ביום חמישי, 29 באוקטובר, יצאו מארנקיה של בינאנס, בורסת הקריפטו הגדולה בעולם, נכסים בשווי מוערך של כ־6.3 מיליארד דולר. לפי חברת חקירות הבלוקצ'יין TRM, מרבית הסכום הועבר תוך כעשרים דקות. הכסף, למען הסר ספק, לא עבר לבעלים שלו, אלא לאנשים שונים לגמרי שככל הנראה לעולם לא יתפסו. מדובר בשוד ענק לפי כל קנה מידה. לשם השוואה, בשוד בורסת Bybit בפברואר אשתקד נגנבו כ־1.5 מיליארד דולר. השוד הנוכחי גדול ממנו יותר מפי ארבעה. בעולם שבו מדברים הרבה על מהירות העברת הכסף, גם הגנבים מצליחים לשפר ביצועים.
מה בעצם עושה בינאנס, ומדוע להפקיד אצלה כסף? היא מפגישה קונים ומוכרים, מאפשרת להמיר כסף רגיל למטבעות דיגיטליים ולסחור בין מטבעות שונים. ריבוי המשתתפים מאפשר למצוא צד לעסקה במהירות ובמחיר תחרותי. במקום לחפש בעצמכם מישהו שמוכן למכור לכם ביטקוין, להסכים על מחיר ולארגן את התשלום, אפשר לעשות זאת דרך חשבון אחד וממשק נוח. זהו שירות שיש סיבה טובה לשלם עליו.
אחרי הקנייה אפשר למשוך את המטבעות לארנק שבשליטת הקונה. אבל מי שסוחר לעיתים קרובות עשוי להעדיף להשאיר אותם בבורסה, זמינים לעסקה הבאה. אחרים מעדיפים שהיא תטפל גם בשמירתם. כאן נכנס הסיכון: כל עוד המטבעות מופקדים בבורסה, השליטה בהעברתם נמצאת בידיה. המשתמש חוסך מעצמו את ניהול המפתחות הדיגיטליים, אבל נעשה תלוי במערכות ההגנה של החברה, שריכוז הנכסים בידיה הופך אותה למטרה אטרקטיבית במיוחד לתוקפים. כדי לאפשר משיכות מהירות, הבורסה מחזיקה חלק מהנכסים בארנקים "חמים", שמערכות החתימה שלהם מחוברות לרשת. הנגישות הזאת מגדילה גם את החשיפה לגניבה.
על פי הניתוח של TRM, התוקפים – קבוצת האקרים צפון קוריאנית הקשורה למשטר, לפי ה־FBI – השיגו כנראה גישה לתשתית של בינאנס שחותמת על הוראות העברה. כך הצליחו להעביר הוראות זדוניות שנשאו חתימות תקינות לחלוטין. עדיין לא ברור כיצד הושגה הגישה. בינאנס מסרה שלא מצאה עדות לדליפת המפתחות הפרטיים, אך כדי לייצר חתימות תקינות לא חייבים להעתיק את המפתח הסודי: אפשר לחדור למערכת שמחזיקה בו ולגרום לה לחתום על הוראות לטובת התוקף. זה דומה להשתלטות על מכונת חתימה בלי להוציא ממנה את החותמת. התחקיר המלא עוד צריך להסביר כיצד התאפשר הדבר ומדוע הבקרות של בינאנס לא עצרו אותו.
אולי יעניין אתכם
עוד מאת דוד טל
זו לא רק השרלטנות של פרופ' אריאלי, זה החלום הוורוד שמוכרות לכם קרנות ההשקעה
עוד מאת דוד טל
מחירי הדירות ירדו, אבל עדיין יקר מאוד לגור כאן
עוד באקטואליה
בניגוד לחוו"ד המשטרתית: בית המשפט שחרר את מפעילי מנהרת ההברחות
עוד באקטואליה
בעזרת גורמים עויינים: חשדות להונאת ענק מצד המפלגות הערביות בבחירות
עוד בכלכלה
הבורסה שמאחורי הבורסה: חברה בצמיחה דינמית
עוד בכלכלה
החופש היקר במערב: 2.6 מיליארד שקלים על יום שמישהו אחר משלם עליו
מרגע שהכסף יצא החל מרוץ לעצור אותו. חלק מהנכסים שנגנבו היו מטבעות יציבים, כגון USDT ו־USDC. אלה מטבעות שמנפיקות חברות מסחריות, וערכם נועד להיצמד לדולר. הם יכולים לאפשר העברות כספים מהירות וזולות, בלי שהמשתמש יצטרך לנהל חשבון בנק דולרי. למנפיקים יש סמכות לחסום העברות של המטבעות מכתובות מסוימות. נראה שהתוקפים ניסו להקדים את ההקפאות באמצעות המרת מטבעות שניתנים לחסימה לנכסים שאינם נתונים לסמכותו של מנפיק. ה־FBI דיווח שזיהה המרות בעיקר לאת'ר, המטבע של רשת את'ריום.
טת'ר וסירקל, שתיים מהמנפיקות הגדולות של מטבעות יציבים, הפעילו את סמכות החסימה. תוך 24 שעות דיווחה בינאנס שכשלושה מיליארד דולר מתוך הנכסים שנגנבו הוקפאו בסיוע שותפיה. ההקפאה מגבילה את יכולתם של הגנבים להשתמש בכסף, אך מכאן ועד השבת הנכסים לבעליהם הדרך עוד ארוכה.
ראשית צריך לתעד בדיוק מה נגנב ולמי הוא שייך. אם כספים של אחרים התערבבו בדרך, צריך לברר גם את זכויותיהם. בהמשך נדרש בסיס משפטי לתפיסת הנכסים ולהשבתם, ולעיתים גם הליך חילוט בידי הרשויות. מכיוון שחילוט רכוש פרטי אינו עניין של מה בכך, זהו הליך קפדני שעלול להתארך גם כאשר נראה ברור שהנכסים נגנבו. בתיק בינלאומי כזה מתעוררת גם שאלת סמכות השיפוט: היכן רשומות הבורסה והחברות המנפיקות, היכן מוחזקות הרזרבות, ואילו רשויות מוסמכות להורות על תפיסתן? עצם ההצמדה לדולר אינה מכריעה את השאלה, ולעיתים מעורבות בה כמה מדינות.
גם לאחר שהושגו האישורים הדרושים, התהליך אינו מסתיים. מנגנון ההשבה משתנה ממטבע למטבע: בחלק מהמקרים ניתן לבטל את המטבעות המוקפאים ולהנפיק במקומם מטבעות חדשים לארנק שבשליטת הרשויות; במקרים אחרים מועברים לרשויות הדולרים שמגבים אותם. לאחר מכן צריך להעביר את הנכסים למי שזכאי לקבלם. הנפגעים אינם חייבים להיות אזרחי המדינה שבה מתנהל ההליך – לבינאנס יש לקוחות בכל העולם – ולכן העברת הנכס לבעליו החדש-ישן עשויה לדרוש גם תיאום בין מדינתי. איחלנו לחייל בהצלחה.
בינתיים, אם ברצונה לשמור על מעמדה בשוק, בינאנס צריכה לאפשר ללקוחות לקבל את נכסיהם גם בלי להמתין להשבת המטבעות המוקפאים, שלא לדבר על תפיסת הגנבים. לפי דיווח באתר הביטוח המקצועי The Insurer, לבינאנס אין ביטוח סייבר חיצוני, והיא נאלצת לספוג את ההפסד בעצמה. ביום ראשון הודיעה שרכשה נכסים חלופיים לכיסוי כ־95% מהחסר ופועלת להשלים את החסר בהקדם, וכי לקוחות המעוניינים בכך יוכלו להתחיל למשוך כספים מחשבונותיהם. משיכות חלקיות, בינתיים. מדובר, כאמור, במעל ל-6 מיליארד דולר שיוצאים היום מקרנות החירום של החברה שמתוכן יותר מ-3 מיליארד ככל הנראה לעולם לא יחזרו.
וכאן מתחילות השאלות על עתידה של בינאנס ושל בורסות הקריפטו כולן. לקוחות עשויים להעדיף לשמור בעצמם את המטבעות, על כל הטרחה והאחריות הכרוכות בכך, בתקווה לישון מעט טוב יותר בלילה. בינתיים אין תמונה חד־משמעית של תגובת השוק כולו, אך אתר חדשות הקריפטו CoinDesk דיווח על משקיעים מוסדיים שהחלו להוציא נכסים מבורסות שונות בעקבות השוד. הדיווח לא נקב בהיקף המשיכות. בינאנס עצמה מסרה כי בתשע השעות וחצי הראשונות לאחר חידוש המשיכות יצאו ממנה כ־4.65 מיליארד דולר, לעומת הפקדות של כ־1.01 מיליארד דולר בלבד.
מי שימשיכו להחזיק מטבעות בבורסה יצטרכו לשאול גם מה יקרה ביום שבו היא תיפרץ. יכולת לספוג הפסד עשויה להעניק יתרון לחברות גדולות, אבל השוד בבינאנס עצמה מבהיר שגודל אינו מבטיח חסינות. כדי להעריך את יכולת הפיצוי, לא מספיק להתרשם מהיקף הנכסים שהבורסה מחזיקה עבור לקוחותיה. צריך לבחון גם את ההון והעתודות העומדים לרשות החברה עצמה לכיסוי הפסדים.
