Binance je sam potpisao pljačku stoljeća, 5,7 milijardi dolara nestalo je u tri minute

Binance, najveća kripto burza na planeti, upravo je doživjela najveću krađu u povijesti kriptovaluta. U jednoj noći s njezinih portfelja nestalo je između 2,8 i 5,7 milijardi dolara, a pritom nitko nije provalio u sustav niti ukrao privatni ključ. Portfelj je sam potpisao autorizaciju koja mu je ispraznila sadržaj u tri minute i 24 sekunde.

Ono što ovu pljačku čini posebnom nije iznos, koliko god bio vrtoglav, nego način na koji je izvedena. Binance 14, javno poznat hot portfelj burze, povezan je s novim programom u 21 sat i 20 minuta i 59 sekundi po vremenu iz Brčkog, a već u 21 sati i 24 minute bio je prazan. Napadači su prethodno nahranili svježe stvorenu adresu sitnim iznosima provučenim kroz Tornado Cash, mješalicu koja briše trag novca. Burza nikada ne plaća transakcijske naknade novcem iz mješalice, pa je to bio prvi crveni alarm koji nitko nije na vrijeme uhvatio.

Ključ cijele operacije leži u Ethereum funkciji EIP 7702, koja od svibnja 2025. dopušta običnom portfelju da svoje ovlasti delegira manjem programu. Ideja je bila plemenita, plaćanje tuđih naknada i grupiranje transakcija, no delegacija jednom kad je uspostavljena ostaje aktivna. Program tada pomiče sredstva bez ikakve nove potvrde. Napadači su, prema analizi tvrtke Block Aid, spojili 50 zahtjeva za delegaciju u jednu transakciju i pogodili pravi redni broj portfelja. Program zvan sweeper zatim je počeo grabitti sve što u portfelj uđe i slati na adresu napadača.

Meta nije bila samo jedna. Ubrzo je Binance 16 poslao više od 28 tisuća ETH na istu adresu, 780 milijuna dolara u USDC otišlo je u treći novčanik, a iz sustava je izvučeno i 18.270 bitcoina u vrijednosti od 1,44 milijarde dolara. Više od 630 milijuna dolara pobjeglo je preko Trona, a manji iznosi preko XRP-a i Solane. Činjenica da EIP 7702 postoji isključivo na Ethereumu, a sredstva su curila s blockchaina na blockchain, govori da je probijena sama srž Binanceove mašinerije, a ne jedna adresa.

Najzanimljiviji dio je pozadina. Dva dana prije napada, 27. listopada, Binance je javno objavio kako je osujetio tjedan napada povezanih sa Sjevernom Korejom. Zaposlenici su dobivali lažne pozive za posao, lažne testove koda i zahtjeve za instalacijom softvera, sve kako bi sami pokrenuli zlonamjerni program. Burza se hvalila kako je sve izbjegla, a 48 sati kasnije dogodila se pljačka. Isti obrazac ponavlja se treći put u 20 mjeseci. Bybit je u veljači 2025. izgubio 1,5 milijardi dolara preko kompromitiranog računala dobavljača portfelja, Bitget je 24. rujna izgubio 387 milijuna dolara kroz krivotvorenu povijest transakcija, a sada je pao i Binance. U svim slučajevima netko je potpisao nešto što je izgledalo legitimno.

Ime koje se vraća uz svaki od tih slučajeva je Lazarus, hackerska skupina sjevernokorejske države. Za Bybit je atribuciju potvrdio FBI, za Bitget ju je iznijela sama direktorica burze, a za Binance prema tom smjeru upućuju Block Aid i istražitelj Zac XBT. Službene potvrde još nema, no brojke govore dovoljno. Prema Chain Analysisu, Sjeverna Koreja je u 2025. ukrala 2,02 milijarde dolara u kriptu, što čini 59 posto svega ukradenog u svijetu te godine, i to uz 74 posto manje napada nego lani. Manje napada, ali daleko veći i precizniji. Država s tisućama inženjera i vremenom na svojoj strani sustavno prazni burze jednu po jednu.

Prvi konkretan učinak ove pljačke je moć stablecoina. Od 5,7 milijardi ukradenih dolara, oko 3 milijarde zamrznuto je u roku od nekoliko sati. Tether i Circle, izdavači USDT-a i USDC-a, zadržali su ovlast blokiranja bilo koje adrese, što nikada ranije nije dalo tako brz rezultat. No upravo ta moć otkriva neugodnu istinu jer isto tako mogu blokirati i vaš novčanik. S druge strane, 18.270 ukradenih bitcoina nitko ne može zamrznuti jer Bitcoinom ne upravlja nijedna tvrtka. Ta ista osobina štiti žrtvu i podsjeća vas da pitanje kontrole nad vlastitim novcem nikada nije bilo važnije.

Drugi učinak tiče se transparentnosti. Binance svakog mjeseca objavljuje popis svojih portfelja i sadržaj, takozvani dokaz o pričuvama. U izvještaju od 1. listopada Binance 14 je crno na bijelo nosio 1,26 milijardi USDT-a i gotovo 90 tisuća ETH. Napadači su tako znali točno gdje je sef i što je u njemu. Prema izračunima Coin Deska, nakon pljačke Binance pokriva oko 94 posto ETH-a svojih klijenata dok se rupa ne zakrpa. To samo po sebi nije dramatično, ali nameće pitanje može li se uopće biti potpuno transparentan o pričuvama, a ne postati meta.

Treći učinak pogodit će svaku burzu, ne samo Binance. Slaba karika više nije kod, nego stroj koji potpisuje. Očekuju se manji hot novčanici, sustavi potpisivanja izolirani od ostatka mreže i ozbiljna rasprava o EIP 7702 jer je, prema Winter Muteu, ta funkcija već u prvom mjesecu postojanja služila za više od 97 posto ugovora namijenjenih pražnjenju portfelja. Način na koji burze čuvaju vaš novac mijenja se zauvijek.

Binance tvrdi da pokriva sve gubitke, ima hitni fond od oko milijarde dolara u bitcoinu, a ostatak će doći iz vlastite riznice. Gubitak od 5,7 milijardi zvuči zastrašujuće, no radi se o otprilike 4 posto od 144 milijarde koliko je burza držala prije napada, a čelnik Winter Mutea procjenjuje da može podnijeti tri do četiri puta veći udarac. Binance nije FTX, no depoziti i isplate stoje bez datuma povratka. U idućim danima očekujte poplavu lažnih poruka koje se predstavljaju kao Binanceova podrška, pa ne budite naivni ako vam stigne mail ili tekst.

Za europske korisnike pitanje je ionako riješeno jer je Binance na tom tržištu zatvoren od 1. srpnja. Ostaje pitanje koje svatko mora sam sebi postaviti, držite li svoj novac na burzi i vjerujete li joj. Raspršivanje sredstava pametniji je odgovor od slijepog povjerenja, a povijest pokazuje da niti jedna platforma nije bila prevelika da padne.