ב־29 באוקטובר 2026 יצאו מארנקי ביננס נכסי קריפטו בשווי מוערך של 6.3–6.4 מיליארד דולר, על פני כמה רשתות בלוקצ׳יין. רוב ההעברות התרחשו בתוך כ־20 דקות. ה־FBI ייחס את הגניבה לקבוצת TraderTraitor מצפון קוריאה, בעוד חוקרי בלוקצ׳יין עקבו אחר מעבר הנכסים בין רשתות. בינתיים, השבתה זמנית של שירותי ההחלפה ב־THORChain עצרה חלק מהפעילות.
1
12
58
המספרים אינם מתבססים על חשבון אחד מוסכם: גופי מחקר שונים ניתחו את התנועות בדרכים שונות. חשוב גם להפריד בין כסף שהועבר, נכסים שהוקפאו ונכסים שביננס אומרת שתכסה עבור לקוחותיה.
מה קרה, ומי הואשם?
לפי TRM Labs, כ־6.36 מיליארד דולר יצאו מארנקי ביננס בעשר רשתות בלוקצ׳יין, ורובם הועברו בתוך כ־20 דקות החל מ־20:05 UTC. גופים אחרים הגיעו להערכות מעט שונות: Elliptic העריכה את השווי ב־6.43 מיליארד דולר על פני 11 רשתות, ואילו Bitquery עקבה אחר כ־6.3 מיליארד דולר בתשע רשתות. אלה תוצאות של ניתוחים נפרדים, ולא סכום מוסכם אחד.
12
58
19
ה־FBI הודיע כי צפון קוריאה אחראית לגניבה וכינה את הפעילות TraderTraitor. לפי הבולשת, היא ראתה את המעורבים ממירים את הנכסים שנגנבו בעיקר לאתריום (ETH).
1 צפון קוריאה דחתה את ההאשמה: לפי CoinDesk, קים יו־ג׳ונג כינתה אותה פרובוקציה פוליטית, ולפי Reuters, פיונגיאנג תיארה אותה כ״רטוריקה אבסורדית״.
56
48
דיווחים קשרו את האירוע למערכות שנפגעו סביב תהליך החתימה על העברות בארנקי ביננס. עם זאת, החומר הזמין כאן אינו מספק תמונה פורנזית מלאה של הדרך שבה התוקפים השיגו גישה.
5
16
מה קרה ל־SOL שנגנבו?
נכון ל־4 בנובמבר, דיווחים שהתבססו על מעקב בלוקצ׳יין העריכו שכ־81% מתוך 970,522 מטבעות SOL שיוחסו לגניבה כבר יצאו מארנקים המקושרים לתוקפים. בארנקים ש־Arkham עקבה אחריהם נותרו, לפי הדיווחים, 182,443 SOL — בשווי של כ־16.9 מיליון דולר באותה עת.
22
29
לפי הדיווחים, המטבעות פוצלו בין ארנקים ועברו המרות והחלפות בין רשתות, לרבות דרך THORChain. חלק מהתיאורים הצביעו על מסלול שכלל USDC ואתריום, ובהמשך מעבר לביטקוין. אלה ממצאי מעקב ודיווחים על מסלולי העברה — לא הוכחה לכך שכל הנכסים עברו באותו נתיב, או שכל המטבעות שהועברו נמכרו או הומרו למזומן.
23
29
ההבחנה הזו חשובה גם כשבוחנים את השפעת הגניבה על השוק. דיווח אחד ציין ירידה קצרה במחיר SOL בתקופת הפריצה, אבל המקורות הזמינים כאן אינם קובעים עד כמה האירוע השפיע על תנועות המחיר הרחבות יותר. הם גם אינם מאמתים את הטענות הנרחבות על ביצועי המטבע באוקטובר, פוזיציות שורט, תנועות כספים בקרנות סל או הפקדות לבורסות. הפקדת מטבעות בבורסה, כשלעצמה, אינה מוכיחה שהם נמכרו.
28
למה THORChain עצרה החלפות — ומה חזר לפעול?
ב־31 באוקטובר, שינוי בסדר הבלוקים ברשת את׳ריום השפיע על הפקדה של 10 ETH ב־THORChain. לפי הדיווחים, הפרוטוקול החזיר את הכסף פעמיים בעקבות התקלה, ולאחר מכן עצר החלפות כאמצעי חירום. Chainalysis אמרה שהעצירה עיכבה שלא במתכוון את הלבנת הכספים שנגנבו מביננס, מכיוון שמשתמשים — ובהם החשודים במעורבות — לא יכלו לבצע החלפות דרך רבות מהגשרים של THORChain בזמן ההשבתה.
38
46
לאחר עדכון v3.21.1 חזרו לפעול החלפות של ביטקוין, אתריום ותשעה נכסים נוספים שצוינו בדיווח על חידוש הפעילות. לפי אותו דיווח, החלפות ברשתות Solana, BNB Smart Chain ו־Cosmos Hub נותרו מושבתות.
41
דיווח נפרד, שיוחס ל־Grey Ledger, מסר כי 41 החלפות הקשורות לכתובות שאחריהן עקב חוקר זה הושלמו בתוך 25 דקות מחידוש הפעילות, ובמסגרתן שולמו 368.12 ETH. מדובר בתוצאת מעקב מדווחת — לא בחשבון מלא של הכספים שנגנבו, ולא בהוכחה שכל כתובות היעד נשלטו בידי אותם גורמים.
42
ה־FBI ביקש משירותי קריפטו, ובהם מפעילי צמתים של THORChain, להגביל עסקאות הקשורות לגניבה. ברשימה שפרסם הופיעו 608 כתובות את׳ריום, 19 כתובות ביטקוין וכתובת Solana אחת. המבנה המבוזר של הצמתים ב־THORChain מקשה לתאר בפשטות כיצד בקשה כזו מתורגמת לפעולה בכל רחבי הפרוטוקול.
34
40
60
כספים שהוקפאו, יתרות שנותרו והכיסוי ללקוחות
Elliptic דיווחה כי מנפיקות המטבעות היציבים Tether ו־Circle הקפיאו כ־2.8 מיליארד דולר במטבעות הקשורים לגניבה. הערכות אחרות הצביעו גם הן על נכסים מוקפאים או שנעצרו בהיקף של מיליארדי דולרים, אך הסכומים משתנים לפי המקור ומועד הדיווח.
52
60
הערכות נפרדות הציבו כ־3.21–3.25 מיליארד דולר בכתובות המקושרות לגניבה, בעיקר בביטקוין ובאת׳ריום. אלה אומדנים המתייחסים לנקודת זמן מסוימת: נכס שנותר בארנק מקושר אינו בהכרח נכס שהושב לבעליו, ויתרה שהוקפאה אינה זהה ליתרה שנותרה בידי התוקפים.
53
60
ביננס הודיעה שתכסה את הפסדי הלקוחות. בדיווח שפורסם ב־4 בנובמבר נאמר שהבורסה השלימה את החזרת הכיסוי לכ־98% מהסכום שנפגע. כיסוי ללקוחות אינו זהה להשבת המטבעות הגנובים מידי מי שלקחו אותם.
27
50
מה הראיות מראות — ומה לא
התמונה הנתמכת ביותר היא של גניבה מהירה בהיקף חריג; ייחוס של ה־FBI לקבוצת TraderTraitor מצפון קוריאה, לצד הכחשתה של צפון קוריאה; תנועה נרחבת של SOL שנגנבו; ועצירה זמנית ב־THORChain ששיבשה החלפות בין רשתות.
1
12
22
38
56
המקורות הזמינים אינם מצדיקים להתייחס לכל מסלול עסקה שדווח כאל עובדה מאומתת, להשוות בין תנועת נכסים לבין פדיון מוצלח, או לקבוע שלפריצה היה תפקיד מוכח בכיוון הרחב של מחיר Solana. יש לקרוא בנפרד את ההערכות על כספים שהוקפאו, נכסים שנותרו בכתובות המקושרות לגניבה והסכום שביננס כיסתה ללקוחות — אלה מדדים שונים.