U najopsežnijem sigurnosnom incidentu u historiji digitalne imovine, s operativnih novčanika berze Binance u svega dvadesetak minuta povučeno je približno 6,36 milijardi američkih dolara u različitim kripto valutama. Napad, izveden 29. oktobra 2026. godine, obuhvatio je deset različitih blockchain mreža, nadmašivši sve dosadašnje kripto pljačke na financijskim tržištima.
Prema usklađenim forenzičkim nalazima vodećih analitičkih kuća za blockchain, TRM Labs i Chainalysis, napad se s visokim stepenom pouzdanosti pripisuje sjevernokorejskoj državno sponzorisanoj hakerskoj grupi TraderTraitor, ali ovo za sada ostaje nagađanje. Zahvaljujući hitnoj koordinaciji berze, emitera stabilnih kovanica (Tether, Circle) i sigurnosnih vijeća pojedinih protokola, na blockchainu je dosad blokirano više od 2,7 milijardi dolara, dok je Binance privremeno suspendovao isplate na pogođenim mrežama uz garanciju da su depoziti korisnika zaštićeni.
Hronologija napada: 20 minuta koordinisanog pražnjenja
Incident je započeo 29. oktobra u 21:05 po našem vremenu (20:05 UTC) i odvijao se kroz precizno automatizovan niz transakcija:
- Inicijalni udar na XRP Ledger i Solanu (20:05 – 20:10 UTC): Prva neautorizovana kretanja registrovana su na XRP mreži, gdje je s pet operativnih novčanika berze prebačeno 233,46 miliona XRP tokena na jednu adresu pod kontrolom napadača, ostavljajući na računima berze samo propisani tehnički minimum. Nekoliko minuta kasnije, s operativnih novčanika na Solani odlivena su sredstva u vrijednosti od preko 970.000 SOL (~96 miliona USD).
- Napad na Ethereum ekosistem (20:10 – 20:25 UTC): Korištenjem sofisticiranog mehanizma delegiranja pametnih ugovora, napadač je ispraznio primarne Ethereum novčanike i usmjerio sredstva u centralizovane adrese za pranje novca.
- Paralelno pražnjenje Layer-2 mreža: Sredstva su istovremeno povlačena sa mreža Arbitrum, Optimism, Base, Polygon i Avalanche, čime je ukupan obuhvat proširen na deset blockchain ekosistema.
- Naknadno automatsko usisavanje sredstava (Sweeper skripta): Kako su korisnici u neznanju nastavljali uplaćivati depozite na kompromitovane adrese berze, automatizovana skripta napadača ponovo je povlačila pristigla sredstva u intervalima (20:41, 20:59, 21:04, 21:44 UTC).
Kompromitacija infrastrukture za potpisivanje i EIP-7702
Ključno pitanje koje se otvorilo u sigurnosnoj zajednici jeste da li su procurili master privatni ključevi hladne pohrane (cold storage) berze. Prema dosadašnjim tehničkim izvještajima, hladni novčanici nisu kompromitovani; vektor napada bio je usmjeren na infrastrukturu za potpisivanje transakcija operativnih (hot) novčanika.
1. Zloupotreba EIP-7702 standarda na Ethereumu
Na Ethereum mreži napadači su primijenili mehanizam definisan standardom EIP-7702. Ovaj standard omogućava običnim korisničkim računima (Externally Owned Accounts – EOA) da privremeno delegiraju svoje ovlasti pametnom ugovoru tokom trajanja transakcije.
- Napadač je unaprijed pripremio 50 unaprijed potpisanih autorizacija.
- Putem ovih autorizacija, Binanceov operativni novčanik transformisan je u tzv. sweeper ugovor kojim je upravljao isključivo napadač.
- Budući da je isti novčanik imao rolu izvršioca (executor) nad zasebnim Binance pametnim računom, napadač je iskoristio te ovlasti za trenutno povlačenje čak 823 miliona USDC tokena.
2. Upad u internu serversku infrastrukturu
Na preostalih devet blockchain mreža sredstva nisu povučena putem ranjivosti samih protokola, već regularno potpisanim transakcijama. Forenzički timovi ukazuju na to da su napadači ostvarili pristup internom servisnom kontejneru za odobravanje isplata (vjerovatno putem kompromitovane radne stanice u DevOps odjelu), što im je omogućilo slanje validno potpisanih API zahtjeva prema sistemu bez direktnog posjedovanja sirovih privatnih ključeva berze.
Trka s vremenom: Kako je zamrznuto 2,7 milijardi dolara
Nakon što su interni alarmi zabilježili anomalije u odlivu kapitala, pokrenuta je koordinisana globalna operacija ograničavanja štete. U roku od nekoliko sati, centralizovani izdavači tokena i decentralizovana tijela blokirali su značajan dio sredstava:
| Subjekt koji je reagovao | Zamrznuta imovina | Tehnički mehanizam |
|---|---|---|
| Tether (USDT) | ~1,77 milijardi USDT | Blacklist funkcija na nivou pametnog ugovora (zamrznuto 971 miliona u prvoj adresi u 21:01 UTC). |
| Circle (USDC) | ~823 miliona USDC | Trenutno zamrzavanje pametnog ugovora na adresi izvršioca. |
| Arbitrum Security Council | 8.426 ETH i 74,6 miliona ARB (~30 mil. USD) | Izvršenje vanrednih ovlasti višenamjenskog multisig vijeća (prisilni transfer sa napadačeve adrese). |
| Ripple & World Liberty | Desetine miliona USD u tokenima | Koordinisana obustava kretanja na nivou knjige transakcija i protokola. |
Pokušaj zaobilaženja blokada putem DeFi protokola
Svjestan postojanja “crnih lista” kod centralizovanih stabilnih kovanica, napadač je odmah počeo konvertovati USDT. Kroz decentralizovani protokol Aave i automatizovane market mejkere (AMM), položio je stotine miliona USDT kao kolateral kako bi posudio izvorne tokene (prvenstveno Ether) koje nijedan centralni izdavač ne može daljinski zamrznuti.
Prema procjenama TRM Labsa, napadač u ovom trenutku pod direktnom kontrolom drži preko 420.000 ETH i više od 18.270 BTC (ukupne vrijednosti oko 2,4 milijarde USD) koji se nalaze na nereguliranim adresama i izvan su dohvata emitera.
Tragovi vode do grupe TraderTraitor
Analitičke platforme Chainalysis i TRM Labs neovisno su povezale obrasce kretanja novca sa sjevernokorejskom kibernetičkom jedinicom TraderTraitor (poznatom i u sklopu šireg aparata Lazarus Group):
- On-Chain preklapanje: Dio sredstava s kompromitovanih Binance novčanika pomiješan je na blockchainu s adresama korištenim tokom nedavnog upada na berzu Bitget, koji je međunarodno verifikovan kao sjevernokorejska operacija.
- Automatizovano pranje sredstava: Uočeni su obrasci pranja kapitala karakteristični za ovu grupu: raspršivanje sredstava na hiljade novih adresa kroz Tron mrežu, pri čemu svaka adresa prethodno prima testnu transakciju od tačno 1 TRX.
- Geopolitička pozadina: TraderTraitor se nalazi pod sankcijama Ministarstva finansija SAD-a (OFAC) i FBI-a, a ranije je označen kao odgovoran za pljačku berze Bybit u februaru 2025. godine ($1,5 mlrd).
Zvanična potvrda FBI-a: Odgovornost Sjeverne Koreje i grupe TraderTraitor
Savezni istražni biro SAD-a (FBI) zvanično je potvrdio navode analitičara objavivši sigurnosno upozorenje u kojem se odgovornost za krađu više od 6 milijardi dolara s berze Binance direktno pripisuje Demokratskoj Narodnoj Republici Koreji (DPRK), odnosno njenoj kibernetičkoj grupi TraderTraitor.
U zajedničkoj istrazi s Američkom tajnom službom (USSS) i Odjelom za krivične istrage Porezne uprave (IRS-CI), FBI je utvrdio da napadači ukradenu imovinu ubrzano konvertuju prvenstveno u Ethereum (ETH). Biro upozorava da se u narednim fazama očekuje daljnje pranje novca kroz protokole decentralizovanih finansija (DeFi) i servise za instant zamjenu kovanica (instant swap). Zbog toga je FBI uputio hitan apel cjelokupnom privatnom sektoru, uključujući operatere čvorova (RPC i THORNode), berze, DeFi platforme i kompanije za blockchain analitiku, da promptno blokiraju sve transakcije koje potiču s adresa ili su povezane s adresama pod kontrolom aktera grupe TraderTraitor.
Da li su sredstva sigurna?
Glavno pitanje za domaće i regionalne korisnike Binance platforme jeste solventnost berze i dostupnost njihovih uloga:
- Aktivacija SAFU fonda: Rukovodstvo Binance-a potvrdilo je da korisnički depoziti neće pretrpjeti gubitke te da će cjelokupna šteta koja ne bude vraćena kroz zamrznuta sredstva biti pokrivena iz internih rezervi i Fonda za sigurnu imovinu korisnika (SAFU).
- Status isplata i depozita: Isplate na pogođenim mrežama privremeno su obustavljene iz predostrožnosti dok traje migracija i rekonfiguracija cjelokupne infrastrukture za potpisivanje. Korisnicima se savjetuje da ne šalju nova sredstva na ranije generisane adrese operativnih novčanika dok berza eksplicitno ne potvrdi obnovu sistema.
- Sigurnosne preporuke za pojedince: Sam incident dogodio se na nivou infrastrukture berze, što znači da lozinke korisnika i dvofaktorska autentifikacija (2FA) nisu direktno kompromitovani. Ipak, korisnicima koji komuniciraju s decentralizovanim aplikacijama (dApps) savjetuje se provjera i opoziv (revoke) otvorenih pametnih odobrenja (token allowances) na Web3 novčanicima.
Kraj ere neprovjerenih privilegija
Incident na Binanceu predstavlja prekretnicu za cjelokupno kripto tržište. Zloupotreba modernih standarda poput EIP-7702 pokazuje da hakeri više ne traže samo propuste u kodu pametnih ugovora, već ciljaju spojeve između tradicionalne IT infrastrukture (DevOps, API servisi) i naprednih mogućnosti delegiranja na blockchainu.
Iako je brzom reakcijom zajednice i emitera spriječeno otuđenje gotovo polovine iznosa, preostalih 2,4 milijarde dolara u rukama državnih aktera otvara ozbiljna pitanja o mehanizmima kontrole, arhitekturi operativnih novčanika i regulatornim zahtjevima koji će uslijediti u narednim mjesecima.
Mjerodavni izvori i verifikacija podataka
- TRM Labs Forensics: North Korea Steals USD 6.36 Billion From Binance in the Largest Hack in History (Analiza on-chain transakcija i EIP-7702 vektora).
- Chainalysis Research: Binance Exploit: Latest Findings, On-Chain Commingling, and Incident Response.
- Binance Official Incident Advisory: Security Update #3 (Zvanična saopštenja o statusu SAFU fonda).
