צוות המחקר של קספרסקי, GReAT (יחידת מודיעין הסייבר של חברת האבטחה), הגיע למסקנה ששתי מתקפות הקריפטו הגדולות של סוף אוקטובר יצאו מנקודות תורפה הפוכות: רכיב אינטרנט חיצוני שהושתל על פלטפורמה אחת, ומחשב נייד של עובד בתוך הארגון השני. הפריצה לפולימרקט, פלטפורמת שווקי התחזיות מבוססת הקריפטו, ב-29 באוקטובר 2026 עברה דרך סקריפט ניטור חיצוני שנחטף, בעוד שהבורסה Binance איבדה כ-6.3 מיליארד דולר, הגניבה הגדולה ביותר בתולדות הקריפטו, לאחר שתוקפים הגיעו לקונטיינר שירות פנימי דרך מחשב של מהנדס שנפרץ.
עבור הסוחרים בשווקי התחזיות, המקרה של פולימרקט הוא האזהרה החדה יותר, גם אם המספר הגדול שייך ל-Binance. פולימרקט התחייבה להחזר של כ-3.9 מיליון דולר אחרי שתוקפים השתמשו בקוד מהימן שהחברה עצמה לא כתבה כדי למכור את הפוזיציות הפתוחות של המשתמשים ולהעביר את הכסף החוצה. גיאורגי קוצ'רין, חוקר בכיר בצוות GReAT, אומר ששני האירועים הם דוגמאות קלאסיות לשתי הדרכים שבהן נגנב כסף קריפטו, ושאף אחת מהן עדיין לא יוחסה לקבוצה מסוימת.
איך בדיוק עבדה הפריצה לפולימרקט
המתקפה לא פיצחה את המערכות של פולימרקט עצמה. היא נכנסה דרך DebugBear, ספק חיצוני לניטור ביצועי אתרים, שהסקריפט שלו לניטור חוויית המשתמש בפועל (קטע קוד קטן שמוטמע באתר כדי למדוד איך הדפים נטענים אצל גולשים אמיתיים) רץ בחזית האתר של פולימרקט. ברגע שהסקריפט נחטף, הוא ניצל את הסשנים הפעילים בדפדפן של הסוחרים כדי למכור את הפוזיציות הפתוחות שלהם ולהוציא את הכספים, תוך שהוא פועל בהרשאות שהמשתמש המחובר כבר נתן לדף.
ב-DebugBear מייחסים את הפריצה לרשם הדומיינים שלהם עצמם: רשומות ה-DNS של החברה (ההגדרות שמפנות כתובת אינטרנט לשרתים הנכונים) נחטפו, מה שאיפשר לתוקפים להגיש גרסה זדונית של הסקריפט ללקוח ממוקד אחד. כ-2.7 מיליון דולר נגנבו ישירות מ-726 ארנקים.
מה פולימרקט מחזירה
ההתחייבות של פולימרקט לכ-3.9 מיליון דולר מתחלקת לשני חלקים:
- 2.7 מיליון דולר לכיסוי הכספים שנגנבו ישירות מ-726 הארנקים שרוקנו.
- 1.19 מיליון דולר לפיצוי כ-5,500 ארנקים על הפסדים שנקשרו לעצירת המסחר ולמכירות הכפויות שבאו בעקבותיה.
עד 30 באוקטובר 2026 הושבו הכספים ל-689 מתוך 726 הארנקים שרוקנו ישירות, ו-37 עדיין ממתינים. לפי הדיווחים זו הפעם השנייה בתוך כארבעה חודשים שסקריפט של צד שלישי הוא דרך הכניסה, אחרי פריצה קודמת שצפה ביוני 2026.
הצד של Binance, והמספר הגדול
הבורסה Binance, הגדולה בעולם, חשפה את הפריצה שלה ב-30 באוקטובר 2026, יום אחרי המתקפה על פולימרקט. החקירה הראשונית שלה הצביעה על מחשב נייד של מהנדס DevOps שנפרץ ופתח גישה לקונטיינר שירות (סביבת תוכנה מבודדת שבה רצים תהליכים פנימיים), שממנו הגישו התוקפים משיכות לא מורשות. הבורסה העריכה את ההפסד בכ-6.3 מיליארד דולר, הקפיאה הפקדות ומשיכות, מסרה שלא מצאה ראיות לדליפת מפתח פרטי של ארנק כלשהו, והתחייבה לכסות את הפסדי המשתמשים. כ-3 מיליארד דולר הוקפאו על הבלוקצ'יין, והמשיכות חודשו סביב 1 בנובמבר 2026.
התמונה עדיין משתנה. המנכ"ל המשותף של Binance, ריצ'רד טנג, אמר מאוחר יותר שהמתקפה הייתה מורכבת יותר מניצול ההרשאות של מהנדס יחיד, והחוקרים מצאו נקודות חדירה נוספות.
הקריאה של קספרסקי: שני פנים לאותו סיכון
"שני המקרים האלה מדגימים שיטות חדירה שונות לחלוטין: באחד נקודת הכניסה הייתה מכשיר העבודה של עובד, ובשני רכיב אינטרנט של צד שלישי", אמר קוצ'רין. הנקודה הרחבה שלו נוגעת לאנשים ולא לקוד: "עובדי בורסות הקריפטו, ובמיוחד אנשי המקצוע הטכניים, נותרים אחת החוליות החלשות במתקפות שמכוונות לגניבת מטבעות קריפטו". קספרסקי מפנה למקרה שטיפלה בו, שבו מפתח בתחום הקריפטו התקין תוסף זדוני לכלי פיתוח וכ-500 אלף דולר נגנבו מהארנקים שלו.
החוט שמחבר בין שוק תחזיות לבין הבורסה הגדולה בעולם, בניסוח של קספרסקי, הוא תלות. שניהם ניתנים לפריצה דרך דברים שאינם בשליטתם הישירה, בין אם מדובר בסקריפט של ספק ובין אם במחשב נייד שיוצא מהמשרד.
שאלת הייחוס שאיש לא סגר
דיווחים ראשוניים על הגניבה מ-Binance נקבו בשם קבוצת Lazarus, ארגון ההאקרים המזוהה עם צפון קוריאה, ואנליסטים חיצוניים ובהם TRM Labs ו-Chainalysis קשרו את הניצול ל-TraderTraitor, אשכול המזוהה עם אותה תוכנית מדינתית. קספרסקי זהירה יותר: היא אומרת שמעורבות Lazarus בשני המקרים, גם ב-Binance וגם בפולימרקט, אינה מאוששת כל עוד החקירות נמשכות. לשם קנה מידה, היא העמידה את האירועים לצד הניסיון מ-2016 לפרוץ לבנק המרכזי של בנגלדש, שבו ניסו התוקפים לגנוב מיליארד דולר, ולצד הפריצה ל-Bybit ב-2025 בהיקף של כ-1.5 מיליארד דולר.
הקשר לצפון קוריאה נותר השערת עבודה, לא ממצא. לקוראים שעוקבים אחרי המשטר עצמו ולא אחרי הפורנזיקה, המחיר בשוק מגלם שאלות ארוכות-טווח לגבי פיונגיאנג:
מה משתנה עבור סוחר בפולימרקט
הלקח הלא נוח הוא שכסף שיושב בארנק שבשליטתכם היה עדיין בהישג ידם של התוקפים, לא משום שהחוזים של השוק כשלו אלא משום שסקריפט שנטען בדפדפן יכול היה לפעול בהרשאות של הסשן המחובר. ההחזרים סוגרים את החור המיידי. את החשיפה הם לא סוגרים, משום שחזית האתר של שוק תחזיות בנויה מערימת קוד של צדדים שלישיים, שכל רכיב ממנה עלול להיות מופנה נגד המשתמש אם הספק שמאחוריו נפרץ.
האבחנה הכפולה של קספרסקי מותירה את פולימרקט עם בעיה שהמספרים הדולריים ממעיטים בה: הפריצה נכנסה דרך DebugBear, ספק שלאיש בחברה לא הייתה סיבה לחשוד בו, כלומר הפלטפורמה בטוחה בדיוק כמו הרשימה הקצרה ביותר של סקריפטים חיצוניים שהיא מוכנה לטעון. זו כבר הפעם השנייה בכארבעה חודשים שסקריפט של צד שלישי הוא דרך הכניסה, ו-3.9 מיליון הדולר בהחזרים סוגרים את החור שנפער ב-726 הארנקים אבל לא את הרשימה עצמה. כל עוד היא לא מתקצרת, המתקפה הבאה לא תצטרך לנצח את הקוד של פולימרקט. יהיה לה די בעוד סקריפט מהימן אחד, כמו זה של DebugBear, לרכוב עליו פנימה.
