Kompromitovaný notebook pracovníka DevOps mohl útočníkům otevřít cestu do interní infrastruktury kryptoměnové burzy Binance. Podle předběžných závěrů, které burza zveřejnila 30. října 2026, mohl incident umožnit zadávání neoprávněných výběrů. Celkový dopad Binance odhaduje přibližně na 6,3 miliardy dolarů, přičemž důkazy o úniku soukromých klíčů podle svého vyjádření zatím nenašla.
První zjištění ukazují na napadený notebook
>Binance uvedla, že útočník mohl prostřednictvím napadeného notebooku pracovníka DevOps získat přístup k servisnímu kontejneru a následně odesílat neoprávněné transakce pro výběr prostředků. Jde však o předběžnou vyšetřovací verzi, nikoli o definitivně potvrzený průběh útoku. Burza zdůraznila, že vyšetřování pokračuje a dosud nezjistila důkazy o vyzrazení soukromých klíčů peněženek. Rozdíl mezi krádeží klíče a zneužitím systému, který transakce podepisuje, je přitom pro pochopení incidentu zásadní.
>Podobný scénář popsal pro Cointelegraph také Ido Ben-Natan, generální ředitel bezpečnostní společnosti Blockaid. Podle jeho předběžného hodnocení mohli útočníci zmanipulovat nebo ovládnout podepisovací systém tak, aby schválil škodlivé transakce, aniž by museli získat samotný soukromý klíč. Dosavadní podezření tedy směřuje ke zneužití podepisovací infrastruktury, nikoli nutně k úniku klíčů. Ben-Natan vycházel z pozorování blockchainových transakcí a ze zkušeností společnosti s obdobnými útoky.
Zmrazená aktiva za zhruba tři miliardy dolarů
>Odhadovaný rozsah incidentu podle Binance dosáhl přibližně 6,3 miliardy dolarů. Burza zároveň oznámila, že ve spolupráci s partnery z blockchainového odvětví pomohla zmrazit odcizená aktiva v hodnotě kolem tří miliard dolarů. Zmrazení prostředků nicméně není totožné s jejich navrácením, na jehož zajištění burza podle svého vyjádření dále pracuje. Do pátrání po prostředcích zapojila také orgány činné v trestním řízení a společnosti specializované na blockchainovou analytiku.
>Binance přislíbila, že veškeré ztráty pokryje z fondu Secure Asset Fund for Users, známého jako SAFU, a z vlastních firemních prostředků. Současně ujistila uživatele, že jejich prostředky jsou v bezpečí, a oznámila záměr zveřejnit aktualizovaný přehled rezerv, označovaný jako Proof of Reserves. Během bezpečnostních kontrol dočasně pozastavila vklady a výběry. Uvedla rovněž, že odvolala dotčené oprávnění spojené s napadenou adresou.
Blockaid upozornil na zneužitou delegaci účtu
>Technická analýza společnosti Blockaid poukázala na transakci cílenou na účet označovaný jako Binance 14. Útočník podle ní do jediné transakce zahrnul 50 autorizací podle standardu EIP-7702. Jedna z nich údajně odpovídala požadované hodnotě nonce daného účtu, a mohla proto být přijata. Nonce je pořadové číslo používané při ověřování transakcí či autorizací; v tomto případě byla jeho správná hodnota podstatná pro přijetí autorizace.
>Standard EIP-7702 umožňuje účtu delegovat provádění operací na kód chytrého kontraktu. Podle Blockaid byl dotčený účet delegován na neověřený kontrakt určený k odčerpávání aktiv. Ten měl určenému operátorovi umožnit převádět z účtu tokeny i ether. Analýza tak upozorňuje na škodlivou delegaci oprávnění jako na důležitou součást popsaného mechanismu útoku.
Přesná cesta útočníků zůstává nejasná
>Ben-Natan připustil, že operace mohla zahrnovat více napadených zařízení a postupný pohyb útočníků uvnitř sítě burzy. Takový rozsah však v době jeho vyjádření nebyl potvrzen. Šéf analytické společnosti Arkham Miguel Morel ještě před nejnovějším vyjádřením Binance upozorňoval, že dostupné informace nestačí k rozlišení mezi odcizením klíčů a napadením infrastruktury. V tehdejším vyjádření zároveň uvedl, že podle jeho pozorování mohl útok stále pokračovat; nešlo však o potvrzení stavu po následných zásazích burzy.
Podobnost s útokem na Bybit není důkazem totožného pachatele
>Na otázku ohledně podobnosti s útokem na burzu Bybit z února 2025 označil Ben-Natan oba incidenty za velmi podobné. Podle zveřejněných forenzních závěrů Bybit tehdejší útočníci kompromitovali přihlašovací údaje vývojáře společnosti Safe, získali přístup k infrastruktuře poskytovatele peněženek a přiměli podepisující osoby schválit škodlivou transakci. Srovnání se proto týká především manipulace schvalovacího procesu. Samo o sobě nepotvrzuje shodný původ obou útoků.
>Ben-Natan také uvedl, že pozorovaná aktivita připomínala operace spojované se Severní Koreou, zejména svou sofistikovanou přípravou na blockchainu. Výslovně ale zdůraznil, že toto připsání odpovědnosti nebylo potvrzené. Binance v popisované aktualizaci pachatele neidentifikovala a uvedla, že na zjištění jejich totožnosti spolupracuje s vyšetřovateli. Podrobnou technickou zprávu o incidentu slíbila zveřejnit po dokončení vyšetřování a ověření všech skutečností.
