Binance: 6,3 miliarde furate pornind de la laptopul unui inginer

Joi seara, 29 octombrie 2026, puțin după ora 22:00 ora României, portofelele „fierbinți” ale Binance au început să se golească. În aproximativ 20 de minute au plecat active de pe zece blockchainuri, în valoare de circa 6,3 miliarde de dolari. Este cel mai mare furt de criptomonede din istorie, de patru ori mai mare decât cel de la Bybit din februarie 2025.

Explicația preliminară dată de Binance este cea care ne interesează aici. Nu a cedat criptografia. Punctul de plecare a fost laptopul compromis al unui inginer DevOps, prin care atacatorul a ajuns la un container de serviciu și a trimis retrageri neautorizate, cu semnături valide, produse de sistemele Binance. Chiar dacă firma ta nu are nicio legătură cu crypto, pe același drum pleacă banii din contul bancar al unei firme mici.

Ce s-a întâmplat, în cifre

Cifrele de mai jos vin din analiza TRM Labs, publicată în noaptea atacului, și din sinteza CNBC, care citează declarațiile Binance. Sumele diferă ușor între surse, în funcție de ora evaluării.

Binance a oprit retragerile, a revocat autorizațiile adresei afectate și a anunțat că acoperă integral pierderile, din fondul SAFU și din bani proprii. Depunerile funcționează. Retragerile ar urma să fie reluate duminică, 1 noiembrie, iar dovada de rezerve actualizată luni, 2 noiembrie.

Co-directorul executiv Richard Teng a spus vineri că ancheta a găsit puncte de intrare suplimentare față de laptop, că atacatorul a folosit un mecanism de autodistrugere ca să șteargă urmele și că „a fost un atac complex”. Cauza completă nu este publicată. Ce confirmă și Binance și analiștii independenți: cheile private nu au fost furate. Atacatorul a făcut sistemele Binance să semneze pentru el.

TRM Labs și Chainalysis atribuie atacul grupării nord-coreene TraderTraitor, aceeași care a furat 1,5 miliarde de la Bybit. Atribuirea este a lor, nu a Binance.

De ce contează pentru o firmă din România

Furtul de la Bybit, din februarie 2025, a pornit tot de la calculatorul compromis al unui dezvoltator. Cercetătorii Elliptic notează că grupările nord-coreene livrează malware prin oferte false de angajare și prin „teste de programare” trimise inginerilor. Un singur laptop a fost suficient, de două ori la rând, la companii cu bugete de securitate de zeci de milioane.

La scara unei firme mici, laptopul inginerului DevOps este laptopul contabilului cu tokenul de bancă, al administratorului care intră prin RDP pe server sau al patronului cu parolele salvate în browser. Atacatorul nu sparge criptarea băncii și nu sparge serverul. Folosește drepturile legitime ale persoanei al cărei calculator îl controlează și, pentru bancă sau pentru server, el este persoana respectivă.

Am spus-o și în articolul despre patch-urile din octombrie: interfața de administrare scoasă de pe internet nu ajută dacă atacatorul este deja pe un laptop din rețeaua internă.

Ce poți face de luni

1. Fă lista laptopurilor care pot muta bani sau date. Cine are token bancar, cine are drepturi de administrator pe server, cine are acces la conturile cloud ale firmei. De obicei lista are 3-5 nume și ea este perimetrul real al firmei.
2. Separă contul de administrator de contul de zi cu zi. E-mailul, browserul și documentele se deschid dintr-un cont fără drepturi. Administrarea serverului se face dintr-un cont separat, ideal de pe un calculator care nu primește e-mail.
3. Pune autentificare în doi pași pe tot ce mută bani sau date: banking, Microsoft 365 sau Google Workspace, accesul la distanță, panourile de găzduire. Codul pe telefon, nu pe e-mail.
4. Cere două persoane pentru plățile mari. Băncile din România oferă semnătură dublă pe ordinele de plată peste un prag. Pe Binance aprobările au fost ocolite, dar pentru un hoț obișnuit pragul este un obstacol real.
5. Actualizează sistemele de operare și browserele săptămânal și ține un program anti-malware care alertează pe cineva, nu doar blochează în tăcere.
6. Spune angajaților, concret, că ofertele de angajare cu „test tehnic” atașat, documentele de la „parteneri” necunoscuți și cererile urgente de plată de la „director” sunt căile obișnuite de intrare.
7. Verifică că ai jurnale cu cine s-a conectat, de unde și ce a făcut. Binance a văzut mișcarea în minute și a înghețat aproape jumătate din sumă. Fără jurnale, descoperi furtul la extrasul de cont.

Unde nu se potrivește

Măsurile de mai sus nu opresc un grup statal cu luni de pregătire. Binance avea separare de roluri, aprobări în mai mulți pași și o echipă de securitate dedicată, iar atacul tot a reușit. Ce fac aceste măsuri este să te scoată din categoria țintelor ușoare, acolo unde un laptop infectat la întâmplare se transformă într-un transfer bancar. Și niciun program nu înlocuiește procedura: dacă aceeași persoană deschide e-mailul și aprobă plățile din aceeași sesiune, monitorizarea te ajută doar să afli repede ce s-a întâmplat.

Cum procedăm noi

La clienții noștri, stațiile și serverele sunt urmărite prin Brio Endpoint Manager: inventar, actualizări Windows în ferestre de mentenanță, alerte pentru procese și conexiuni neobișnuite, Process Guard cu fișiere-capcană împotriva ransomware-ului și izolarea de rețea a unei stații compromise, din consolă. Alertele se văd în interfață și ajung pe e-mail la cine trebuie să reacționeze; notificarea prin WhatsApp este în dezvoltare. La clienții cu contract, le urmărim noi.

Partea de procedură, adică lista de laptopuri critice, separarea conturilor, autentificarea în doi pași și instruirea angajaților, intră în auditul BrioProtect și durează de obicei două-trei zile de lucru.

Dacă nu știi câte persoane din firma ta pot face o plată sau pot intra pe server de pe laptopul personal, scrie-ne. Îți trimitem lista de întrebări pe care o folosim la audit și îți spunem în câteva minute ce ar trebui schimbat prima dată.