2026. október 29-én mintegy 6,36 milliárd dollár értékű kriptoeszközt loptak el a Binance tárcáiból. A tíz blokkláncot érintő támadás legnagyobb része körülbelül húsz perc alatt zajlott le. A vállalat az észak-koreai TraderTraitor csoportnak tulajdonítja a műveletet. Egy feltört mérnöki laptopot nevezett meg lehetséges behatolási pontként, és vállalta a veszteségek fedezését.
Az eltulajdonított összeg több mint négyszerese a Bybitet 2025 februárjában ért, 1,5 milliárd dolláros támadás veszteségének. A Binance több hálózaton felfüggesztette a kiutalásokat, miközben a stablecoin kibocsátók és más közreműködők megkezdték az ellopott eszközök zárolását.
Az előkészületek legalább 36 órával a lopás előtt megkezdődtek. A támadó tárcájába kisebb összegek érkeztek a tranzakciók eredetének elfedésére használt Tornado Cash szolgáltatásból, majd több tárcán is tesztelték a később bevetett kódot. A végleges változat próbája után ugyanezt a kódot már egy Binance-tárcán alkalmazták.
A pénzkivonás október 29-én 20:05 UTC-kor az XRP Ledger hálózatán indult. Öt Binance-tárcából négy perc alatt 233,46 millió XRP került egy támadói címre. Röviddel később a Solana és az Optimism hálózatán is megkezdődtek az átutalások. 20:20 UTC-kor egy bitcoin-tárcából 18 270 BTC távozott, majd két percen belül a Tron hálózatán is több mint 612 millió USDT-t és 46,4 millió TRX-et utaltak el. Az este későbbi részében további tárcákat értek el, köztük az Avalanche és a Polygon hálózatán.
A legnagyobb veszteség az Ethereumon keletkezett. Innen körülbelül 3,79 milliárd dollárnyi eszközt vittek el. A bitcoinban eltulajdonított vagyon értéke a tranzakciók idején mintegy 1,47 milliárd dollár volt, a Tron hálózatáról pedig hozzávetőleg 628 millió dollár távozott. A támadás az Arbitrum és a Base hálózatát is érintette. A 6,36 milliárd dolláros összesítést az egyes átutalások időpontjában érvényes árfolyamok alapján számolták ki.
Az Ethereumon a támadó az EIP-7702 funkciót használta a pénzek mozgatásához. A megoldás lehetővé teszi, hogy egy hagyományos tárca aláírt felhatalmazással okosszerződés kódhoz delegálja a működését. A támadó a Binance egyik internetkapcsolattal rendelkező, kiutalásokra használt hot wallet tárcáját egy saját irányítása alatt álló, az eszközök kisöprésére szolgáló szerződéshez kapcsolta. Ehhez egyetlen tranzakcióban 50, előzetesen aláírt felhatalmazást nyújtott be. Három perc 24 másodperccel később a támadó egyetlen tranzakcióval 167 464 ETH-t és további 63 tokent mozgatott el, köztük 1,615 milliárd USDT-t. A hozzáférés ezután is megmaradt. Az újonnan beérkező összegeket az este folyamán további hat alkalommal söpörték ki. Az érintett tárca egy másik Binance-okosszámla végrehajtójaként is működött, ami további 823 millió USDC elvonását tette lehetővé. Ezt az összeget a Circle később befagyasztotta.
A történtek nem magyarázhatók kizárólag egy Ethereum felhatalmazás megszerzésével. A többi hálózaton a Binance tárcái hagyományos, érvényesen aláírt tranzakciókkal küldték el a pénzt. Egy másik Ethereum-tárcából szintén delegálás nélkül távoztak jelentős összegek. A különböző blokkláncok és aláírási eljárások egyidejű érintettsége miatt a TRM az aláíróinfrastruktúra kompromittálódását tartja a legvalószínűbb magyarázatnak. A támadó több hálózaton is az általa kiválasztott tranzakciók aláírására bírhatta a rendszert.
A Binance előzetes vizsgálata ehhez egy lehetséges kiindulópontot is megnevezett. A Reuters szerint egy mérnök feltört laptopján keresztül szerezhettek hozzáférést a vállalat egyik rendszeréhez. Richard Teng társ-vezérigazgató később olyan kártevőről is beszélt, amely saját tevékenységének nyomait törölte, megnehezítve a vizsgálatot. A vállalat további behatolási pontokat is azonosított, de a teljes támadási láncot ekkor még nem ismertette. A laptop kompromittálása és a több hálózatra kiterjedő aláírási jogosultság megszerzése közötti kapcsolat ezért továbbra sem tekinthető teljesen feltártnak.
Az észak-koreai felelősségről több elemzőcég is hasonlóan vélekedik. A TraderTraitor megnevezése ugyanakkor a TRM attribúciója, a Binance saját vizsgálata még nem nevezett meg felelőst.
Október 30-án 00:30 UTC-kor rögzített állapot szerint megközelítőleg 2,7 milliárd dollárnyi eszközt sikerült kivonni a támadó ellenőrzése alól. Ebben mintegy 1,77 milliárd USDT, 825 millió USDC, 40,5 millió RLUSD és 27,8 millió USD1 szerepelt. Az Arbitrum biztonsági tanácsa rendkívüli jogosultságával további 8426 ETH-t és 74,6 millió ARB-t mozgatott el a támadó tárcájából. A befagyasztás azonban nem jelenti automatikusan azt, hogy a vagyon már vissza is került a Binance-hez. A támadó eközben igyekezett a kibocsátói oldalon zárolható stablecoinokat más eszközökre váltani. Körülbelül 325 millió USDT-ért 122 300 ETH-t szerzett, jelentős árfolyamveszteséget vállalva. Egy másik tárcából 60 millió USDT-t helyezett el az Aave hitelezési protokollban, majd ennek fedezetével mintegy 19 760 ETH-t vett kölcsön. A bitcoinokat ismétlődő tranzakciókkal kisebb részekre bontva kezdték továbbmozgatni, úgynevezett peel chain-mintát követve.
Október 31-én a Binance közölte, hogy vállalati forrásból új tokeneket vásárolva már pótolta az eltulajdonított eszközmennyiség 90 százalékát. A Reuters szerint a tőzsde mintegy 6,34 milliárd dollárt különített el a veszteségek fedezésére. A vásárlásokhoz a vállalati pénzeszközök mellett az ügyfélvédelmi SAFU-alap és a határidős ügyletek biztosítási alapjának egy részét is felhasználták. A fennmaradó 10 százalék kevésbé likvid tokenekből állt, amelyek beszerzése hosszabb időt igényelhetett.