Krádež v Binance: šest miliard dolarů přes jeden notebook

Ve čtvrtek 29. října večer odešly z kryptoměnové burzy Binance peníze za zhruba 6,3 miliardy dolarů, tedy asi 137 miliard korun. Je to největší krádež v historii kryptoměn. Podle prvních zjištění začala na notebooku jednoho technika.

Kryptoměny vás možná nezajímají. Tenhle případ by ale měl zajímat každého, kdo ve firmě nebo v ordinaci spravuje počítače. Útočníci nelámali šifrování ani nehledali chybu v kódu. Šli přes člověka a jeho pracovní počítač, ze kterého vedla cesta k systémům, které umějí posílat peníze. Stejná cesta existuje ve většině firem, jen končí u bankovnictví, účetnictví nebo kartotéky pacientů.

Co se stalo

Podle firmy TRM Labs, která se zabývá analýzou blockchainu, odešlo z peněženek Binance přibližně 6,36 miliardy dolarů na deseti různých blockchainech. Většina peněz zmizela za asi 20 minut. Začalo to ve 20:05 světového času, u nás ve 21:05. Je to zhruba čtyřnásobek dosavadního rekordu, krádeže 1,5 miliardy dolarů z burzy Bybit v únoru 2025.

Binance je největší kryptoměnová burza na světě a podle své výroční zprávy má 335 milionů registrovaných uživatelů. Burza zastavila vklady i výběry, zrušila oprávnění napadených adres a spolupracuje s policií a analytickými firmami. Ztráty slíbila uhradit ze svého rezervního fondu SAFU a z vlastních peněz. Americké Binance.US se útok netýkal.

Cena bitcoinu po zprávě krátce spadla pod 77 tisíc dolarů.

Jak útok proběhl

Binance zatím zveřejnila jen předběžné závěry. Podrobný technický rozbor slíbila, až budou fakta ověřená. Z jejích prohlášení a z analýzy TRM Labs vychází tento postup:

Napadený notebook. Útočník ovládl pracovní notebook inženýra, který se v Binance staral o provoz infrastruktury (tzv. DevOps).

Servisní kontejner. Z notebooku se dostal do interní služby, která běží na serverech burzy a má oprávnění zadávat výběry.

Podepisovací systém. Přes tuto službu odeslal neoprávněné výběry. Systém burzy je sám podepsal, protože přišly z místa, kterému věřil. Binance podle svých slov nenašla důkaz, že by unikl soukromý klíč některé peněženky.

Vyprázdnění peněženek. Na Ethereu útočník využil funkci EIP-7702, která dovolí běžné peněžence dočasně spouštět kód chytrého kontraktu. Poslal najednou 50 předem podepsaných povolení, aby aspoň jedno sedělo na aktuální stav peněženky. Tím na ni nainstaloval vlastní kontrakt, který poslouchal jen jeho. Jedinou transakcí pak převedl 167 464 ETH a desítky dalších tokenů, z toho 1,6 miliardy USDT.

Podle TRM Labs útok nebyl improvizace. Příprava běžela nejméně 36 hodin. Útočník si předem nachystal peněženku, financoval ji přes mixovací službu Tornado Cash a kód si vyzkoušel na jiných peněženkách.

Nejdůležitější je postřeh TRM Labs: peněženky na devíti dalších blockchainech používají jiné klíče a jiné způsoby podepisování, a přesto všechny během půl hodiny vytvořily platné podpisy pro útočníka. Nejpravděpodobnější vysvětlení podle TRM je, že útočník dokázal přimět podepisovací systém Binance, aby podepsal cokoli, co chtěl.

Společný šéf Binance Richard Teng zdůraznil, že útočník nevyužil jen oprávnění jednoho inženýra a nešlo o jedno kliknutí. Vinu zatím nepřičítá žádnému konkrétnímu člověku. V pátek burza doplnila, že našla další místa, kudy se útočník do systémů dostal.

Kdo za tím stojí

Binance útok zatím nikomu nepřipsala. TRM Labs ho přisuzuje skupině TraderTraitor, kterou řídí severokorejský stát a která je známá také jako Lazarus Group nebo APT38. Firma Chainalysis závěr potvrdila s vysokou mírou jistoty.

Skupina má za sebou i další velké krádeže. Americká FBI jí v únoru 2025 oficiálně připsala útok na burzu Bybit za 1,5 miliardy dolarů a dříve i krádež 308 milionů dolarů z japonské burzy DMM Bitcoin v roce 2024. Podle TRM Labs ukradli severokorejští hackeři od roku 2017 kryptoměny za více než 6 miliard dolarů. Jediný útok na Binance tuto částku zdvojnásobil.

Důležitý je způsob, jakým se TraderTraitor obvykle dostává dovnitř. Americká agentura CISA a FBI na něj upozorňovaly už v roce 2022: útočníci oslovují zaměstnance technologických firem s lákavou nabídkou práce a pošlou jim „testovací úlohu“ nebo aplikaci, ve které je ukrytý škodlivý kód. V roce 2024 FBI varovala, že tyto kampaně cílí na vývojáře, inženýry i vedení firem a jsou připravené velmi pečlivě. Zda začal stejně i útok na Binance, zatím nikdo nepotvrdil.

Kde jsou peníze teď

Zhruba polovinu se podařilo zastavit. Vydavatelé stablecoinů Tether, Circle, Ripple a World Liberty Financial zmrazili asi 2,67 miliardy dolarů. Bezpečnostní rada sítě Arbitrum zmrazila dalších 8 426 ETH a 74,6 milionu ARB. Celkem jde podle TRM Labs asi o 2,7 miliardy dolarů, Binance uvádí zhruba 3 miliardy.

Útočník ale se zmrazováním závodil. Stablecoiny rychle prodával tvůrcům trhu a půjčoval si za ně ETH na platformě Aave. Podle TRM Labs mu zůstává přes 420 000 ETH a 18 270 BTC, dohromady asi 2,4 miliardy dolarů. Tyto prostředky už žádný vydavatel zmrazit nemůže.

Zákazníci Binance by podle burzy o peníze přijít neměli. Po dokončení nápravy chce burza zveřejnit aktualizovaný doklad o svých rezervách.

Co si z toho vzít ve firmě nebo v ordinaci

Binance má vlastní bezpečnostní tým a miliardové rezervy, a přesto stačil jeden napadený počítač jako začátek. Ve firmě s deseti zaměstnanci bývá situace jednodušší a horší zároveň: jeden notebook často otevře bankovnictví, účetnictví, zálohy i správu sítě. Tohle jsou kroky, které riziko snižují nejvíc.

Správcovský počítač jen na správu. Notebook, ze kterého se spravují servery, síť nebo bankovnictví, neslouží k běžnému e-mailu, prohlížení webu ani zkoušení programů od neznámých lidí. Na běžnou práci má správce jiný účet, ideálně i jiné zařízení.

Žádný počítač nemá klíč ke všemu. Služba nebo účet, který umí poslat platbu, smazat zálohy nebo exportovat data pacientů, má být dostupný jen z míst, odkud je to nutné. Pomáhá oddělení sítě do segmentů a přidělování oprávnění jen na to, co člověk opravdu potřebuje.

Citlivé operace schvalují dva. Platby nad stanovenou částku, změna čísla účtu dodavatele, mazání záloh nebo hromadný export dat. Druhé schválení by měl dát jiný člověk z jiného zařízení.

Pozor na nabídky práce a „testovací úlohy“. Pokud zaměstnanec dostane lákavou nabídku a k ní soubor nebo odkaz ke stažení, neotevírá ho na pracovním počítači. Přesně takhle podle FBI začíná řada útoků skupiny TraderTraitor.

Hlídat neobvyklé chování. Přihlášení večer, z nového zařízení nebo neobvykle velký přenos dat mají vyvolat upozornění. Útok na Binance proběhl za 20 minut ve čtvrtek večer. Ruční kontrola ráno by byla pozdě.

Mít připravený plán na incident. Kdo vypne přístupy, kdo volá bance a kdo policii nebo Národnímu úřadu pro kybernetickou a informační bezpečnost. Binance zastavila výběry během minut. Ve firmě rozhoduje stejně rychlá reakce.

Když si nejste jistí, jak jsou na tom vaše počítače a přístupy, rádi s vámi projdeme, kudy by se útočník ve vaší firmě dostal k penězům nebo k datům a co s tím udělat jako první.

Zdroje

Stav k 30. 10. 2026. Binance vyšetřování teprve dokončuje, některé údaje se mohou změnit.

• Binance: první vyjádření k incidentu (X)
• Binance: aktualizace o dalších místech průniku (X)
• Richard Teng, Binance: vyjádření k postupu útoku (X)
• TRM Labs: North Korea steals USD 6.36 billion from Binance
• Chainalysis: potvrzení atribuce (X)
• BleepingComputer: Binance links $6.3 billion crypto theft to compromised DevOps laptop
• SecurityWeek: $6 Billion Binance Hack Bears Hallmarks of North Korea's TraderTraitor
• The Hacker News: Binance Suffers Security Breach
• CoinDesk: Binance finds more breaches
• Forbes Česko: Největší krádež v historii kryptoměn
• The Hacker News: FBI připsala útok na Bybit skupině TraderTraitor (2025)
• TechTarget: varování FBI před sociálním inženýrstvím vůči zaměstnancům kryptofirem (2024)
• KnowBe4: shrnutí varování CISA a FBI k TraderTraitor (2022)

Nezávazná poptávka  ← Zpět na blog