Νέες αποκαλύψεις έρχονται στο φως για τη μεγαλύτερη κλοπή κρυπτονομισμάτων στην ιστορία, με τους χάκερς που επιτέθηκαν στην Binance να αξιοποιούν μια προηγμένη λειτουργία του δικτύου Ethereum προκειμένου να μεταφέρουν 2,5 δισ. δολάρια μέσα σε λίγα λεπτά, καταβάλλοντας μόλις 15 δολάρια για την ενεργοποίηση της σχετικής εξουσιοδότησης.
Η κυβερνοεπίθεση, που σημειώθηκε στις 29 Οκτωβρίου, είχε ως αποτέλεσμα την κλοπή ψηφιακών περιουσιακών στοιχείων συνολικής αξίας περίπου 6,3 δισ. δολαρίων από το μεγαλύτερο ανταλλακτήριο κρυπτονομισμάτων στον κόσμο, προκαλώντας σοβαρούς προβληματισμούς σχετικά με την ασφάλεια των ψηφιακών συναλλαγών και την προστασία των κεφαλαίων που διακινούνται μέσω μεγάλων πλατφορμών.
Σύμφωνα με το Bloomberg, η ανάλυση των συναλλαγών που καταγράφηκαν στο blockchain του Ethereum αποκάλυψε ότι οι δράστες εκμεταλλεύτηκαν μια τεχνολογική δυνατότητα που είχε σχεδιαστεί για να κάνει τα ψηφιακά πορτοφόλια πιο εύχρηστα. Η συγκεκριμένη λειτουργία επέτρεψε στους επιτιθέμενους να ενεργοποιήσουν έναν μηχανισμό διαχείρισης πορτοφολιού της Binance και να μετακινήσουν τεράστια ποσά κρυπτονομισμάτων χωρίς να απαιτείται ξεχωριστή εξουσιοδότηση για κάθε μεταφορά.
Όπως προκύπτει από την έρευνα της εταιρείας κυβερνοασφάλειας Blockaid, οι χάκερς πλήρωσαν περίπου 15 δολάρια σε τέλη δικτύου για να ενεργοποιήσουν τη σχετική εξουσιοδότηση και, λίγα λεπτά αργότερα, πραγματοποίησαν μία συναλλαγή ύψους 2,5 δισ. δολαρίων, ποσό που αντιστοιχεί σχεδόν στο 40% της συνολικής λείας.
Πώς αποκτήθηκε η πρόσβαση
Η επίθεση δεν ξεκίνησε με την άμεση παραβίαση του blockchain, αλλά με μια ιδιαίτερα οργανωμένη επιχείρηση εξαπάτησης εργαζομένων της Binance. Σύμφωνα με την επίσημη ενημέρωση του ανταλλακτηρίου, οι δράστες χρησιμοποίησαν ψεύτικες αγγελίες εργασίας και τεχνικές κοινωνικής μηχανικής (social engineering), προκειμένου να παρασύρουν έναν μηχανικό της εταιρείας να κατεβάσει κακόβουλο λογισμικό. Με αυτόν τον τρόπο κατάφεραν να παραβιάσουν συσκευές και να αποκτήσουν πρόσβαση σε εσωτερικά συστήματα, αξιοποιώντας παράλληλα προηγμένες τεχνικές και εργαλεία τεχνητής νοημοσύνης.
Η Binance περιέγραψε το περιστατικό ως μια εξελιγμένη επίθεση πολλαπλών σταδίων, στην οποία οι εισβολείς προετοιμάστηκαν συστηματικά πριν προχωρήσουν στην κλοπή των ψηφιακών περιουσιακών στοιχείων.
Αφού απέκτησαν πρόσβαση στα συστήματα, οι χάκερς έστρεψαν την προσοχή τους σε ένα ψηφιακό πορτοφόλι γνωστό ως Binance 14, το οποίο χρησιμοποιείται για τη διεκπεραίωση αναλήψεων πελατών. Πρόκειται για ένα λεγόμενο hot wallet, δηλαδή ένα πορτοφόλι κρυπτονομισμάτων που παραμένει συνδεδεμένο στο διαδίκτυο και εξυπηρετεί καθημερινές λειτουργίες του ανταλλακτηρίου.
Λόγω του τεράστιου όγκου συναλλαγών που πραγματοποιούνται μέσω της Binance, τέτοια πορτοφόλια διαχειρίζονται σημαντικά αποθέματα Ether, stablecoins και δεκάδων άλλων ψηφιακών περιουσιακών στοιχείων. Η συγκέντρωση τόσο μεγάλης αξίας σε πορτοφόλια που πρέπει να παραμένουν λειτουργικά και διαθέσιμα για συναλλαγές τα καθιστά ιδιαίτερα ελκυστικούς στόχους για οργανωμένες ομάδες κυβερνοεγκληματιών.
Το «κόλπο» των 15 δολαρίων που άνοιξε τον δρόμο για τα δισεκατομμύρια
Το καθοριστικό στοιχείο της επίθεσης ήταν η εκμετάλλευση μιας λειτουργίας του Ethereum, γνωστής ως EIP-7702, η οποία εισήχθη τον Μάιο του 2025. Η συγκεκριμένη αναβάθμιση επιτρέπει σε ένα συνηθισμένο ψηφιακό πορτοφόλι να εξουσιοδοτεί λογισμικό ώστε να εκτελεί συναλλαγές για λογαριασμό του κατόχου του, απλοποιώντας σημαντικά τη διαχείριση ψηφιακών περιουσιακών στοιχείων.
Πριν από την εφαρμογή της, οι χρήστες έπρεπε γενικά να εγκρίνουν ξεχωριστά κάθε συναλλαγή, ενώ με τη νέα δυνατότητα μπορούν να αυτοματοποιούν διαδικασίες και να ομαδοποιούν πολλές ενέργειες. Ωστόσο, στην περίπτωση της Binance, οι χάκερς κατάφεραν να μετατρέψουν αυτή τη διευκόλυνση σε εργαλείο μαζικής μεταφοράς κλεμμένων κεφαλαίων, αξιοποιώντας τη δυνατότητα παραχώρησης δικαιωμάτων σε κακόβουλο λογισμικό που βρισκόταν υπό τον έλεγχό τους.
Στις 29 Οκτωβρίου, περίπου στις 20:20 ώρα UTC, οι δράστες υπέβαλαν στο δίκτυο Ethereum μια εξουσιοδότηση που έφερε έγκυρη ψηφιακή υπογραφή από το πορτοφόλι Binance 14. Η εντολή επέτρεπε σε κώδικα που ελεγχόταν από τους επιτιθέμενους να ενεργεί για λογαριασμό του πορτοφολιού, χωρίς να απαιτείται νέα έγκριση για κάθε επιμέρους μεταφορά.
Για την ενεργοποίηση αυτής της δυνατότητας απαιτήθηκε η καταβολή τελών δικτύου ύψους περίπου 15 δολαρίων. Αξίζει να σημειωθεί ότι η πρώτη αυτή συναλλαγή δεν περιλάμβανε μεταφορά χρημάτων, αλλά εγκατέστησε την εξουσιοδότηση που θα επέτρεπε στους χάκερς να πραγματοποιήσουν τις επόμενες κινήσεις.
Όπως εξήγησε σε έκθεσή της η εταιρεία ερευνών blockchain Tibane Labs, ο κακόβουλος κώδικας είχε ουσιαστικά μία λειτουργία: όταν λάμβανε εντολή από τον διαχειριστή του, άδειαζε το πορτοφόλι, μεταφέροντας τα περιουσιακά στοιχεία σε διεύθυνση της επιλογής του.
Μόλις τρεισήμισι λεπτά αργότερα, οι χάκερς ενεργοποίησαν τον μηχανισμό και απέσπασαν περίπου 2,5 δισ. δολάρια σε μία συναλλαγή, σύμφωνα με την Blockaid.
Στη λεία περιλαμβάνονταν 167.464 Ether και περισσότερα από 60 διαφορετικά ψηφιακά tokens, με το μεγαλύτερο μέρος της αξίας να προέρχεται από το stablecoin USDT της Tether, οι μεταφορές του οποίου έφτασαν περίπου τα 1,6 δισ. δολάρια.
Η δυνατότητα συγκέντρωσης τόσο πολλών μεταφορών σε μία ενιαία συναλλαγή αποδείχθηκε καθοριστική, καθώς περιόρισε τον χρόνο που θα είχαν στη διάθεσή τους τα συστήματα ασφαλείας για να εντοπίσουν και να ανακόψουν τη μεταφορά των κεφαλαίων.
Γιατί η Binance δεν μπόρεσε να σταματήσει αμέσως την επίθεση
Ένα από τα πιο ανησυχητικά στοιχεία της υπόθεσης είναι ότι οι χάκερς μπορούσαν να συνεχίσουν να μεταφέρουν κεφάλαια ακόμη και μετά τον εντοπισμό της παραβίασης.
Ο λόγος ήταν ότι η εξουσιοδότηση EIP-7702 είχε καταγραφεί απευθείας στο blockchain του Ethereum, γεγονός που σημαίνει ότι η προσωρινή διακοπή των αναλήψεων ή η απενεργοποίηση των υπηρεσιών του hot wallet από την Binance δεν αρκούσε για να ακυρώσει αυτομάτως τη δυνατότητα πρόσβασης των δραστών.
Έτσι, παρά τις προσπάθειες περιορισμού της επίθεσης, οι επιτιθέμενοι εξακολουθούσαν να διαθέτουν έναν μηχανισμό μέσω του οποίου μπορούσαν να δίνουν εντολές μεταφοράς των περιουσιακών στοιχείων που βρίσκονταν στο συγκεκριμένο πορτοφόλι.
Όπως εξήγησε ο Dan Caspi, συνιδρυτής και επικεφαλής τεχνολογίας της εταιρείας κυβερνοασφάλειας Hypernative, σε μια κυβερνοεπίθεση ο αμυνόμενος επιδιώκει να επιβραδύνει τον επιτιθέμενο. Στη συγκεκριμένη περίπτωση, όμως, η λειτουργία EIP-7702 επέτρεψε στους χάκερς να κινηθούν ταχύτερα και να διατηρήσουν τον έλεγχο του πορτοφολιού ακόμη και μετά την αναγνώριση της παραβίασης.
Το πρόβλημα επιδεινώθηκε από το γεγονός ότι οι καταθέσεις στο Binance 14 συνέχισαν να πραγματοποιούνται, με αποτέλεσμα νέα κεφάλαια να εισέρχονται σε ένα πορτοφόλι για το οποίο οι δράστες εξακολουθούσαν να διαθέτουν εξουσιοδότηση.
Σύμφωνα με την εταιρεία ανάλυσης blockchain Elliptic, οι επιτιθέμενοι χρησιμοποίησαν τον συγκεκριμένο μηχανισμό για να μεταφέρουν συνολικά περίπου 3,6 δισ. δολάρια. Το ποσό αυτό περιλαμβάνει την αρχική συναλλαγή των 2,5 δισ. δολαρίων, μεταφορά 823 εκατ. δολαρίων από άλλο λογαριασμό της Binance, καθώς και τέσσερις επιπλέον μεταφορές από το Binance 14.
Τι απαντά η Binance για την κυβερνοεπίθεση
Εκπρόσωπος της Binance επιβεβαίωσε ότι η λειτουργία EIP-7702 διαδραμάτισε σημαντικό ρόλο στην επίθεση, τονίζοντας ότι η εταιρεία έχει ήδη λάβει μέτρα για την αντιμετώπιση των συγκεκριμένων κινδύνων και την αποτροπή παρόμοιων περιστατικών στο μέλλον. Σύμφωνα με την επίσημη ενημέρωση, το ανταλλακτήριο ακύρωσε την επίμαχη εξουσιοδότηση, ανακατασκεύασε την υποδομή του επηρεαζόμενου πορτοφολιού και αναβάθμισε τα συστήματα υπογραφής και παρακολούθησης συναλλαγών.
Παράλληλα, εισήγαγε αυστηρότερους ελέγχους για συναλλαγές που περιλαμβάνουν παραχώρηση δικαιωμάτων σε τρίτο λογισμικό, ενισχυμένους μηχανισμούς εντοπισμού ύποπτης συμπεριφοράς, πρόσθετους ελέγχους σε επίπεδο συναλλαγής και νέες διαδικασίες έκτακτης ανάκλησης εξουσιοδοτήσεων.
Η εταιρεία υποστηρίζει επίσης ότι έχει ενισχύσει τους ελέγχους πρόσβασης, ώστε να αποτρέψει την επανάληψη της μεθόδου που χρησιμοποιήθηκε από τους επιτιθέμενους. Παράλληλα, διαβεβαιώνει ότι τα κεφάλαια των πελατών της παραμένουν προστατευμένα και ότι η ίδια έχει αναλάβει το οικονομικό κόστος του περιστατικού. Η Binance επιδιώκει με αυτόν τον τρόπο να περιορίσει τις επιπτώσεις στην εμπιστοσύνη των χρηστών, σε μια περίοδο κατά την οποία η ασφάλεια των μεγάλων ανταλλακτηρίων βρίσκεται ξανά στο επίκεντρο της συζήτησης.
Το FBI δείχνει τη Βόρεια Κορέα πίσω από την ιστορική κλοπή
Η υπόθεση έχει αποκτήσει και σημαντικές γεωπολιτικές διαστάσεις, καθώς το FBI αποδίδει τη μεγαλύτερη κλοπή κρυπτονομισμάτων που έχει καταγραφεί ποτέ στη Βόρεια Κορέα.
Σύμφωνα με τις αμερικανικές αρχές, πίσω από την κυβερνοεπίθεση βρίσκονται δράστες που συνδέονται με τη χώρα, η οποία έχει κατηγορηθεί επανειλημμένα για μεγάλης κλίμακας επιχειρήσεις κυβερνοεγκλήματος στον χώρο των ψηφιακών περιουσιακών στοιχείων.
Η Πιονγκγιάνγκ αρνείται οποιαδήποτε ανάμειξη στην επίθεση.
