Nem a széfet törték fel, hanem egy laptopot

Mi történt

Ha azt mondom, bankrablás, valószínűleg filmjelenet ugrik be: fúró, páncélterem, izzadó homlok, a sarokban egy őr. Most felejtsd el. A történelem eddigi legnagyobb kriptorablásánál senki nem nyúlt a páncélteremhez. A tettesek egy munkatárs laptopján át bejutottak a pénztárablak mögé, és onnan a pénztárgép maga fizetett nekik.

2026. október 29-én, csütörtökön a világ legnagyobb kriptotőzsdéje, a Binance tárcáiból tömegesen kezdtek kiáramlani az eszközök. Először felhasználók és blokklánc-figyelők vették észre, aztán az alapító, Changpeng Zhao írta meg az X-en, hogy valószínűleg feltörték a tőzsdét. Nem sokkal később a Binance is megerősítette, hogy biztonsági incidenst kezel.

A számok elsőre szédítők, és nem is egyformák. A Binance szerint az incidens becsült teljes hatása kb. 6,3 milliárd dollár, a Chainalysis blokklánc-elemző cég a lopás pillanatára kb. 5,9 milliárd dollárt számolt. A kettő más módszerrel mér, de bármelyiket nézzük, ez a valaha volt legnagyobb kriptolopás, nagyjából négyszerese a Bybit 2025. februári, kb. 1,5 milliárd dolláros esetének. Az elkövetők bitcoint, ethert és két nagy stabilérmét (dollárhoz kötött kriptopénzt), USDT-t és USDC-t vittek.

Ami engem a leginkább megfogott, az a módszer. A Binance előzetes vizsgálata szerint a kiindulópont valószínűleg egy DevOps-mérnök (fejlesztő és üzemeltető egy személyben) feltört laptopja volt. Erről a gépről a támadó egy belső szolgáltatáskonténerhez, vagyis a tőzsde egyik futó programösszetevőjéhez fért hozzá, és onnan adott be jogosulatlan kifizetéseket. A cég szerint nincs jele annak, hogy a tárcák privát kulcsai kiszivárogtak. A kulcsok tehát a helyükön maradtak, csak valaki más mondta meg nekik, mit írjanak alá. Hogyan törték fel a laptopot, és mely kontrollok nem fogták meg a kiáramlást, azt a Binance még nem hozta nyilvánosságra; részletes utólagos elemzést ígér.

A kármentés gyorsan indult. A Binance szerint partnerekkel együtt kb. 3 milliárd dollárnyi érintett eszközt fagyasztottak be: a Tether több mint 1,57 milliárd USDT-t, a Circle több mint 800 millió USDC-t. Ez nem visszaszerzett pénz, csak megállított. A bitcoint és az ethert viszont senki nem tudja központilag befagyasztani, és a támadó az eszközök egy részét gyorsan tovább is váltotta. A Binance azt vállalta, hogy a veszteséget a felhasználók védelmére képzett tartalékalapjából (SAFU) és saját forrásból fedezi. A befizetések 2026. október 30-án már újraindultak, a kifizetések a cég becslése szerint 48 órán belül.

Ki állhat mögötte? A Binance nem nevezett meg elkövetőt. A TRM Labs blokklánc-elemző „nagy bizonyossággal” az észak-koreai állami TraderTraitor csoportnak tulajdonítja. Az FBI korábban ugyanezt a csoportot nevezte meg a DMM Bitcoin (2024) és a Bybit (2025) kirablása mögött, és mindkét esetben egy fejlesztő gépe volt a kapu. A mostani esetre hatósági megerősítés egyelőre nincs.

Miért számít neked

Ha van kriptód, akár a Binance-en, akár máshol, a pénzed valószínűleg nem ettől a rablástól van veszélyben. A Binance vállalta a kárt. Téged a második hullám fenyeget. A nagy rablások után a csalók a hírre építenek: „Binance-ügyfélszolgálat” hív, SMS jön arról, hogy „feltörték a fiókodat”, valaki „kártérítési regisztrációt” vagy „pénzvisszaszerzést” ajánl, persze díj ellenében. 2025 februárjában, napokkal a Bybit-rablás után, pontosan ez történt Binance-ügyfelekkel.

Ha céget vezetsz, a tanulság nem a kriptóról szól. Egyetlen munkatárs gépe elég volt ahhoz, hogy valaki eljusson a kifizetésekig, mert a gép mögött túl sok bizalom állt. Kérdezd meg magadtól: nálatok kinek a laptopja ér ennyit?

Magyar érintettség nem ismert, és hazai hatósági figyelmeztetést 2026. október 30-ig nem találtunk. A második hullám magyar nyelven is megérkezhet.

Red // támadói szemmel

A széfet feltörni drága, lassú és hangos. Minek? Ott van mellette valaki, akinek joga van kinyitni.

Így gondolkodom. Az ember a láncban: egy DevOps-mérnök a munkája miatt hozzáfér az éles rendszerekhez. Az ő gépe nekem többet ér, mint bármelyik ügyfélfiók. Az olyan csoportok, mint a TraderTraitor, hónapokig készülnek egy-egy kulcsember megközelítésére: hamis állásajánlattal, „felvételi tesztfeladattal”, egy partner üzenetével. Hogy a Binance-nél pontosan hogyan kezdődött, azt még nem tudni; ez a csoport ismert módszere.

A gépről a gépházba: a feltört laptopról egy olyan belső programösszetevőhöz jutok, amelynek joga van kifizetést indítani. A rendszer saját kezével: a kéréseim a rendszer szemében hivatalosak. A kulcsot nem kell ellopnom, a kulcs szépen aláírja, amit mondok neki. Ezért a „nem szivárgott ki privát kulcs” egyszerre jó hír és figyelmeztetés: a kulcs védelme semmit nem ér, ha a kulcsot használó folyamat eltéríthető. Gyorsaság: a pénzt azonnal szétszórom és átváltom, mielőtt a befagyasztható stabilérmék megfognának.

És amikor a hír bejárja a világot, jönnek a kollégáim, a második hullám. Nekik már laptop sem kell, csak a te ijedtséged és egy telefon.

Blue // mit tegyél most

Magánszemély (ha van kriptód, bárhol)

Ne utalj semmit „biztonságos tárcába”, bárki kéri. Valódi tőzsde soha nem kéri, hogy a pénzedet egy általa megadott tárcába mozgasd.
Ne hívj vissza SMS-ben vagy e-mailben kapott számot, és ne kattints az üzenet linkjére. Az értesítéseket a tőzsde alkalmazásában vagy a kézzel beírt hivatalos címen nézd meg; a hamis SMS ugyanabban a beszélgetésben is megjelenhet, mint a valódiak.
A kártérítéshez nem kell tenned semmit. Aki „kártérítési regisztrációért”, „feloldási díjért” vagy „ellenőrzésért” kér pénzt vagy adatot, csaló. „Pénzvisszaszerző” cégnek se fizess: hatóság nem kér pénzt a nyomozásért.
Senkinek ne adj távoli hozzáférést a gépedhez, és soha ne mondd meg a visszaállító kifejezést (seed phrase), a jelszót vagy a kétlépcsős azonosítás kódját.
Amit nem kereskedésre használsz, ne tartsd tőzsdén.

Szervezet és kisvállalkozás

Kezeld külön kategóriaként az éles rendszerekhez hozzáférő munkatársak gépét: ne fusson rajta magáncélú böngészés, ismeretlen „tesztfeladat” vagy letöltött kódtár, legyen rajta végpontvédelem és rendszeres átvizsgálás.
Tudatosítsd a csapatban a hamis állásajánlatos trükköt: aki „felvételi tesztként” kódot kér futtatni, gyanús.
Pénzmozgásnál két kulcs: nagy összegű kifizetés ne induljon egyetlen ember vagy egyetlen gép döntésére. Legyen összeghatár, sebességkorlát, független második jóváhagyó külön csatornán, és automatikus megállítás szokatlan mintánál.
Fejlesztői gépről ne vezessen közvetlen út az éles rendszerekhez: külön, elszigetelt adminisztrációs gép, rövid ideig élő, feladathoz kötött jogosultság.
Készülj a második hullámra: legyen előre megírt ügyfélüzeneted arról, hogyan keresed az ügyfeleidet, és hogyan soha.

Szakmabelieknek: technikai részletek

CVE: nincs; a Binance nem nevezett meg sebezhetőséget. A jelenlegi ismeretek szerint végpont-kompromittálás és belső hozzáféréssel való visszaélés.
Közölt lánc (előzetes): DevOps-mérnök laptopja → belső szolgáltatáskonténer → jogosulatlan kifizetési tranzakciók. A Binance szerint privát kulcs nem szivárgott, több tényező játszott közre; a kifizetési szolgáltatást és a kapcsolódó címeket átalakítja.
Hozzárendelés: TRM Labs: TraderTraitor (Jade Sleet, UNC4899, Slow Pisces), „nagy bizonyossággal”; Blockaid és ZachXBT: Észak-Korea. Nyilvános bizonyíték és hatósági megerősítés 2026. október 30-ig nincs.
Előzmények: DMM Bitcoin (2024, 308 millió dollár): hamis toborzó, kódolási teszt, ellopott munkamenet-sütik, manipulált tranzakciós kérés (FBI). Bybit (2025. február, kb. 1,5 milliárd dollár): a Safe{Wallet} egyik fejlesztőjének gépén keresztül a webes felületbe juttatott kód.
MITRE ATT&CK (szerkesztői leképezés, feltételezés): T1566 / T1204 (a csoport ismert csalija, itt nem igazolt), T1539 és T1550 (a DMM-esetben igazolt), T1078, T1021 / T1610 jellegű mozgás a konténerkörnyezet felé, T1657.
Észlelési ötletek: kifizetési kérés nem megszokott belső forrásból vagy ütemezésből; összeg- és darabszám-anomália rövid időablakban; adminisztrátori végponton új, ismeretlen kódtár vagy szokatlan böngészőbővítmény; ugyanaz a munkamenet szokatlan helyről vagy eszközről; konténerkörnyezetbe belépés fejlesztői gépről munkaidőn kívül vagy változtatási jegy nélkül.
Indikátorok: hivatalos, összesített IOC-lista nincs; a támadói címeket a blokklánc-elemzők (Arkham, Chainalysis, TRM Labs) követik. Háttér: a SEAL 2025. februári DPRK-figyelmeztetése, az FBI IC3 figyelmeztetése a pénzvisszaszerző csalásokról.

Péter // a főnök megjegyzése

Ma már a pénztárakat nem a bankfiókokban vagy a széfekben kell keresni. Ez a mondat számomra a Binance-eset legfontosabb tanulsága, és nem csak a kriptóról szól.

A klasszikus értelemben vett pénztárolás ma már csak elenyésző mennyiségű értéket tárol ahhoz képest, ami digitális walletekben vagy más elektronikus módon van nyilvántartva. A számok ezt jól mutatják. A Binance-ről egyetlen nap alatt kb. 6 milliárd dollár tűnt el, és ez a tőzsde teljes, mintegy 144 milliárd dolláros eszközállományának is csak nagyjából 4 százaléka. Ekkora értéket ma nem egy páncélterem őriz, hanem kulcsok, programok, és az a néhány ember, akinek a gépe hozzáfér ezekhez.

Itt már egy fegyveres biztonsági őr nem segít, ha baj van. A támadók nem a bejáraton jöttek, és nem is a kulcsot lopták el: a Binance szerint a privát kulcsok a helyükön maradtak. Egy mérnök laptopján át egy belső szolgáltatásig jutottak, amely a rendszer szemében jogosan indított kifizetést. Az őr ebből semmit nem látott volna, mert nem volt mit látnia.

Ezért gondolom, hogy a pénztár őrzését is újra kell értelmeznünk. Az új „pénztárajtó” a kulcsembereink gépe, és az a folyamat, amely a kulcsot használja. Ha ott túl sok a bizalom, a széf vastagsága mellékes.

A kérdés, amivel zárnék: tudod, hol van ma a ti pénztáratok, és ki őrzi valójában?

Háttéranyag szakmabelieknek

A teljes kutatás egy PDF-ben

Idővonal, szereplők, hogyan működik a támadás, teendők célcsoportonként, szakmai részletek és forrásértékelés. Egy helyen, nyomtatható formában, továbbküldhetően.

PDF · 8 oldal · 234 KB · kutatási változat v1

PDF megnyitása (magyar) English version (PDF)

Mi történt

Miért számít neked

A teljes kutatás egy PDF-ben

Források