Ataki na giełdy kryptowalut i czego nie powinieneś z nich wyciągać

2 godzin temu

29 października, w około dwadzieścia minut, z portfeli Binance wypłynęło 6,3 mld USD. To największa kradzież w historii kryptowalut, ponad cztery razy większa niż atak na Bybit z lutego 2025 roku.

Punkt wejścia, według samej giełdy, to komputer inżyniera zainfekowany po fałszywej rozmowie kwalifikacyjnej.

Dwa dni później, Binance ogłosiło, iż przywróciło 98 % środków z własnych funduszy; następnego dnia wznowiło wypłaty.

Zapamiętaj ten ostatni fakt. On jest najważniejszy, a najmniej się o nim mówi.

Dla człowieka z młotkiem każdy problem wygląda jak gwóźdź

Mt. Gox, 2014. QuadrigaCX, 2019. FTX, 2022. Bybit, 2025. Binance, 2026 — to tylko najgłośniejsze przypadki. Różne problemy, wciąż ta sama odpowiedź: samodzielna kontrola środków, bo przecież nie twoje klucze, nie twoje monety.

To założenie jest technicznie prawdziwe. jeżeli nie trzymasz klucza prywatnego, nie kontrolujesz aktywów: masz jedynie roszczenie wobec tego, kto je przechowuje.

Wnioskiem nie jest jednak, iż samodzielna kontrola środków jest koniecznie bezpieczniejsza.

Cmentarz pokonanych milczy, chyba iż pokonany jest bardzo duży

Gdy zaatakują giełdę, cały świat to widzi. Stawka to miliardy, pojawia się oficjalny komunikat i międzynarodowe relacje.

Kiedy jednostka traci wszystko, prawie nikt się nie dowiaduje. choćby jeżeli strata jest on-chain i całkowicie publiczna, kto poza ekspertami śledzi śledztwa na blockchainie?! Ludzie śledzą prasę.

Wielu z tych ofiar choćby nie zgłasza sprawy na policję — ze wstydu lub niedowierzania.

Z tej strony, od śledczych, scena jest znajoma: ofiara przynosi hashe transakcji i nadzieję, iż ktoś „zamrozi bitcoiny”.

A chyba iż planety się ułożą (ofiara zgłasza gwałtownie i dokładnie, urzędnik zna się na rzeczy, środki trafiają na giełdę lub do zamrażalnych tokenów), finał jest opłakany.

Ataki na duże giełdy nie są najczęstsze. Są po prostu tymi, które wszyscy widzą.

Wyjątkowe pozycje z menu ryzyk samodzielnej kontroli

Przekazanie seeda. 10 stycznia 2026 inwestor odczytał scammerowi swój seed do portfela sprzętowego udającego wsparcie Trezor. Stracił 1459 BTC i 2,05 mln LTC, czyli ponad 282 mln USD. Sprzęt działał perfekcyjnie. Zawiódł właściciel.

Przejęcie seeda. Zdjęcie w telefonie, notatka w chmurze, e-mail do samego siebie. Nikt nie poprosił o słowa: wyciekły same.

Phishing sygnatury. Podpisujesz wiadomość off-chain upoważniającą innych do ruchu Twoimi tokenami. Wychodzą, kiedy tylko atakujący sobie życzy. To jak podpisany pusty czek w cudzej szufladzie. Tylko w styczniu 2026 — to koszt 6,3 mln USD.

Ironia: włamanie na Binance też wykorzystało sygnatury. System giełdy podpisał 50 autoryzacji na raz. Jedna wystarczyła, aby przekazać atakującemu portfel, który stracił 2,2 mld USD w pojedynczej transakcji.

Atak z użyciem klucza francuskiego. Nazwa pochodzi od klucza francuskiego (narzędzia). Żadna kryptografia nie wytrzyma fizycznego zagrożenia wobec ciebie lub bliskich. W pierwszym półroczu 2026 CertiK doliczył się 52 takich ataków na 124 mln USD; 33 przypadki we Francji.

Zatrucie adresu. Oszust pozostawia w historii adres niemal identyczny z adekwatnym. Przy kolejnej transakcji kopiujesz zły. Taki jeden przypadek w styczniu kosztował 12,25 mln USD.

Awarie sprzętu. 29 lipca użytkownicy ColdCard, którzy nigdy nie podpięli urządzenia do internetu, stracili środki przez błąd w losowości generowania kluczy. Ponad tysiąc bitcoinów. Omawiałem to w “Nie twoje klucze, nie twoje monety – ale czy wiesz, jak powstają twoje klucze?“.

Uwaga: w każdym przypadku ofiara w coś uwierzyła. W linię wsparcia, chmurę, stronę, własną przezorność, historię transakcji, firmware. I w każdym przypadku uwierzyła w siebie.

Samodzielna kontrola czy giełda? Fałszywy dylemat

Każda forma przechowywania wiąże się z ryzykiem. Kto trzyma aktywa na giełdzie, ufa jej zarządzaniu i wypłacalności. Kto wybiera samodzielną opiekę, ufa sobie, urządzeniu, oprogramowaniu oraz każdemu, kto wie, iż posiada Bitcoin. Problem polega na uznaniu pierwszego i ignorowaniu drugiego.

Nie ma opcji bez zaufania. Jest świadome zaufanie i ignorowane zaufanie. Najdroższe ryzyko to to, którego nie widzisz.

Nikt nie powinien trzymać całego majątku pod materacem ani w jednym banku.

Przy aktywach kryptowalutowych zasada powinna być taka sama: część na solidnej giełdzie (lub trzech), część w dobrze przygotowanej samodzielnej opiece, część w ETF-ach — na przykład 30%, 40% i 30%.

Podział zależy od twojej wiedzy, profilu i celów. Tej odpowiedzialności nie można przenieść na innych. Przepraszam za złą wiadomość, ale lepiej teraz niż później.

Pojutrze

Odpowiedzialność zmniejsza ryzyka, ale ich nie eliminuje. Zadaj więc nie tylko pytanie „która opcja jest najbezpieczniejsza dla mnie?”, ale także „co się ze mną stanie po ataku?”

W samodzielnej opiece nie ma do kogo zadzwonić. Styczniowe 282 mln USD od razu zaczęto wymieniać na Monero (BTC, BTC, LTC). Zamrożenie środków następuje, gdy pieniądze trafiają do emitenta stablecoina lub na giełdę. Pełny zwrot to wyjątek.

Na giełdzie masz kontrahenta. Bybit przywrócił środki klientów w trzy dni. Bitget pokrył 388 mln USD straty z września z własnego funduszu ochrony.

Binance przejęło 100% strat i już przywróciło 98%, co można sprawdzić w dowodzie rezerw.

Kontrahent, oczywiście, ma znaczenie tylko wtedy, gdy jest wypłacalny. I nie zawsze oddaje dokładnie to, co miałeś.

Wierzyciele Mt. Gox czekali dekadę i odzyskali tylko około 15% Bitcoin, które „posiadali”. Jednak dzięki wzrostowi wartości w tym czasie, ten ułamek był wart wielokrotność ich całego salda z 2014 roku.

Wierzyciele FTX otrzymali gotówkę, a nie aktywa kryptowalutowe z ich salda: około 120% wartości z dnia upadku, w listopadzie 2022 roku, gdy Bitcoin kosztował blisko 16 000 USD. Więcej, niż wtedy były warte; znacznie mniej niż dziś.

Stąd znaczenie, w Brazylii, rezolucji banku centralnego (BCB) 519, 520 i 521 z 2025 roku.

Dla inwestorów najważniejsze nie jest to, iż giełda podlega bankowi centralnemu, ale wymagania, którym podlega: aktywa klientów wyodrębnione od firmowych, w oddzielnych portfelach, z dowodem rezerw, audyty niezależne, zakaz użycia w operacjach firmy.