Gdzie zniknęło 6,3 mld dolarów z Binance: jak doszło do rekordowego włamania i czy pieniądze zostaną zwrócone

Giełda kryptowalut Binance poinformowała 30 października 2026 r. o zakrojonym na szeroką skalę cyberataku, w wyniku którego z jej portfeli wyprowadzono aktywa cyfrowe o wartości około 6,3 mld dolarów. Według wstępnej wersji wydarzeń przedstawionej przez firmę, cyberprzestępcy mogli uzyskać dostęp do wewnętrznej infrastruktury poprzez zainfekowany laptop inżyniera DevOps i wykorzystać systemy służbowe do przeprowadzenia nieautoryzowanych przelewów.

Większość środków została przetransferowana w ciągu około 20 minut, przy czym operacje odbywały się jednocześnie w dziesięciu sieciach blockchain. Binance wraz z partnerami ogłosiło zamrożenie aktywów o wartości około 3 mld dolarów, jednak pozostała część skradzionych kryptowalut pozostaje poza jej kontrolą. Binance ogłosiło również, że zarezerwowało ponad 6,34 mld dolarów środków własnych na pełne pokrycie strat użytkowników. Z tej kwoty 5 mld dolarów znajduje się już w tych samych tokenach, które zostały dotknięte atakiem. Firma rozpoczęła zwrot aktywów klientom.

Pojawiły się również oznaki powiązania ataku z wcześniejszymi kradzieżami kryptowalut. Badacz łańcucha bloków ZachXBT odkrył, że środki pochodzące z włamań do Binance i Bitget po przeniesieniu przez THORChain trafiły na ten sam adres. Analitycy z TRM Labs i Chainalysis uważają za prawdopodobne, że w atak zaangażowana była północnokoreańska grupa TraderTraitor, ale tożsamość sprawców nie została jeszcze oficjalnie ustalona.

UA.News analizuje, jak doszło do włamania, dlaczego mechanizmy zabezpieczające nie powstrzymały transakcji, w jaki sposób udało się zablokować miliardy dolarów oraz jakie zagrożenia ten incydent niesie dla użytkowników i rynku kryptowalut.

Co stało się z Binance i w jaki sposób hakerzy wyprowadzili miliardy

Pierwsze podejrzane transakcje miały miejsce wieczorem 29 października około godziny 20:05 czasu UTC. Według danych TRM Labs już w ciągu kolejnych 20 minut napastnicy przenieśli znaczną część środków z gorących portfeli Binance, które są wykorzystywane do codziennych operacji klientów. Poszczególne nieautoryzowane przelewy trwały również po tej głównej fazie.

Ogółem badacze prześledzili aktywa o wartości około 6,36 mld dolarów w dziesięciu sieciach: Ethereum, Bitcoin, Tron, XRP Ledger, Solana, Arbitrum, Avalanche, Optimism, Base i Polygon. Największe kwoty dotyczyły sieci Ethereum — około 3,79 mld dolarów. Z tej sieci skradziono ponad 200 tysięcy ETH, znaczne ilości USDT, USDC i innych tokenów. 

Kolejne około 1,47 mld dolarów wypłacono w Bitcoinie — 18 270 BTC. Przez Tron przepłynęły środki o wartości około 628 mln dolarów, przez XRP Ledger — 296 mln dolarów, a przez Solanę — prawie 96 mln dolarów.

Skala i szybkość przelewów zwróciły szczególną uwagę analityków. Sprawcy działali jednocześnie na różnych łańcuchach bloków, z których każdy ma własne zasady przeprowadzania transakcji. Wskazuje to na wcześniejsze przygotowania oraz potencjalny dostęp do infrastruktury obsługującej jednocześnie kilka sieci.

W komunikacie z 30 października Binance oszacowała łączny wpływ incydentu na około 6,3 mld dolarów. Według tej wstępnej oceny atak ten przewyższa poprzedni rekord — włamanie do Bybit w lutym 2025 roku, kiedy to skradziono około 1,5 mld dolarów. Jednak kwota 6,3 mld dolarów to wartość aktywów dotkniętych atakiem, a nie ostateczne, nieodwracalne straty: część środków została już zablokowana, a ceny kryptowalut ulegają zmianom.

W jaki sposób zhakowany laptop mógł umożliwić dostęp do portfeli Binance

Główna wersja wydarzeń dotycząca włamania wiąże się z urządzeniem służbowym jednego z pracowników giełdy. Binance poinformowała, że hakerzy mogli przejąć kontrolę nad laptopem inżyniera DevOps, a następnie uzyskać dostęp do kontenera służbowego i wysyłać za jego pośrednictwem nieautoryzowane żądania wypłaty środków.

Specjaliści DevOps zajmują się obsługą infrastruktury technologicznej, wdrażaniem oprogramowania oraz automatyzacją procesów wewnętrznych. W dużych firmach finansowych odpowiednie narzędzia mogą współpracować z serwisami przetwarzającymi transakcje. Samo włamanie do laptopa nie daje prawa do dysponowania kryptowalutą, ale dostęp do krytycznego środowiska służbowego może stwarzać takie ryzyko.

Ważne jest to, że giełda nie znalazła dowodów na kradzież kluczy prywatnych portfeli. Klucz prywatny pozwala na kryptograficzne potwierdzanie operacji na aktywach. W tym przypadku atakujący prawdopodobnie wykorzystali inną metodę — zmusili infrastrukturę Binance do generowania i podpisywania przelewów na adresy przez nich kontrolowane.

Na korzyść tej wersji przemawia analiza przeprowadzona przez TRM Labs: transakcje posiadały prawidłowe podpisy cyfrowe odpowiednich portfeli Binance. Z punktu widzenia łańcucha bloków wyglądały one na technicznie poprawne, choć w rzeczywistości zostały przeprowadzone bez zgody firmy. Zatem słabym punktem mogły być nie algorytmy kryptograficzne sieci, ale mechanizmy dostępu do systemu zarządzającego podpisywaniem operacji.

Jednocześnie współdyrektor wykonawczy Binance, Richard Teng, wyjaśnił, że atak był znacznie bardziej złożony niż wykorzystanie uprawnień dostępu jednego pracownika. 

„Chciałbym podkreślić: sprawca nie tylko wykorzystał uprawnienia dostępu jednego inżyniera i nie chodzi tu o pojedynczą czynność »jednym kliknięciem«. Atak był bardziej złożony i składał się z kilku etapów. Jak dotąd nasze dochodzenie nie wykazało odpowiedzialności żadnego konkretnego pracownika” – powiedział Richard Teng.

W związku z tym kompromitacja urządzenia służbowego pozostaje jedną z wstępnych hipotez dotyczących włamania, ale nie wyjaśnia wszystkich etapów ataku. Binance nadal bada, w jaki sposób napastnicy uzyskali dostęp do wewnętrznych usług i byli w stanie zainicjować przelewy. Firma obiecuje opublikować szczegółowy raport techniczny po zakończeniu dochodzenia.

Dlaczego system bezpieczeństwa nie powstrzymał transakcji

Giełdy przechowują aktywa w portfelach zimnych i gorących. Te pierwsze są odizolowane od stałego połączenia z internetem, drugie zapewniają szybkie zasilanie kont i wypłatę kryptowalut. Automatyzacja portfeli gorących przyspiesza obsługę klientów, ale sprawia, że ochrona wewnętrznych mechanizmów potwierdzania przelewów staje się szczególnie ważna.

Najtrudniejsza część ataku miała miejsce w sieci Ethereum. Badacze z TRM Labs ustalili, że hakerzy wykorzystali możliwości EIP-7702 — mechanizmu wprowadzonego podczas aktualizacji Pectra w maju 2025 roku. Pozwala on zwykłemu adresowi Ethereum, po podpisaniu specjalnego upoważnienia, na wykonanie logiki smart kontraktu.

Według analityków napastnicy z wyprzedzeniem przygotowali 50 takich autoryzacji dla jednego z głównych portfeli Binance, dostosowanych do różnych stanów adresu. Po aktywacji odpowiedniego upoważnienia portfel zaczął wykonywać kod programowy kontrolowany przez cyberprzestępcę. W ciągu około trzech minut wypłacono z niego 167 464 ETH oraz dziesiątki innych tokenów, w tym około 1,615 mld USDT.

Problem nie ograniczał się do jednej operacji. Delegowanie pozostawało aktywne, więc środki, które napływały na zainfekowany adres później, również mogły zostać wypłacone. Badacze odnotowali kilka takich przelewów w ciągu kolejnych godzin.

Jednocześnie EIP-7702 nie wyjaśnia włamania do wszystkich portfeli. W sieciach Bitcoin, Tron, Solana i innych atakujący wykorzystywali zwykłe, podpisane transakcje. Potwierdza to przypuszczenia o szerszym dostępie do wewnętrznych usług Binance, a nie o pojedynczej, izolowanej luce w Ethereum.

Przygotowania rozpoczęły się z wyprzedzeniem: TRM Labs śledziło aktywność powiązanych adresów co najmniej 36 godzin przed głównym atakiem. Sprawcy tworzyli kod programowy, testowali jego działanie i przygotowywali adresy do przyjmowania środków. Dlaczego system monitorowania nie powstrzymał dużych przelewów wcześniej, a także jakie uprawnienia miały skompromitowane serwisy, dopiero zostanie ustalone.

Jak udało się zamrozić aktywa o wartości około 3 mld dolarów

Natychmiast po wykryciu ataku Binance rozpoczęła koordynację działań z emitentami stablecoinów, analitykami blockchain oraz organami ścigania. To właśnie pozwoliło szybko ograniczyć przepływ znacznej części skradzionych tokenów.

W przeciwieństwie do Bitcoina, który nie ma scentralizowanego emitenta, niektóre stablecoiny dysponują mechanizmami blokowania określonych adresów. Ich emitenci mogą zamrozić tokeny powiązane z przestępczymi operacjami, o ile istnieją ku temu odpowiednie podstawy.

Tether zablokował około 1,77 mld USDT, a Circle – około 825 mln USDC. Ograniczono również transakcje z innymi stablecoinami, w szczególności RLUSD i USD1. Zespół Arbitrum, korzystając z uprawnień nadzwyczajnych, przeniósł do zabezpieczonego portfela 8426 ETH i 74,6 mln ARB o łącznej wartości około 30 mln USD.

Wczesnym rankiem 30 października analitycy potwierdzili zablokowanie aktywów o wartości około 2,7 mld USD. Sama Binance podała kwotę około 3 mld USD. Różnica wynika z momentu wyceny oraz tego, jakie transakcje uwzględnili badacze i giełda.

Zablokowanie aktywów nie oznacza automatycznego zwrotu środków. Tokeny mogą pozostać na adresie atakującego, ale nie będzie on już mógł nimi swobodnie dysponować. Ostateczne odzyskanie środków może wymagać dodatkowych procedur technicznych i prawnych.

Gdzie przeniesiono kryptowaluty, których nie zdążono zablokować

Hakerzy próbowali wyprzedzić blokadę stablecoinów i szybko wymienić je na Bitcoin, Ethereum oraz inne aktywa, które nie podlegają scentralizowanemu mechanizmowi zamrażania. W tym celu korzystali z zdecentralizowanych protokołów handlowych i kredytowych.

Około 325 mln USDT zostało wymienionych na 122,3 tys. ETH za pośrednictwem UniswapX i innych narzędzi. Atakujący godzili się nawet na niekorzystne kursy, ponieważ szybkość działania była dla nich ważniejsza niż utrata części wartości aktywów. Za pośrednictwem platformy kredytowej Aave wpłacili również około 60 mln USDT jako zabezpieczenie i pożyczyli około 19 760 ETH.

Na jednym z wczesnych etapów śledztwa analitycy oszacowali aktywa napastników, nad którymi emitenci nie mieli kontroli — ponad 420 tys. ETH i 18 270 BTC — na około 2,4 mld USD. Wartości te nie stanowią ostatecznego bilansu skradzionych środków: część adresów mogła brać udział w późniejszych transakcjach, a wartość monet zmienia się wraz z rynkiem.

Co łączy ataki na Binance i Bitget

30 października badacz łańcucha bloków ZachXBT poinformował o powiązaniu między przepływami środków z dwóch ataków na giełdy kryptowalutowe. Zgodnie z opublikowanymi danymi środki skradzione z Binance oraz aktywa z poprzedniego włamania do Bitget, po przelewach za pośrednictwem protokołu THORChain, trafiły na ten sam adres kryptowalutowy.

THORChain umożliwia wymianę aktywów między różnymi łańcuchami bloków bez konieczności korzystania z tradycyjnej, scentralizowanej giełdy. Jest to legalne narzędzie technologiczne, ale mogą z niego korzystać również przestępcy w celu szybkiego przenoszenia kryptowalut między sieciami. Gdy środki pochodzące z różnych incydentów zbiegają się na jednym adresie, badacze mają podstawy, by sprawdzić, czy sprawcy lub pośrednicy tych operacji nie są ze sobą powiązani.

Według danych ZachXBT wspólnym punktem transferu stał się adres 0x15104a9ce0f08a8f0075a0869ae80e795fe0feb7. Włamanie do Bitget, które badacz powiązał z tym schematem, szacowano wcześniej na około 388 mln dolarów. Ponadto adres ten pojawiał się już wcześniej w dochodzeniach dotyczących działalności grupy TraderTraitor powiązanej z Koreą Północną.

Dlaczego podejrzewa się północnokoreańską grupę TraderTraitor

Teorię o północnokoreańskim śladzie popiera od razu kilku badaczy. TRM Labs ogłosiło wysoki stopień pewności co do udziału TraderTraitor. Wśród argumentów wymienia się wcześniejsze przygotowanie infrastruktury, sposób uzyskiwania uprawnień, charakter przepływu środków oraz wykorzystanie usług utrudniających śledzenie kryptowalut.

W szczególności adresy powiązane z atakującymi jeszcze przed głównym włamaniem otrzymywały niewielkie przelewy za pośrednictwem Tornado Cash. Usługa ta może ukrywać bezpośredni związek między adresami nadawcy i odbiorcy. Sam fakt jego wykorzystania nie dowodzi udziału konkretnej grupy, ale jest brany pod uwagę wraz z innymi cechami technicznymi.

Podobne wnioski opublikowała firma Chainalysis. Jej kierownictwo powiązało potencjalnych organizatorów z wcześniejszymi atakami, jednocześnie ostrzegając przed ostateczną identyfikacją sprawców przed zakończeniem śledztwa. W komentarzu dla agencji Reuters przedstawiciel Chainalysis zaznaczył, że firma kontynuuje analizę okoliczności zdarzenia. Według wstępnych szacunków jej specjaliści prześledzili przepływ co najmniej 5,912 mld dolarów.

Grupa TraderTraitor pojawiła się już w jednej z największych kradzieży kryptowalut z poprzednich lat. W lutym 2025 roku z giełdy Bybit skradziono około 1,5 mld dolarów. Amerykańskie FBI oficjalnie powiązało ten atak z Koreą Północną i opisało szybki przepływ aktywów między kryptowalutami a licznymi adresami.

Innym charakterystycznym przypadkiem jest włamanie do japońskiej giełdy DMM Bitcoin w 2024 roku, kiedy to skradziono ponad 300 mln dolarów. Zgodnie z wynikami śledztwa napastnicy wykorzystali inżynierię społeczną: podawali się za rekruterów i dzięki złośliwemu zadaniu testowemu uzyskali dostęp do środowiska pracy pracownika firmy partnerskiej. 

Historia pokazuje, że celem ataku może być nie łańcuch bloków, ale osoba mająca dostęp do infrastruktury finansowej. Jednak w przypadku Binance nie ma na razie dowodów na podobny schemat z fałszywą ofertą pracy.

Grupy z Korei Północnej przyciągają uwagę organów ścigania nie tylko ze względu na skalę poszczególnych kradzieży. Stany Zjednoczone i inne kraje wiążą ich działalność z próbami pozyskiwania środków finansowych z pominięciem międzynarodowych sankcji. Platformy kryptowalutowe stanowią atrakcyjny cel ze względu na koncentrację znacznych aktywów oraz możliwość ich szybkiego transferu między jurysdykcjami.

Czy klienci Binance stracą swoje pieniądze

30 października Binance poinformowała o nowych środkach mających na celu zrekompensowanie strat użytkowników. Giełda zarezerwowała już ponad 6,34 mld dolarów ze środków własnych, aby w pełni pokryć ewentualny deficyt aktywów.

Z tej kwoty 5 mld dolarów znajduje się już w tych samych kryptowalutach i tokenach, których dotyczył incydent. Pozostałe niezbędne aktywa firma nabywa na otwartym rynku oraz w ramach transakcji pozagiełdowych (OTC).

Jak wyjaśnia Binance, proces ten może zająć trochę czasu ze względu na ograniczoną płynność poszczególnych tokenów oraz czasochłonność rozliczeń w przypadku dużych transakcji pozagiełdowych. Jednocześnie firma rozpoczęła już zwrot aktywów użytkownikom, którzy ucierpieli w wyniku ataku.

„Binance rozpoczęła już zwrot aktywów użytkowników, których dotknął ten incydent, i nadal współpracuje z organami ścigania, emitentami, firmami zajmującymi się analizą blockchain oraz innymi podmiotami z branży w celu śledzenia, zamrożenia i zwrotu dodatkowych środków” – czytamy w oficjalnym oświadczeniu.

Warto podkreślić, że zarezerwowane 6,34 mld dolarów nie obejmują około 3 mld dolarów aktywów, które już udało się zamrozić. Środki te są obecnie w trakcie zwrotu i dodatkowej weryfikacji. 

Firma podkreśliła, że wykorzysta własne zasoby do pokrycia wszelkich potwierdzonych niedoborów. Po zakończeniu procesu zabezpieczenia środków klientów planuje się publiczne potwierdzenie tego faktu poprzez zaktualizowany raport „Proof of Reserves”.

Jak atak wpłynął na bitcoina i rynek kryptowalut

Wiadomości o włamaniu do Binance szybko odbiły się na cenach aktywów cyfrowych. 30 października Bitcoin stracił ponad 3% i spadł do około 76,4 tys. dolarów — najniższego poziomu od sześciu tygodni. Ethereum również straciło na wartości ponad 3%, spadając do około 2,18 tys. dolarów. Negatywna reakcja dotknęła również akcje spółek z sektora kryptowalutowego, w szczególności Coinbase i Strategy.

Ekspertów niepokoiła nie tylko wartość skradzionych środków, ale także potencjalny niedobór płynności. Binance odgrywa ważną rolę w globalnym handlu kryptowalutami. Jeśli klienci i animatorzy rynku nie mogą szybko wypłacić środków, trudniej jest im przenosić kapitał między platformami oraz utrzymywać stabilne ceny kupna i sprzedaży.

Przedstawiciel animatora rynku GSR, Aravind Srinivasan, poinformował, że w momencie największego napięcia różnica między cenami kupna i sprzedaży bitcoina na rynku spotowym Binance była około pięciokrotnie wyższa niż zwykle, a w przypadku Ethereum — około 2,5 razy.

Ograniczenia dotyczące przelewów stwarzają problemy również dla inwestorów korzystających z dźwigni finansowej. Gdy środki są zablokowane na jednej platformie, nie można ich w odpowiednim czasie przelać na inną w celu zabezpieczenia pozycji. Może to prowadzić do przymusowych likwidacji pozycji i dodatkowych wahań na rynku.

Analitycy zwracają uwagę, że dalsza reakcja zależy od szybkości przywrócenia działania Binance, wielkości zwróconych aktywów oraz przekonującej wiarygodności gwarancji bezpieczeństwa. Właśnie dlatego konsekwencje tego incydentu wykraczają daleko poza bezpośrednie straty finansowe giełdy.

Co powinno się zmienić w zakresie zabezpieczeń giełd kryptowalutowych po ataku na Binance 

Binance tymczasowo wstrzymało wypłaty środków w celu przeprowadzenia kompleksowej kontroli odpowiednich usług i adresów kryptowalutowych, a także cofnęło autoryzację adresu powiązanego z incydentem.

Do śledztwa zaangażowano organy ścigania oraz firmy specjalizujące się w analizie transakcji blockchainowych. Pomagają one śledzić dalsze przepływy skradzionych aktywów, identyfikować powiązane adresy oraz zapewnić zwrot środków.

„Nasze zespoły pracują przez całą dobę, aby zapewnić bezpieczne i kompleksowe usunięcie skutków incydentu. Ściśle współpracujemy z organami ścigania w celu zidentyfikowania sprawców i pociągnięcia ich do odpowiedzialności” — zaznaczono w Binance.

Dla samej platformy Binance kluczowymi zadaniami pozostają pełne przywrócenie działalności, wywiązanie się z zobowiązań wobec użytkowników oraz opublikowanie raportu technicznego. Ma on wyjaśnić, w jaki sposób osoba trzecia uzyskała dostęp do systemów potwierdzania przelewów oraz dlaczego mechanizmy kontrolne nie zadziałały wystarczająco szybko.

Równolegle badacze kontynuują śledzenie kryptowaluty. Odkryty przez ZachXBT związek między środkami pochodzącymi z włamań do Binance i Bitget może pomóc w odtworzeniu szerszego obrazu przepływu aktywów oraz zweryfikowaniu wersji dotyczącej TraderTraitor. Na razie główny wniosek płynący z tego incydentu jest taki, że dla giełd kryptowalut nie wystarczy zabezpieczyć klucze: konieczne jest równie skuteczne kontrolowanie osób, urządzeń i programów, które mają prawo dysponować miliardami dolarów.