Milliárdos veszteségek, megtévesztett fejlesztők és olyan támadások, amelyek a legszigorúbbnak hitt védelmi rendszereket is próbára teszik: a TraderTraitor neve a kriptopiac legsúlyosabb biztonsági incidenseivel kapcsolódott össze. Az észak-koreai kötődésű támadói tevékenység jelentőségét a Bybit 2025-ös kifosztása is megmutatta. A Binance ellen elkövetett, állítólag 6,3 milliárd dolláros újabb támadásról szóló értesülést azonban különös óvatossággal kell kezelni: annak részleteit és hitelességét jelenleg nem sikerült függetlenül ellenőrizni.
Binance-támadás: mi tekinthető bizonyítottnak?
A Binance működésének felfüggesztéséről és 6,3 milliárd dollár eltulajdonításáról szóló állítás rendkívüli horderejű. Egy ekkora veszteség az érintett szolgáltató mellett az egész kriptopiac bizalmát, likviditását és kockázatvállalását is befolyásolhatná. A konkrét összeget, az üzemszünetet, a támadók személyét és a Binance-nek tulajdonított megnyugtató nyilatkozatokat ugyanakkor nem lehet ebben a cikkben megerősített tényként közölni.
Egy kriptotőzsdei incidensnél több különböző eseményt kell megkülönböztetni. A kiutalások ideiglenes leállítása lehet elővigyázatossági intézkedés, de önmagában nem bizonyít lopást. Egy nagy összegű blokklánctranzakció pedig lehet belső tárcaátrendezés is: a pénzmozgás megfigyelése és annak helyes értelmezése két külön feladat.
A megerősítéshez ezért több, egymástól független bizonyíték szükséges. Ilyen lehet a szolgáltató hivatalos incidensjelentése, az érintett tranzakciók azonosítása, a tárcák tulajdonosi kapcsolatának alátámasztása és a hatósági vagy biztonsági vizsgálat eredménye. A támadás utáni első órákban még a veszteség nagysága is változhat, mert egyes eszközök visszaszerezhetők, zárolhatók, vagy tévesen kerülhetnek a számításba.
A „történelem legnagyobb bankrablása” megfogalmazás külön magyarázatot igényel. A kriptotőzsde nem azonos a bankkal, az összehasonlítás pedig függ attól, milyen eseményeket és milyen értékelési módszerrel vetünk össze. Egy ilyen minősítést ellenőrzött háttér nélkül nem indokolt tényként használni.
TraderTraitor: mit takar az elnevezés?
A TraderTraitor az észak-koreai kötődésű, kriptovállalatokat célzó kiberműveletek egyik ismert megjelölése. Az amerikai kiberbiztonsági hatóság, a CISA 2022-es figyelmeztetése olyan kampányokat ismertetett, amelyekben a támadók munkalehetőségekkel és manipulált kriptós alkalmazásokkal próbáltak hozzáférést szerezni a kiszemelt szervezetekhez.
Az elnevezések között azonban könnyű elveszni. A Lazarus, az APT38, a TraderTraitor, a Jade Sleet vagy más, biztonsági vállalatok által használt nevek nem feltétlenül ugyanazt a pontosan körülhatárolható csoportot jelentik. Az egyes kutatók eltérően csoportosíthatják a megfigyelt támadókat, infrastruktúrákat és műveleteket.
Az átfedés nem jelent automatikusan teljes azonosságot. Két kampány használhat hasonló módszereket vagy közös technikai elemeket anélkül, hogy minden résztvevőjük és irányítójuk azonos lenne. Emiatt az olyan állítás, hogy valamennyi felsorolt név ugyanannak a szervezetnek az egyszerű álneve, túlzott leegyszerűsítés lehet.
A támadás elkövetőjének meghatározását szaknyelven attribúciónak nevezik. Ennek során a szakértők többek között a kártevők működését, a hálózati infrastruktúrát, a pénzmozgásokat és a korábbi műveletekkel mutatott egyezéseket vizsgálják. Egy blokklánccím önmagában általában nem bizonyítja, ki ül a támadás mögött.
Az észak-koreai kapcsolat azért különösen jelentős, mert a kriptolopásoknak állami finanszírozási és szankciómegkerülési vonatkozása is lehet. Egy adott támadás bevételének végső felhasználását azonban külön bizonyítani kell: a feltételezett állami kötődésből nem következik, hogy minden eltulajdonított dollár útja ismert.
Bybit és DMM: a korábbi támadások tanulságai
A TraderTraitorhoz kapcsolt legsúlyosabb ismert ügyek közé tartozik a Bybit 2025. februári kifosztása. Az FBI 2025. február 26-i közleménye Észak-Koreának tulajdonította a hozzávetőleg 1,5 milliárd dollár értékű virtuális eszköz eltulajdonítását, és a TraderTraitor megjelölést használta a kapcsolódó tevékenységre.
Ez történeti veszteségbecslés, amely az akkori eszközárakat tükrözi. Nem azt jelenti, hogy az eltulajdonított kriptovaluták mindenkori piaci értéke később is pontosan ugyanennyi. A különbség jelentős lehet, hiszen a kriptoeszközök árfolyama rövid idő alatt is nagyot változhat.
A DMM Bitcoin japán szolgáltatót 2024 májusában érte súlyos támadás. A veszteséget akkor hozzávetőleg 308 millió dollárra becsülték, és az ügyet később amerikai és japán hatóságok észak-koreai TraderTraitor-tevékenységhez kapcsolták. A májusi időpont lényeges: az eseményt nem helyes 2024 márciusára tenni.
A két eset közös tanulsága, hogy a kockázat nem korlátozódik a hagyományos értelemben vett „feltört jelszóra”. A támadók munkatársakat, beszállítókat, fejlesztési környezeteket és tranzakció-jóváhagyási folyamatokat is megcélozhatnak. Az intézmény biztonsága ezért a vele kapcsolatban álló szervezetek és az alkalmazottak munkafolyamataitól is függ.
A korábbi ügyek ugyanakkor nem bizonyítják automatikusan egy új támadás elkövetőjét. Még erős módszertani hasonlóság mellett is külön vizsgálat szükséges. A „korábban már megtették” érvelés háttér-információként hasznos, bizonyítékként azonban elégtelen.
Hamis állásajánlatból hozzáférés a kriptovagyonhoz
A támadások egyik legfontosabb eszköze a social engineering, vagyis az emberi döntések és a bizalom tudatos manipulálása. A támadó ilyenkor például fejvadásznak, üzleti partnernek vagy fejlesztőnek adja ki magát. A cél az, hogy az áldozat saját kezűleg tegyen meg egy veszélyes lépést.
Egy látszólag hiteles állásajánlatot videóinterjú, szakmai beszélgetés és programozási teszt követhet. A jelöltnek elküldenek egy projektet, amely első pillantásra rendes fejlesztői feladatnak tűnik, valójában azonban kártékony összetevőt tartalmazhat. A fertőzés akár egy függőség telepítésekor vagy a projekt elindításakor bekövetkezhet.
A módszer azért hatékony, mert szakmailag hihető környezetbe helyezi a kockázatos műveletet. Egy fejlesztő munkájának természetes része lehet kód letöltése, tesztelése és futtatása. A támadó ezt a megszokást használja ki, majd a megszerzett hozzáférést később a vállalati rendszerek elleni továbblépéshez alkalmazhatja.
Itt válik fontossá az ellátási lánc elleni támadás fogalma. Ebben az esetben a támadó nem feltétlenül a végső célpont legerősebben védett rendszerét támadja közvetlenül, hanem egy beszállítón, szoftverkomponensen vagy közreműködőn keresztül jut közelebb hozzá. A bizalom így egyik szervezettől a másikhoz továbbíthatja a veszélyt.
A mesterséges intelligencia felgyorsíthatja a megtévesztő levelek, profilok vagy szakmai beszélgetések előkészítését. Ettől még egy adott kampányban való alkalmazását bizonyítani kell. Konkrét, ellenőrzött jelentés nélkül nem állítható biztosan, hogy egy meghatározott támadást milyen AI-eszközök segítettek.
Miért nem elég önmagában a hidegtárca?
A hidegtárca olyan tárolási megoldás, amelynél a tranzakciók aláírásához szükséges privát kulcsokat elkülönítik az állandó internetkapcsolattal működő rendszerektől. A forrótárca ezzel szemben az online működéshez, például a napi kiutalások kiszolgálásához kapcsolódik. A hidegtárolás fontos védelem, de a tranzakciók előkészítését és jóváhagyását is biztonságossá kell tenni.
A privát kulcs lényegében az a titkos adat, amely lehetővé teszi egy blokkláncon tárolt eszköz mozgatásának engedélyezését. A támadó célja lehet a kulcs megszerzése, de az is, hogy a jogosult személyt egy káros tranzakció aláírására vegye rá. A két helyzet technikailag eltér, a végeredmény mégis ugyanaz lehet: az eszközök illetéktelen címre kerülnek.
A többaláírásos, úgynevezett multisig rendszer több jóváhagyást követel meg a pénzmozgatáshoz. Ez csökkentheti az egyetlen kompromittált kulcsból eredő veszélyt. Ha viszont valamennyi aláíró ugyanazt a manipulált felületet nézi, több ember is jóváhagyhat egy olyan műveletet, amelynek valódi hatását nem látja.
A jóváhagyók száma mellett az ellenőrzések függetlensége is döntő. A címek, összegek és jogosultságváltozások külön csatornán történő ellenőrzése, a tranzakciók várható hatásának vizsgálata és a korlátozott hozzáférések együtt adhatnak erősebb védelmet.
Egy tőzsdei tárca kifosztása emellett nem jelenti szükségszerűen a Bitcoin vagy az Ethereum alapul szolgáló hálózatának feltörését. A blokklánc szabályosan végrehajthat egy érvényesen aláírt, de megtévesztéssel előidézett tranzakciót. Ilyenkor a szolgáltatói folyamat sérül, miközben maga a hálózati konszenzus működőképes marad.
Hogyan mozgatják tovább az ellopott kriptót?
A lopás után a támadók gyakran több címre osztják szét az eszközöket, különböző kriptovalutákra váltanak, és eltérő blokkláncok között mozgatják a vagyont. A cél a pénz eredetének elfedése és a lefoglalás megnehezítése. A gyorsaság azért fontos számukra, mert a szolgáltatók és a hatóságok közben megpróbálhatják azonosítani a fogadó címeket.
A blokkláncok közötti átjárást biztosító hidak eszközök vagy az azokhoz kapcsolódó érték másik hálózatra juttatását teszik lehetővé. Egy decentralizált tőzsde pedig blokkláncon futó programokon keresztül segítheti a cserét. Ezeknek léteznek jogszerű felhasználási módjai; attól, hogy bűnelkövetők is alkalmazzák őket, nem válnak automatikusan bűnözői szolgáltatássá.
Az átváltás és a pénzmosás eredményessége ugyanakkor nem ugyanaz. Ha egy támadó étert bitcoinra cserél, attól még nem feltétlenül jut hagyományos pénzhez, és nem biztos, hogy sikeresen eltünteti a nyomokat. A nyilvános tranzakciós adatok később is segíthetik a követést.
Egyes, központi kibocsátóhoz kötődő stabilcoinoknál technikailag lehetséges bizonyos címek zárolása. Ennek lehetősége az adott token működésétől, a kibocsátó intézkedésétől és a jogi körülményektől függ. A stabilcoin dollárhoz igazodó árfolyamcélja tehát nem jelent sem feltörhetetlenséget, sem korlátlan visszaszerezhetőséget.
A „pénzt már átváltották, ezért végleg elveszett” következtetés túl kategorikus. A visszaszerzés esélyét a követhetőség, a szolgáltatói együttműködés, a hatósági fellépés és a támadók további hibái egyaránt befolyásolhatják.
Milyen következménye lehet egy milliárdos tőzsdei lopásnak?
Egy súlyos incidens első következménye rendszerint a bizonytalanság növekedése. Az ügyfelek hozzáférést szeretnének a vagyonukhoz, a szolgáltató pedig korlátozásokat vezethet be a további károk megelőzésére. A kiutalások megugrása akkor is működési nyomást okozhat, ha a vállalat hosszabb távon képes rendezni a veszteséget.
Itt különül el a likviditás és a fizetőképesség. A likviditás azt mutatja, hogy a szolgáltató időben rendelkezésre tudja-e bocsátani a szükséges eszközöket. A fizetőképesség tágabb kérdés: elegendő-e a vagyona a kötelezettségei teljesítéséhez. Egy rövid fennakadás önmagában nem bizonyít fizetésképtelenséget, de a megnyugtató kommunikáció sem helyettesíti a pénzügyi bizonyítékokat.
A tartalékigazolás, vagyis a proof of reserves bizonyos eszközállományok ellenőrzését segítheti. Önmagában azonban nem feltétlenül mutatja meg az összes kötelezettséget, a biztosítékokkal kapcsolatos terheket vagy a vállalat teljes pénzügyi állapotát. Emiatt nem kezelhető automatikusan egy teljes körű audit megfelelőjeként.
Egy megerősített nagy támadás piaci következményeire három feltételes forgatókönyv vázolható:
- Kedvezőbb kimenet: a veszteség körülhatárolható, a szolgáltató megfelelő fedezettel rendelkezik, az ügyfelek követelései teljesíthetők, és a működés rendeződik.
- Elhúzódó bizonytalanság: a vállalat folytatja működését, de a vizsgálat, a korlátozások és az ügyfelek átrendeződése tartós bizalomvesztést okoz.
- Súlyosabb kimenet: fedezethiány, tartós kiutalási akadályok vagy más szereplők kitettsége miatt a probléma szélesebb piaci nyomást vált ki.
Ezek nem konkrét árfolyam-előrejelzések. A tényleges hatás függ az eltulajdonított eszközöktől, az értékesítésük módjától és az általános piaci környezettől. A lopás dollárértékéből önmagában nem lehet megbízható árfolyamcélt számolni.
Mire figyelhetnek az ügyfelek és a vállalatok?
Egy nagy támadás híre másodlagos csalásokat is elindíthat. Megjelenhetnek hamis kártérítési oldalak, ügyfélszolgálatnak álcázott profilok és olyan üzenetek, amelyek sürgős tárcacsatlakoztatást kérnek. A csalók gyakran éppen a félelmet és az időnyomást használják ki.
A helyreállító szavakat, vagyis a seed phrase-t nem szabad ügyfélszolgálatnak, állítólagos nyomozónak vagy „vagyon-visszaszerzőnek” átadni. Ezek birtokában más is hozzáférhet a tárcához. Gyanús az előre kért visszaszerzési díj és a garantált kártalanítás ígérete is.
A szolgáltatói közleményeket célszerű önállóan megnyitott hivatalos felületen ellenőrizni. A közösségi médiában érkező link vagy a keresési hirdetés nem jelent hitelességi garanciát. Ismeretlen tranzakció vagy jogosultság aláírása pedig akkor is veszélyes lehet, ha a felület nem kér jelszót.
Az önálló tárcakezelés csökkentheti egy letétkezelő szolgáltatóval szembeni kitettséget, de új felelősségeket hoz: a kulcs elvesztése, a hibás címzés és a rosszindulatú aláírás is veszteséget okozhat. A biztonságot ezért nem egyetlen eszköz neve, hanem a teljes használati folyamat határozza meg.
A vállalatok számára a TraderTraitor-ügyek fő tanulsága az emberek, a beszállítók és a jóváhagyási rendszerek együttes védelme. A munkaköri jogosultságok korlátozása, az ismeretlen kód elkülönített tesztelése és a tranzakciók független ellenőrzése csökkentheti a támadási lehetőségeket. A piaci szereplők számára pedig az ellenőrzött információ különösen értékes: válsághelyzetben egy megalapozatlan hír is költséges döntéseket válthat ki.
Gyakori kérdések
Mi az a TraderTraitor?
Észak-koreai kötődésű, kriptovállalatokat célzó támadói tevékenység megjelölése. Az elnevezéshez megtévesztésre, kártékony szoftverekre és digitális eszközök eltulajdonítására épülő műveletek kapcsolódnak.
Bizonyított a Binance-től ellopott 6,3 milliárd dollár?
Az állítást a cikk elkészítésekor nem sikerült függetlenül ellenőrizni. A veszteség összege, az esetleges működési korlátozások és az elkövetők kiléte ezért itt nem szerepel megerősített tényként.
Mit állapított meg az FBI a Bybit ügyében?
Az FBI 2025. februári közleménye Észak-Koreának tulajdonította a hozzávetőleg 1,5 milliárd dollár értékű kriptoeszköz eltulajdonítását, és a TraderTraitor megjelölést használta.
A hidegtárca teljes biztonságot nyújt?
Nem. A kulcsok elkülönítése fontos védelmi elem, de a tranzakció előkészítése, megjelenítése és jóváhagyása során is történhet megtévesztés vagy rendszerkompromittálás.
Visszaszerezhető az ellopott kriptovaluta?
Bizonyos esetekben részben vagy egészben igen, de erre nincs garancia. A nyomon követés, a zárolási lehetőségek, a szolgáltatói együttműködés és a hatósági intézkedések egyaránt számítanak.
Egy tőzsdei hack a blokklánc feltörését jelenti?
Nem feltétlenül. A szolgáltató informatikai rendszere vagy aláírási folyamata úgy is sérülhet, hogy az érintett blokklánc szabályosan működik tovább.
Jogi nyilatkozat: A cikk kizárólag tájékoztató és ismeretterjesztő célokat szolgál, nem minősül befektetési vagy pénzügyi tanácsadásnak. A kriptovaluták magas kockázatú, jelentősen ingadozó értékű eszközök lehetnek.
