Co się wydarzyło
Według Chainalysis (30.10) środki zaczęły wypływać około 16:20 czasu ET 29 października. Na Ethereum napastnik wykorzystał portfel operacyjny zasilony przez Tornado Cash do złożenia ważnych, podpisanych autoryzacji, które pozwoliły gorącemu portfelowi Binance uruchomić wdrożony przez napastnika kod — a następnie wymiótł aktywa. Atrybucję do Korei Północnej Chainalysis oparł na dowodach on-chain: zmieszaniu skradzionych środków z łupem z wcześniejszej kradzieży Bitget. FBI, według doniesień z 3 listopada, również wskazuje TraderTraitor; Korea Północna zaprzecza.
Pranie nosi ślady automatyzacji — tysiące transakcji, adresy najpierw otrzymujące dokładnie 1 TRX, potem środki przekazywane dalej. Do 3 listopada zamrożono około 2,8 mld USD.
Najważniejsze ustalenia
- Kwota: około 6,4 mld USD (różne szacunki 6,3–6,36 mld); data: 29 października 2026; atrybucja: TraderTraitor / Korea Północna (Chainalysis on-chain, FBI).
- Wektor na Ethereum: podpisane autoryzacje z portfela operacyjnego zasilonego przez Tornado Cash pozwoliły uruchomić kod napastnika w gorącym portfelu.
- Reakcja branży: zamrożenie około 2,8 mld USD do 3 listopada; współpraca emitentów stablecoinów, organów ścigania i firm analitycznych.
- NIEPEWNE: osobna relacja (Vectra za pośrednictwem Cyware) opisuje wektor wejścia jako socjotechnikę — fałszywą rozmowę rekrutacyjną, złośliwą binarkę i wewnętrzne narzędzie AI do ruchu bocznego. Chainalysis tego nie potwierdza; traktujemy jako niezweryfikowane.
Dlaczego to ważne
Komentarz SafeWaveDla instytucji finansowych, a to rdzeń klientów SafeWave, najważniejsza nie jest skala, lecz dwa mechanizmy. Pierwszy: nadużycie ważnych, podpisanych autoryzacji — ten sam wzorzec, co nadużycie tokenów i zgód OAuth w środowiskach korporacyjnych, gdzie skradziona lub wyłudzona autoryzacja robi dokładnie to, na co pozwala, i nie wygląda jak włamanie. Drugi: jeśli potwierdzi się wątek socjotechniczny z fałszywą rekrutacją (typowy dla grup KRLD), to przypomnienie, że wejściem do najlepiej zabezpieczonej infrastruktury bywa człowiek. Operacyjnie: inwentaryzacja i ograniczanie zakresu zgód oraz kluczy podpisujących, wykrywanie nietypowych autoryzacji i twarde procedury weryfikacji przy zdalnej rekrutacji i dostępie wykonawców.