Binance-hack: 6,3 milliárd dollár, 20 perc és egy AI-riasztás

2026. október 30-i helyzetkép. A Binance hivatalos közlése szerint egy október 29-i biztonsági incidens mintegy 6,3 milliárd dollárnyi kriptoeszközt érintett. A tőzsde több blokkláncon működő tárcáiból jogosulatlan tranzakciók indultak. A Binance szerint körülbelül 3 milliárd dollárnyi érintett eszközt sikerült zárolni, a teljes veszteséget pedig a SAFU-alapból és vállalati pénzből fedezik. Ezek a vállalat aktuális állításai; a helyreállításról még nincs lezárt, független audit. Binance-közlemény.

A történet legfontosabb tanulsága nem az, hogy valaki megszerezte a felhasználók jelszavait, hanem az, hogy a központi pénzmozgató infrastruktúrán keresztül tömegesen lehetett végrehajtani látszólag megfelelően aláírt kiutalásokat. Az AI-alapú észlelés gyors volt – de nem egyenlő a tranzakció előzetes megakadályozásával.

Mi történt október 29-én, és tényleg csak 20 percig tartott?

A TRM Labs szerint október 29-én 20:05 UTC körül kezdődött a több hálózatra kiterjedő tömeges pénzmozgás, és az eszközök nagy részét körülbelül 20 perc alatt továbbították a támadókhoz köthető címekre. A kutatók tíz blokkláncot említenek; ezek közé tartozott többek között a Bitcoin, az Ethereum, a TRON és a Solana.

Ez nem a teljes műveletsor időtartama. A Bitquery az általa vizsgált kilenc láncon 20:04 és 23:56 UTC közötti, közel négyórás kiutalási időszakot dokumentált, és 17 érintett „hot walletet” azonosított. A két megállapítás nem feltétlenül ellentmondás: a „20 perc” a fő kiáramlási hullám, a közel négy óra a tágabb tranzakciós időablak.

A hot wallet internetkapcsolattal rendelkező, a napi működéshez és kiutalásokhoz használt kriptotárca. A támadás sebességét nem az ügyfélszámlák egyenkénti feltörése magyarázza, hanem az automatizálható, nagy értékű blokklánctranzakciók.

Tényleg egy Binance-fejlesztő laptopjáról jutottak be?

A Binance első hivatalos közleményében azt írta, hogy az előzetes vizsgálat egy DevOps-mérnök kompromittált laptopjára utal. Ezen keresztül a támadó hozzáférhetett egy szolgáltatási konténerhez, ahonnan jogosulatlan kiutalási tranzakciókat tudott beküldeni. A vállalat ugyanakkor kifejezetten azt állítja, hogy nem talált bizonyítékot tárcák privát kulcsainak kiszivárgására.

A későbbi tájékoztatás szerint a vizsgálók további behatolási pontokat is azonosítottak. Richard Teng társ-vezérigazgató külön hangsúlyozta, hogy nem egyetlen munkavállaló jogosultságával végrehajtott, egykattintásos támadásról van szó, és a vizsgálat nem állapított meg egyéni felelősséget. A pontos belső támadási útvonalról még nem készült nyilvános, teljes technikai jelentés. Forrás: Decrypt, 2026. október 30.

Miért nem kellett feltörni az ügyfelek külön-külön fiókjait?

Egy központosított kriptotőzsdén az ügyfél által látott BTC- vagy ETH-egyenleg belső nyilvántartásban szerepel, miközben az eszközöket a szolgáltató több, általa kezelt blokklánctárcában tarthatja. A felhasználói belépés védelme és a tárcák mögött működő letétkezelési, aláírási és kiutalás-engedélyezési rendszer védelme ezért külön biztonsági feladat.

Ha a támadók a központi tárcakezelés vagy aláírási folyamat egy részét veszik célba, azzal anélkül mozgathatnak közös tartalékeszközöket, hogy minden egyes ügyfél jelszavát megszereznék. Ebből nem következik, hogy minden érintett felhasználó fiókjából külön kiutalás látszik, vagy hogy az egyenlegek automatikusan nullára változnak.

A CoinDesk az október 1-jei Binance Proof of Reserves alapján azt írta, hogy az érintett Ethereum-tárcák az ügyfelek egyenlegeit fedező tartalékeszközökhöz tartoztak. Ez magyarázza, miért fontos a vállalat által megígért tartalékpótlás és az új, ellenőrizhető tartalékjelentés. CoinDesk: érintett tartaléktárcák.

Az EIP-7702 szerepe: hogyan kerülhetett támadói kód egy tárca mögé?

A Blockaid és a TRM Labs elemzése alapján a Binance egyik nagy Ethereum-tárcájánál az EIP-7702 mechanizmus játszhatott szerepet. Ez az Ethereum működésének legitim része: meghatározott feltételekkel lehetővé teszi, hogy egy hagyományos fiók intelligens szerződéshez delegáljon működést. A funkció önmagában nem sérülékenység, de a jogosulatlan felhatalmazás súlyos következményekkel járhat.

A Blockaid elemzése szerint a támadó előre telepített egy eszközöket továbbító szerződést, majd 50, eltérő számlálót (nonce-ot) használó EIP-7702-felhatalmazással próbálkozott. A kutatók szerint az egyik érvényesült, és 20:24 UTC körül egy nagyjából 2,5 milliárd dollárnyi eszközt érintő Ethereum-tranzakció következett. A Blockaid ezt aláírási jogosultság kompromittálódására utaló jelként értelmezi.

Ez azonban még nem bizonyítja, hogyan keletkeztek a támadáshoz használt aláírások. A Binance állítása szerint nincs bizonyíték privátkulcs-szivárgásra. A két eltérő megállapítást külön kell kezelni: egy blokkláncon elfogadott aláírás nem azonos a kulcs ellopásának bizonyításával.

Az AI két perc alatt észrevette – miért nem állt le a lopás?

A Blockaid saját beszámolója szerint automatizált, AI-alapú megfigyelőrendszere 1 perc 55 másodperccel az első nagy Ethereum-kiutalás után riasztott. A támadási mechanizmus részletesebb elemzését 11 percen belül azonosította, az érintett címeket pedig később veszélyesként jelölte saját ügyfelei rendszerei számára.

A sorrend döntő: az észlelés a nagy tranzakció után történt. Attól, hogy egy külső biztonsági szolgáltató perceken belül riasztást ad, még nincs automatikus joga a Binance összes tárcájának leállítására vagy a már véglegesített blokklánctranzakciók visszavonására.

A Blockaid írása kiemeli: az adott Ethereum-tárca delegált állapota már a nagy kiutalás előtt néhány perccel megjelent a láncon. Ez megelőző ellenőrzésre kínálhatott volna lehetőséget. Az eset ezért azt mutatja, hogy az utólagos anomáliaészlelés mellett a tranzakció aláírása előtti szabályellenőrzés, összeglimitek és független jóváhagyások is kritikusak.

Van bizonyíték ChatGPT vagy más generatív AI támadói használatára? A jelenleg ellenőrizhető források nem neveznek meg ilyen modellt. A Blockaid által dokumentált AI-szerep a védekező oldali észlelésre vonatkozik; a támadók automatizálása önmagában nem bizonyít generatív AI-használatot.

Mit jelent, hogy a 6,3 milliárd dollár „felét megtalálták”?

A Binance mintegy 3 milliárd dollárnyi on-chain befagyasztást közölt október 30-án. Ez a becsült teljes érintettség körülbelül 48 százaléka, de nem jelenti azt, hogy a zárolt eszközök már visszakerültek a tőzsde birtokába. Egy eszköz felismerhető a blokkláncon, egy adott címen blokkolható, illetve jogi és technikai eljárással később visszaszerezhető – ezek külön fázisok.

A Tether és a Circle stabilcoin-kibocsátók a Reuters szerint összesen több mint 2,38 milliárd dollárnyi kapcsolódó tokent zároltak a támadás kezdeti szakaszában. A Bitquery saját módszertanával 2,7 milliárd dollárnyi fagyasztott vagy megmentett eszközt számolt, míg a Binance körülbelül 3 milliárdról beszél. A különbséget az eltérő időpontok és módszertanok is magyarázhatják; pontos egyeztetés még szükséges.

A stablecoinok egy része kibocsátói közreműködéssel zárolható, a natív Bitcoin viszont nem rendelkezik olyan központi kibocsátóval, amely tetszőleges BTC-cím egyenlegét letilthatná. A zárolás ezért az egyes tokeneknél eltérő védelmi eszköz.

Mi történt az ellopott Bitcoinnal?

A CoinDesk október 30-i blokklánc-elemzése körülbelül 18 270 BTC – az akkori árfolyamon mintegy 1,4 milliárd dollár – jogosulatlan kiáramlását követte. A kutatás szerint a Bitcoinokat 19 tárcában osztották szét; a vizsgálat időpontjában még nem indult további mozgás ezekből a címekből. Ez pillanatfelvétel, nem garantáltan változatlan állapot. Forrás: CoinDesk.

A nyilvános blokklánc lehetővé teszi a pénz útjának követését, de nem ad automatikus visszavonási jogot. Ha egy Binance-ügyfél 200 BTC-t lát a platform belső nyilvántartásában, abból nem lehet meghatározni, hogy melyik, a támadásban érintett közös tárcához kapcsolódik az eszközfedezete. Ugyanez igaz fordítva: a tárca kiürítése sem bizonyítja, hogy minden felhasználó saját egyenlege ténylegesen eltűnt.

Kik lehettek a támadók?

A TRM Labs és a Reuters által idézett további blokklánc-elemzők a feltételezett elkövetőket az észak-koreai TraderTraitor művelethez kötik. Az értékelésük a támadási mintákra, a láncon megfigyelhető mozgásokra és egyéb hírszerzési adatokra épül. A Binance hivatalos közleménye nem nevezett meg elkövetőt, és a nyomozás tovább tart.

Fontos különbség: az elemzőcégek nagy biztonsággal megfogalmazott attribúciója nem azonos a nyilvánosan bemutatott, teljes körű bizonyítással. A támadási módszert és az elkövető személyét külön is vizsgálni kell.

Ki fizeti meg a veszteséget? Mit ígér a Binance?

A Binance szerint a felhasználói vagyont nem éri végleges veszteség: a vállalat a SAFU védelmi alap és saját forrásai bevonásával fedezi a hiányt. A CoinDesk és a The Block beszámolói szerint 6,34 milliárd dollárnyi vállalati fedezet elkülönítéséről nyilatkoztak, amelyből körülbelül 5 milliárd már a megfelelő kriptoeszközökben áll rendelkezésre. Ezeket a Binance közlésének, nem lezárt, független könyvvizsgálat eredményének kell tekinteni.

A vállalat átmenetileg leállította a kiutalásokat és a kiutalási infrastruktúra biztonsági felülvizsgálatát végzi. A későbbi október 30-i tájékoztatás szerint a befizetések működnek; a kiutalások újraindítására 45–48 órás várakozást jeleztek, de ez nem garantált határidő. A Binance új Proof of Reserves jelentést ígért a helyreállítás után. Az intézkedések tényleges teljesülését későbbi adatok alapján lehet ellenőrizni.

Miért érinti ez az Open Banking és a pénzügyi API-k világát?

A Binance központosított kriptotőzsde, nem azonos a PSD2 szerinti számlainformációs vagy fizetéskezdeményezési szolgáltatással. A rendszerbiztonsági probléma viszont ismerős lehet bankoknak, fintechcégeknek és API-integrátoroknak: az ügyfél sikeres hitelesítése és a nagy értékű tranzakció üzleti jogossága két külön ellenőrzési feladat.

A technikai szolgáltatási fiókok jogosultságait minimalizálni, elkülöníteni és naplózni kell. Különösen a pénzmozgást vagy kriptográfiai aláírást kezdeményező rendszereknél lényeges a több szereplőhöz kötött engedélyezés, a címzett- és összegkorlát, a szokatlan műveletek tranzakció előtti vizsgálata és a vészhelyzeti leállítási folyamat kipróbálása. Az AI segítheti a kockázatfelismerést, de csak akkor előzi meg a kárt, ha a döntési rendszer megfelelő helyén alkalmazzák.

Az uniós MiCA-rendelet 70. cikke a hatálya alá tartozó kriptoeszköz-szolgáltatóknál előírja az ügyféleszközök tulajdonjogának és elkülönített kezelésének védelmét. Ez nem azonos a hagyományos bankbetétek betétbiztosításával, és nem állítja helyre automatikusan egy kibertámadásban elveszett kriptoeszközöket. A konkrét ügyfélvédelem a szolgáltatótól, az illetékes joghatóságtól és a tényállástól is függ.

Mit tegyen, aki Binance-fiókot használ?

Elsőként a hivatalos alkalmazásban vagy a saját kezűleg beírt Binance-webcímen ellenőrizze a Spot, Funding és Earn eszközállományt, valamint a kiutalási előzményeket. Egy eltűnt kijelzett egyenleg és egy ismeretlen, végrehajtott kiutalás nem azonos helyzet. Jogosulatlan tranzakció vagy idegen belépés esetén a hivatalos támogatást kell értesíteni, az aktív munkameneteket és hozzáféréseket pedig biztonsági szempontból felül kell vizsgálni.

A támadásról szóló hírekhez kapcsolódó „kártalanítási”, „tárca-visszaállítási” és „azonnali azonosítási” linkek könnyen adathalász csalások lehetnek. Sem jelszót, sem kétlépcsős azonosítási kódot, sem seed phrase-t nem szabad megadni külső űrlapon vagy privát üzenetben. A helyreállítási helyzetet kizárólag a Binance hivatalos csatornáin érdemes követni.

Szerkesztőségi megjegyzés – 2026. október 30.: Ez a cikk a nap folyamán közzétett Binance-közleményekre, hírügynökségi jelentésekre és blokklánc-elemzők nyilvános megállapításaira épül. A végleges technikai incidensjelentés még nem érhető el. A „mintegy 6,3 milliárd” és „körülbelül 3 milliárd” összeg a Binance akkori becslése; az egyes elemzőcégek eltérő időablakot, blokkláncokat és zárolási kategóriákat mértek. A cikk nem pénzügyi tanácsadás.