Binanceov incident od 6,3 milijarde dolara: Tko plaća gubitke?

Binance je 30. listopada objavio da istražuje sigurnosni incident kojim je, prema njegovoj procjeni, zahvaćeno oko 6,3 milijarde dolara imovine, što je najveći zabilježeni kripto incident do sada.  Burza je obećala pokriti sve gubitke, dok je njezina početna istraga kao mogući ulaz napadača označila službeno računalo jednog inženjera. Dan ranije i Polymarket je privremeno zaustavio trgovanje nakon napada procijenjenog na približno 2,65 milijuna dolara, koji je povezao s kompromitiranim vanjskim dobavljačem. I ta je platforma najavila obeštećenje korisnika.

Dva napada u tako kratkom razmaku privlače pozornost zbog poznatih imena, ali uklapaju se u mnogo širi problem. DefiLlama je do 30. listopada ove godine evidentirala 322 sigurnosna incidenta, odnosno približno jedan dnevno, te ukupno 8,73 milijarde dolara pod oznakom gubitaka. Taj iznos uključuje i sredstva koja su naknadno vraćena ili zamrznuta, pa se iz njega ne može zaključiti koliko su novca korisnici na kraju nepovratno izgubili.

Kako se iz sustava izvlače milijarde

Binanceov slučaj pokazuje koliko štete može nastati kada napadač stekne pristup internim sustavima burze. Prema preliminarnom objašnjenju kompanije, kompromitirano računalo moglo mu je omogućiti pristup servisu preko kojeg je slao neovlaštene zahtjeve za isplatu. Binance pritom navodi da nije pronašao dokaze o curenju privatnih ključeva novčanika. U suradnji s partnerima zamrznuo je oko tri milijarde dolara zahvaćene imovine, a najavio je da će gubitke podmiriti vlastitim sredstvima i fondom SAFU, namijenjenim zaštiti korisnika.

Na Polymarketu, platformi na kojoj se trguje ugovorima o ishodima budućih događaja, problem je prema objavi kompanije došao preko vanjskog dobavljača. Nakon otkrivanja napada korisnici su neko vrijeme mogli samo otkazivati postojeće naloge. Trgovanje je poslije nastavljeno, a platforma je obećala punu naknadu pogođenima. Prema podacima Arkhama koje je prenio The Block, u novčaniku povezanom s osumnjičenim napadačem zabilježena je imovina vrijedna oko 2,65 milijuna dolara.

Slabosti u postupku odobravanja isplata već su u rujnu skupo stajale Bitget. Iz njegovih novčanika 24. rujna izvučeno je oko 351,6 milijuna dolara, procijenio je TRM Labs. Prema objašnjenju burze koje prenosi ta analitička kuća, napadači su pristupili pozadinskom sustavu i manipulirali podacima o transakcijama koje je trebalo odobriti. Bitget je tvrdio da privatni ključevi nisu ukradeni i da njegov zaštitni fond pokriva gubitak. Drugim riječima, zaštita ključeva sama po sebi nije spriječila sustav da odobri neovlaštene prijenose.

Još jednostavniji operativni propust opisala je indijska burza CoinDCX. Objavila je da je 21. listopada izgubila 15,99 milijuna USDT-a jer se novac gomilao na staroj adresi iz infrastrukture kompromitirane još prethodne godine. Dio korisnika nastavio je slati sredstva na tu adresu, a servis koji ih je automatski trebao premještati na sigurno neko vrijeme nije radio. CoinDCX je naveo da je sam preuzeo gubitak. Stara infrastruktura tako je ostala izvor rizika i nakon što ju je burza povukla iz uporabe.

Za 285 milijuna dolara bilo je dovoljno 12 minuta

Velike krađe nisu zaobišle ni decentralizirane financijske protokole. S Drifta, platforme na mreži Solana, 1. travnja izvučeno je približno 285 milijuna dolara u samo 12 minuta. Prema analizi TRM Labsa, napadači su prethodno obmanuli osobe ovlaštene za potpisivanje transakcija i naveli ih da unaprijed odobre transakcije koje su sadržavale skrivene ovlasti. Zatim su u sustav uveli umjetno stvoren token, koji je prihvaćen kao vrijedan kolateral, odnosno jamstvo za povlačenje stvarne imovine.

Samo 17 dana poslije napadnut je KelpDAO-ov sustav prijenosa imovine između blockchain mreža, uz gubitak tada procijenjen na oko 292 milijuna dolara. LayerZero je u svojem naknadnom izvješću naveo da je napad počeo obmanom njegova zaposlenika i ulaskom u infrastrukturu za provjeru podataka. Napadač je uspio postići da sustav prihvati krivotvorenu poruku i oslobodi sredstva. Budući da za potvrdu nije bio potreban drugi neovisni verifikator, kompromitacija jednog dijela infrastrukture bila je dovoljna za isplatu.

Upravo se na takvim slučajevima vidi zašto relativno malen broj napada može proizvesti većinu financijske štete. TRM Labs procijenio je da su kompromitacije infrastrukture i operativnih procesa činile oko 15 posto napada u prvom polugodištu, ali čak 76 posto ukradene vrijednosti. Oko dvije trećine ukupno ukradenog iznosa u tom je razdoblju povezao sa sjevernokorejskim akterima.

Ukradeni iznos i konačna šteta mogu se znatno razlikovati

Koliko povrat sredstava može promijeniti financijski ishod pokazuje Liquid Network, mreža povezana s Bitcoinom. Napadači su 6. rujna iskoristili pogrešku u softveru za provjeru transakcija kako bi stvorili tokene bez odgovarajućeg pokrića i zamijenili ih za stvarni bitcoin. TRM Labs procijenio je da je tako izvučeno oko 319 milijuna dolara.

Prema izvješću iste kuće od 8. rujna, nakon uklanjanja ranjivosti napadači su vratili približno 272 milijuna dolara, odnosno oko 85 posto sredstava. U tom je trenutku kod njih ostalo približno 47 milijuna dolara. Incident se zato i dalje može voditi kao napad od 319 milijuna dolara, iako je iznos koji nakon tada zabilježenog povrata ostaje nenadoknađen znatno manji. www.trmlabs.com

Drukčiju vrstu slabosti otkrili su napadi na dio Coldcard hardverskih novčanika, uređaja namijenjenih samostalnom čuvanju kriptovaluta. Prema analizi TRM Labsa od 5. kolovoza, napadi su počeli 30. srpnja, a dotadašnji gubici dosegnuli su oko 116 milijuna dolara. Uzrok je bio propust u starijem firmveru, softveru koji upravlja uređajem, zbog kojeg su početni tajni podaci za novčanike stvarani uz slabiju slučajnost. To je napadačima olakšalo izračunavanje ključeva bez fizičkog pristupa uređaju. Zaštita koju je trebao pružiti hardver ovisila je, dakle, i o tome koliko je sigurno njegov softver prvotno stvorio ključeve.

Napadi su česti, a najveći određuju ukupni račun

U prvoj polovici godine TRM Labs evidentirao je 207 napada, prema 83 u istom razdoblju 2025., uz 972 milijuna dolara ukradenih sredstava. Broj napada više se nego udvostručio, premda je ukradeni iznos tada bio manji nego godinu prije. Za treće tromjesečje Hacken je zabilježio 107 incidenata i 1,18 milijardi dolara ukradenih sredstava. Razlike u obuhvatu tih evidencija onemogućuju njihovo jednostavno zbrajanje, ali obje pokazuju koliko su sigurnosni incidenti učestali. www.trmlabs.com

Najveći napadi pritom određuju godišnje iznose, dok se manji slučajevi nižu bez usporedive pozornosti javnosti. Zato prosječan broj incidenata govori koliko se često problemi pojavljuju, ali ne i koliko će pojedina platforma izgubiti. Za to su presudni opseg pristupa koji napadač stekne, kontrole koje mogu zaustaviti isplatu i brzina reakcije nakon otkrivanja napada.

Za korisnike je konačno najvažnije koliko će im novca biti vraćeno i kada će ponovno moći njime raspolagati. Zamrzavanje sredstava ograničava napadaču mogućnost njihova premještanja, ali ne znači da su već vraćena vlasnicima. Jednako tako, najava obeštećenja tek treba postati provedena naknada. Ako kompanija gubitak podmiri iz vlastitih rezervi, korisnik može biti obeštećen, dok trošak ostaje u njezinu poslovanju.

Ovogodišnji slučajevi zato upućuju na vrlo konkretna pitanja za uprave kriptoplatformi: tko može pristupiti sustavima za isplatu, kako se provjerava što se odobrava i koliko ovlasti imaju vanjski dobavljači. Zaštitni fondovi važni su kada novac već nestane, ali dugoročno povjerenje ovisi o tome mogu li platforme spriječiti da jedno kompromitirano računalo ili neispravan servis otvore put do korisničke imovine