בתוך כ־20 דקות הצליחו האקרים להעביר את מרביתם של מיליארדי דולרים מארנקי בינאנס, בורסת הקריפטו הגדולה בעולם. לפי חברת מודיעין הבלוקצ'יין TRM Labs היקף הנכסים שהועברו במהלך המתקפה אתמול (ה') הגיע לכ־6.36 מיליארד דולר בעשר רשתות שונות. בינאנס הודיעה כי בסיוע חברות נוספות הוקפאו נכסים בשווי של כ־3 מיליארד דולר, והתחייבה לכסות את הפסדי המשתמשים. הביטקוין הגיב בירידה לשפל של שישה שבועות, לכ־76.4 אלף דולר, לפי רויטרס.
● מכונת המזומנים של קים: כך הפכה קוריאה הצפונית לאיום הגדול ביותר של בורסות הקריפטו
אילן שטרק, מנכ"ל הוריזון מבית אלטשולר שחם, מדגיש כי השפעתן של פריצות קריפטו על השוק אינה תלויה רק בסכום שנגנב. לדבריו, המבחן כעת הוא יכולתה של בינאנס לממן את הפיצוי, לחדש משיכות בבטחה ולהציג שקיפות בנוגע לנכסי הלקוחות. הבורסה הודיעה שתשתמש בקרן ההגנה שלה, SAFU, ובכספי החברה לכיסוי ההפסדים, אך כספים שהוקפאו עדיין אינם כספים שהושבו.
המתקפה עשויה לשבור שיא מפוקפק בתעשייה, אך היא גם חושפת דפוס מוכר: במקרים רבים ההאקרים אינם צריכים לפצח את ההצפנה שעליה מבוססים המטבעות, אלא רק להשיג שליטה במנגנון המאשר את העברתם. להלן חמש מהפריצות הגדולות ביותר, בדירוג לפי שווי הנכסים בזמן האירוע, ולא לפי שוויים כיום או הנזק הסופי. לשם השוואה, כ־850 אלף מטבעות הביטקוין שנעלמו מ־ Mt. Gox ב־2014 הוערכו אז בכחצי מיליארד דולר בלבד .
1 בינאנס: כ־6.3 מיליארד דולר (2026)
לפי הבדיקה הראשונית של בינאנס, ייתכן שהתוקפים חדרו למחשב של אחד ממהנדסיה ומשם השיגו גישה למערכת שביצעה משיכות בלתי מורשות. החברה מסרה שלא מצאה ראיות לדליפת המפתחות הפרטיים של הארנקים. TRM זיהתה 50 הרשאות שנחתמו מראש, שאחת מהן אפשרה להשתלט על ארנק המחובר לרשת. חלק מהשלל היה במטבעות יציבים, שמנפיקיהם מסוגלים להקפיא, בניגוד לביטקוין. TRM מייחסת את המתקפה לקבוצת TraderTraitor הצפון קוריאנית.
2 Bybit: כ־1.5 מיליארד דולר (2025)
בפברואר 2025 נגנבו מטבעות את'ריום שהוחזקו בארנק קר, שנועד לצמצם חשיפה לאינטרנט. לפי תחקיר חברת האבטחה Sygnia, התוקפים שיבשו את ממשק אישור העסקה וגרמו למאשרים לחתום על פעולה שונה מזו שהוצגה להם. ה-FBI ייחס את הגניבה ל-TraderTraitor. אם החשד הנוכחי יאומת, אותה קבוצת האקרים תהיה אחראית לשתי פריצות הענק הגדולות שאומתו בזמן אמת.
3Poly Network: כ־610 מיליון דולר (2021)
באוגוסט 2021 נוצלה חולשה במערכת להעברת מטבעות בין רשתות בלוקצ'יין. אלא שבניגוד לרוב מקרי הגניבה, הפורץ החל להחזיר את הכסף כבר למחרת, וטען שרצה לחשוף פרצת אבטחה. כשבועיים לאחר מכן הודיעה החברה שהשיבה לעצמה שליטה כמעט בכל הנכסים, למעט מטבעות יציבים בשווי 33 מיליון דולר שהוקפאו בידי החברה המנפיקה אותם, Tether. היא אף הציעה לפורץ פרס של חצי מיליון דולר.
4 BNB Chain: כ־570 מיליון דולר (2022)
באוקטובר 2022 התוקף לא רוקן ארנק קיים, אלא ניצל חולשה בגשר בין רשתות כדי ליצור כשני מיליון מטבעות BNB חדשים, בשווי של כ־570 מיליון דולר. מפעילי הרשת עצרו את פעילותה כדי לבלום את ההתקפה. לפי הדיווחים, רק כ־100-110 מיליון דולר נותרו מחוץ לשליטתם. זהו הבדל מהותי בין היקף הניצול הטכנולוגי לבין הסכום שאבד בפועל.
5 Ronin: כ־540 מיליון דולר (2022)
במרץ 2022 נפרץ הגשר של רשת Ronin, ששימשה את משחק הקריפטו Axie Infinity. ההאקרים השיגו שליטה בחמישה מתשעת מפתחות האימות הדרושים לאישור העברות, והצליחו להעביר מטבעות את'ריום ו־ USDC. הגניבה התגלתה רק שישה ימים אחר כך, כששווי הנכסים כבר עלה לכ־615 מיליון דולר. הרשויות האמריקאיות ייחסו אותה לקבוצת Lazarus הצפון קוריאנית.
לכל אחת מהפריצות היה מנגנון שונה: מחשב של עובד, מסך אישור מטעה, חולשה בקוד או מפתחות אימות שנפלו לידיים הלא נכונות. אבל המכנה המשותף ברור: במרבית המקרים, ההאקרים כלל לא נדרשו לפצח את ההצפנה שעליה מבוססים המטבעות הדיגיטליים, אלא ניצלו חולשות במערכות שמאפשרות להעביר אותם. זו אחת מנקודות התורפה המרכזיות של התעשייה.
בניגוד להעברה בנקאית, עסקה שאושרה ונרשמה בבלוקצ'יין אינה ניתנת בדרך כלל לביטול, וגם כאשר אפשר לעקוב אחר הכסף, לא בהכרח ניתן להשיבו. אמנם מנפיקות של מטבעות יציבים מסוגלות להקפיא חלק מהנכסים, כפי שהמחישה הפריצה לבינאנס, אך היכולת הזאת אינה קיימת בכל המטבעות.
כאן גם טמון אחד הפרדוקסים של עולם הקריפטו: הטכנולוגיה נועדה לצמצם את התלות בגורמים מרכזיים, אך בפועל משקיעים רבים עדיין מפקידים את כספם בבורסות ובפלטפורמות שמנהלות עבורם את הנכסים והופכות בעצמן למוקדי סיכון. לכן, גם בעולם שמבוסס על הצפנה מתקדמת, לא תמיד צריך לפצח את המנעול. לפעמים מספיק לגרום למי שמחזיק במפתח לפתוח את הדלת.
