המסר של Coinbase ב־4 בנובמבר נועד להרגיע, אך אינו ערובה: החברה אמרה שלא נפגעה מפרצת האבטחה ב־Binance ב־29 באוקטובר, וכי מערכותיה וכספי לקוחותיה נותרו בטוחים. Coinbase הוסיפה כי יותר מ־99% מנכסי הלקוחות מוחזקים באחסון קר — כלומר, בארנקים שאינם מחוברים לאינטרנט. חשוב להדגיש: זהו נתון שהחברה מסרה; הדיווחים שסופקו אינם מאמתים אותו באופן עצמאי ואינם בודקים את יעילות אמצעי האבטחה שמאחוריו.
18
19
20
מה Coinbase אומרת על אבטחת נכסי לקוחות
Coinbase תיארה מערך שמורכב מכמה שכבות. לפי החברה, רוב הנכסים נשמרים במצב לא מקוון, ורק חלק קטן מוחזק בארנקים חמים — ארנקים המחוברים לאינטרנט ונדרשים לפעילות שוטפת של לקוחות. בדיווחים תוארו גם מפתחות פרטיים מבוזרים, הגבלות על משיכות ומעקב אחר פעילות חריגה; Coinbase אמרה שבמקרה חירום היא יכולה לעצור חתימה על העברות.
20
22
24
החברה מסרה גם שנכסי הלקוחות מגובים ביחס של 1:1, נשארים בבעלות הלקוחות ואינם ניתנים להלוואה או לשימוש בלי הרשאתם. אלה הצהרות הנוגעות לשמירה על הנכסים ולבעלות עליהם, אך הן אינן מוכיחות כשלעצמן שכל שלב בתהליך אישור ההעברות מאובטח.
26
32
האמצעים האלה רלוונטיים, אבל המידע הזמין כאן מבוסס בעיקר על הצהרות החברה ועל דיווחים המתארים אותן. הוא אינו מוכיח באופן עצמאי שהבקרות ימנעו כל מתקפה דומה.
מה קרה ב־Binance
בעדכון מ־3 בנובמבר העריכה Binance שכ־6.34 מיליארד דולר בנכסים הושפעו מהאירוע, וכ־2.85 מיליארד דולר הוקפאו או יורטו. החברה ציינה שהסכומים עשויים להשתנות בעקבות התאמות ותנודות בשוק.
50 ב־4 בנובמבר דיווחו כלי תקשורת כי Binance השלימה את החידוש של כ־98% מהנכסים שנפגעו. החלפת נכסים אינה זהה להשבתם מידי התוקפים.
20
בדיווחים על המתקפה תואר רצף שכלל ראיונות עבודה מזויפים, נוזקה, מחשב נייד של עובד שנפרץ וכלי AI פנימי. בהמשך דווח גם על ניצול לרעה של מנגנוני אישור העברות.
7
47 בעדכון הראשוני שלה מסרה Binance שלא מצאה ראיות לכך שמפתחות פרטיים של ארנקים דלפו.
40 ה־FBI ייחס את גניבת הנכסים לקבוצת TraderTraitor מצפון קוריאה.
1
ההבחנה חשובה: גם אם מפתחות פרטיים נשארים מוגנים, תוקף עלול עדיין לסכן מערכת או תהליך שמאשרים העברות. לפי הדיווחים, הפריצה ב־Binance פגעה בנכסים תאגידיים ולא בחשבונות האישיים של לקוחות. ובכל זאת, אחרי שהבורסה חידשה את הפעילות, לקוחות משכו ממנה נכסים בשווי 3.6 מיליארד דולר, לפי ה־BBC.
12
2
למה אחסון קר לבדו אינו מספיק
אחסון קר מצמצם את כמות המטבעות הדיגיטליים שניתן להגיע אליהם ישירות דרך מערכות המחוברות לאינטרנט. אבל שיעור גבוה של נכסים שמוחזקים במצב לא מקוון הוא רק שכבה אחת בהגנה. בורסות צריכות לאבטח גם את שירותי החתימה על העברות, את הגישה למערכות הפנימיות ואת כללי האישור שמכתיבים כיצד נכסים יכולים לזוז. אירוע Binance — שבו בתחילה דווח שלא נמצאו ראיות לדליפת מפתחות, ובהמשך תואר ניצול של מנגנוני אישור העברות — מדגים את ההבדל.
40
47
לכן המסקנה אינה ש־Coinbase חסינה. החברה אמרה שלא נפגעה ותיארה אמצעים לשמירה על נכסים ולבקרת משיכות. הנתון של יותר מ־99% באחסון קר מסביר כיצד היא אומרת שהיא מחזיקה את רוב הנכסים, אך אינו הוכחה עצמאית שכל שרשרת אישור ההעברות חסינה.
19
20
24