyomja az árat. Két forgatókönyv van:

Lassú kivezetés: ha a Bybit mintáját követik, a pénz hetek alatt bitcoinná alakul, majd hónapokig szivárog OTC-brókereken át. Ennek közvetlen árhatása kicsi.
Gyors eladás: ha egyszerre próbálnak szabadulni a készlettől, rövid, éles nyomás jöhet, főleg az ETH-ra. Ez kevésbé valószínű, mert a tőzsdék és az elemzők minden mozdulatot figyelnek.

A tartósabb hatás a bizalomban és a szabályozásban jelentkezhet. Tőzsderoham most nem lehetett, mert a kifizetések le voltak állítva. A november 1-jei újranyitás lesz az első valódi teszt. A zero-knowledge alapú tartalékigazolás november 3-ig jön.

Kié a hatalom a pénz felett

A befagyasztás mentette meg a lopott összeg majdnem felét, de vitát is nyitott. Anton Golub, a Forte vezetője szerint ha a Binance-t törik fel, az iparág órák alatt majdnem 3 milliárd dollárt fagyaszt be, ha kisebb szereplőket, akkor bírósági végzésekről hallunk. A Circle az áprilisi Drift-lopásnál nem fagyasztott, akkor csak hatósági kérésre vagy bírósági végzésre lépett. A Tether vezetője, Paolo Ardoino szerint az iparág védelme az elsődleges. Jogászok arra figyelmeztetnek, hogy egy téves befagyasztásért a kibocsátó felelhet. A decentralizáció hívei pedig azt kérdezik, mennyire decentralizált egy piac, ahol két cég dönt milliárdok sorsáról.

A politika is mozdult. Donald Trump szerint vizsgálják az esetet. Michael Selig, a CFTC elnöke az ügyre hivatkozva sürgeti, hogy a külföldi tőzsdék amerikai felügyelet alatt regisztrálhassanak. Cynthia Lummis szenátor szerint a CLARITY Act jogi védelmet adhatna a gyanús pénzt befagyasztó cégeknek. A Binance-nek az EU-ban nincs MiCA-engedélye.

Amit még nem tudunk

Hogyan jutott el a támadó a laptopról az aláíró rendszerig, és miért nem riasztott öt ellenőrzési pont.
Pontosan mikor állt le a kifizetés: a források 22:30 és 23:32 között mindent mondanak.
Hivatalosan ki volt: kormány még nem nevezte meg a tettest.
Hová megy a 18 270 bitcoin, és mikor indul el.

Egy dolog már most látszik. Ahol a kifizetéseket automatikus rendszer írja alá, ott a legerősebb kulcsvédelem sem segít, ha a támadó az aláírási kérést írja meg. Az aláírás előtti ellenőrzés, az összeghatárok és a több független jóváhagyás minden kriptós szolgáltatónál napirendre kerül.