Binance wznawia wypłaty. Odpłynęło z giełdy 3,64 mld USD

Trzy dni po kradzieży 6,3 mld USD Binance otworzyło wypłaty, a klienci od razu zaczęli wycofywać środki. W niedzielę w ciągu kilku godzin z największej giełdy kryptowalut na świecie wypłynęło netto 3,64 mld USD. To dużo, ale nie było runu na giełdę, którego część rynku się obawiała. W tym samym czasie FBI oficjalnie wskazało sprawców, a Binance poinformowało, iż pokryło już 95% strat z własnych pieniędzy. Najważniejsze pytania pozostają jednak bez odpowiedzi: co stanie się z ponad 3 mld USD, których nie udało się zamrozić, i co dokładnie zawiodło w zabezpieczeniach giełdy.

Krótko o tym, co się wydarzyło

Przebieg samego ataku opisywaliśmy szczegółowo w tekście Hakerzy ukradli z Binance 6,3 mld USD. To największy atak w historii kryptowalut. Tu tylko najważniejsze fakty. W czwartek 29 października około 21:05 czasu polskiego zaczęły się opróżniać gorące portfele Binance w kilkunastu sieciach blockchain. Większość pieniędzy wypłynęła w około 20 minut. Według Elliptic łup wyniósł 6,43 mld USD, czyli ponad czterokrotnie więcej niż 1,46 mld USD skradzione z Bybit w lutym 2025 roku. Sama giełda szacuje straty na około 6,3 mld USD.

Na Ethereum napastnik wykorzystał mechanizm EIP-7702. Wysłał 50 wcześniej podpisanych autoryzacji, z których jedna zadziałała i oddała mu kontrolę nad portfelem „Binance 14″. Opróżnił go z 167 464 ETH i 1,6 mld USDT. W innych sieciach środki wychodziły zwykłymi, poprawnie podpisanymi przelewami. Analitycy uważają więc, iż hakerzy nie ukradli kluczy prywatnych. Zamiast tego przejęli kontrolę nad systemem, który decyduje, jakie transakcje te klucze podpisują.

Binance najpierw wskazało zainfekowany laptop inżyniera DevOps. Później przyznało, iż punktów naruszenia było więcej. Współprezes Richard Teng powiedział, iż atak „nie został przeprowadzony przez jedną osobę”. Dodał, iż użyte oprogramowanie samo niszczyło ślady swojego działania, co utrudnia śledztwo.

Pierwsza niedziela z otwartymi wypłatami

Wypłaty wracały etapami. Pierwsza faza ruszyła 1 listopada między 06:00 a 09:00 UTC, czyli między 7:00 a 10:00 czasu polskiego. Objęła 15 sieci, w tym BTC, ETH, BSC, Tron, Solanę, XRP, Dogecoin, Polygon i Arbitrum. Kolejność ustalono według popytu użytkowników z ostatniego tygodnia. Według CNBC o 12:36 UTC działały już wszystkie sieci z pierwszego etapu, a pozostałe są wciąż testowane.

Watcher Guru już po południu podał, iż w ciągu 10 godzin od otwarcia z giełdy wypłynęło ponad 3,75 mld USD. Pełny obraz Binance przedstawiło wieczorem. Między 06:00 a 15:30 UTC giełda zrealizowała wypłaty na 4,649 mld USD i przyjęła wpłaty na 1,01 mld USD. Odpływ netto wyniósł więc około 3,64 mld USD.

To 2,1% aktywów giełdy, które według ostatnich danych Proof of Reserves cytowanych przez CNBC wynosiły 28 października 171 mld USD. Binance zapewnia, iż po pierwszym skoku wypłaty spadły i się stabilizują, a wpłaty są wciąż „znaczące”.

Nie wszyscy liczą tak samo. Agencja Reuters zauważyła, iż według DefiLlama odpływy sięgnęły 5,81 mld USD. Binance odpowiada, iż te dane nie obejmują przelewów na nowy gorący portfel giełdy, więc są niedokładne. Rozbieżność trudno dziś rozstrzygnąć, ale choćby wyższa liczba to wciąż kilka procent aktywów platformy.

Changpeng Zhao, założyciel i największy udziałowiec Binance, odczytał te dane jednoznacznie. Napisał na X, iż „98% decyduje się zostać”, i dodał:

„Zaufania nie zdobywa się tym, co się mówi w dobrych czasach. Zdobywa się je tym, co się robi w trudnych.”

Z perspektywy giełdy to rozsądna interpretacja. Trzeba jednak pamiętać, iż jedna niedziela to nie miesiąc. Prawdziwy obraz pokażą dopiero dane o przepływach z kolejnych tygodni.

Skąd Binance wzięło miliardy na pokrycie strat

Najważniejsza deklaracja nie zmieniła się od pierwszej nocy: straty ma ponieść giełda, a nie użytkownicy. W komunikacie Binance z 31 października, który podał dalej CZ, giełda napisała, iż pokryła 90% skradzionych aktywów. Wcześniej było to 80%. Dobę później wskaźnik wzrósł do 95%. Binance zarezerwowało na ten cel ponad 6,34 mld USD z własnych środków.

Pieniądze pochodzą z trzech źródeł:

• Fundusz SAFU. To rezerwa awaryjna utworzona w 2018 roku i trzymana w bitcoinie. Według Reutersa współprezes Yi He zapowiedziała, iż giełda wykorzysta połowę funduszu. Binance zobowiązało się później odbudować SAFU do około 1 mld USD.
• Część funduszu ubezpieczeniowego kontraktów futures. Giełda twierdzi, iż użyła tylko nadwyżki ponad wymagany poziom, więc ochrona traderów nie jest zagrożona.
• Własna kasa korporacyjna Binance.

Według giełdy dziesięć głównych aktywów jest w pełni pokrytych: BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD i ZEC. Brakujące 5% to mniej płynne tokeny spoza tej listy. Binance dokupuje je na rynku i przez transakcje OTC. Zaznacza, iż zebranie ich w potrzebnych ilościach wymaga czasu.

Elliptic zwraca uwagę na istotny szczegół: około 5 mld USD z zarezerwowanej kwoty giełda trzymała już wcześniej w tych samych tokenach, które skradziono. Dlatego odbudowa przebiegła tak szybko. Mniejsza giełda nie byłaby w stanie tego zrobić. To ten sam paradoks, o którym pisaliśmy przy okazji ataku na Bitget: taki kryzys najłatwiej przetrwać temu, kto ma największy bilans.

Proof of Reserves – wtorek pod znakiem zapytania

Deklaracje to jedno, a możliwość ich sprawdzenia to drugie. Binance zrobiło nowy zrzut rezerw (Proof of Reserves) według stanu na 31 października, godz. 00:00 UTC, i opublikowało go na swojej stronie. Pełny dowód z wykorzystaniem tzw. zero-knowledge proof wymaga jednak 40-50 godzin obliczeń. Według giełdy będzie gotowy we wtorek 3 listopada. Wtedy posiadacze dziesięciu głównych tokenów będą mogli samodzielnie sprawdzić, czy ich aktywa mają pokrycie co najmniej 1:1.

Ta publikacja ma duże znaczenie. CoinDesk zauważył wcześniej, iż opróżnione portfele były wliczane do rezerw na pokrycie sald klientów. Zanim giełda je uzupełniła, pokrycie w ETH mogło być choćby o około 6% za niskie.

Drugim dokumentem, na który czeka rynek, jest raport poincydentalny. Binance zapowiada, iż opublikuje go po zakończeniu śledztwa. Dopiero wtedy dowiemy się, jak napastnik wydał polecenia systemowi podpisującemu transakcje i dlaczego delegacja EIP-7702 ominęła, jak przyznał Teng, „normalne mechanizmy zatwierdzania”.

FBI: to TraderTraitor

31 października amerykańskie służby oficjalnie wskazały sprawców. W komunikacie FBI za kradzież ponad 6 mld USD odpowiada Korea Północna, a dokładnie grupa TraderTraitor. To ta sama jednostka, której FBI przypisało wcześniej ataki na Bybit i DMM Bitcoin. Wcześniej do tych samych wniosków doszły firmy analityczne Chainalysis, TRM Labs i Elliptic. Najmocniejszym dowodem było to, iż środki z Binance trafiły na te same adresy co pieniądze z wrześniowego ataku na Bitget.

Według FBI, Secret Service i IRS-CI hakerzy zamieniają skradzione aktywa głównie na ether. Biuro spodziewa się, iż w kolejnym kroku przepuszczą je przez protokoły DeFi i serwisy szybkiej wymiany. Opublikowało więc listę kilkuset adresów i zaapelowało do operatorów węzłów THORChain, dostawców RPC, giełd i firm analitycznych, by blokowali powiązane z nimi transakcje.

Polityczny kontekst jest mniej jednoznaczny. Prezydent USA Donald Trump powiedział dziennikarzom, cytowany przez Reutersa:

„Nie wiemy, czy to Korea Północna, ale jeżeli tak, porozmawiamy o tym z Koreą Północną.”

Pjongjang od lat zaprzecza, iż jego jednostki zajmują się kradzieżami cyfrowych aktywów. Changpeng Zhao podziękował natomiast amerykańskim służbom. Jego zdaniem to w dużej mierze dzięki nim bitcoin nie spadł mocniej. Warto przypomnieć, iż Zhao został w USA skazany za braki w procedurach przeciwdziałania praniu pieniędzy, a w 2025 roku Trump go ułaskawił.

Wyścig o resztę łupu

Zamrożono mniej więcej połowę skradzionych środków. Elliptic potwierdził w blockchainie 2,85 mld USD zamrożonych lub przejętych aktywów, czyli 44% łupu. Prawie wszystko to stablecoiny USDT i USDC. Circle poinformował CNBC, iż zablokował ponad 1,1 mld USDC. Akcję wsparły też Ripple, World Liberty Financial, Paxos, First Digital oraz rady zarządzające sieci Arbitrum i Optimism.

Gorzej wygląda sytuacja tam, gdzie nie ma emitenta, który mógłby zablokować środki. W bitcoinie, XRP, Solanie i NEAR nie udało się zamrozić niczego. Ripple może zablokować swój stablecoin RLUSD, ale nie XRP. Według analizy Elliptic napastnik kontroluje w tej chwili aktywa warte około 3,25 mld USD, których nie da się zablokować. Są rozrzucone na ponad 800 adresów, w tym:

• około 584 tys. ETH,
• 18 327 BTC,
• 233 mln XRP.

Bitcoiny podzielono na 19 portfeli, w większości po 1000 BTC, i na razie nie trafiły do żadnej usługi. XRP, SOL i NEAR o wartości około 439 mln USD nie ruszyły się od chwili kradzieży.

Analitycy zwracają uwagę na sposób prania pieniędzy. Główny portfel w sieci Tron między 30 października a 1 listopada wysłał 1113 przelewów, średnio co 90 sekund, także w nocy czasu koreańskiego. Kwoty były losowe, z dokładnością do sześciu miejsc po przecinku. Nowe portfele dostawały dokładnie 0,5 ETH na opłaty i zaczynały handlować w ciągu kilku minut. Wszystko wskazuje na zautomatyzowane skrypty. Elliptic zaznacza jednak, iż z samych danych w blockchainie nie da się ustalić, czy stoją za tym agenci AI. Firma udostępniła bezpłatną listę ponad 8000 adresów powiązanych z kradzieżą, żeby inne podmioty mogły je wyłapać.

Doświadczenie z Bybit podpowiada, czego się spodziewać. Pranie tamtych pieniędzy trwało miesiące, a każdy kolejny etap to szansa na zatrzymanie części środków. Elliptic ocenia, iż ponad 3 mld USD z tego łupu da się teraz zatrzymać dopiero wtedy, gdy trafią na giełdę lub do innego pośrednika. Dlatego wszyscy obserwują te 18 tys. bitcoinów. Pierwsza większa transakcja z tych portfeli pokaże, jaką drogą hakerzy chcą wyprowadzić łup.

Rynek odetchnął, ale z rezerwą

Reakcja cen okazała się łagodniejsza, niż mogła sugerować skala kradzieży. W piątek bitcoin chwilowo spadł do około 76 tys. USD, najniżej od sześciu tygodni. Według CoinDesk likwidacje pozycji lewarowanych przekroczyły 1,5 mld USD. 2 listopada BTC kosztuje około 78 tys. USD, więc odrobił część strat. Do rekordu z 2025 roku powyżej 126 tys. USD wciąż mu jednak daleko.

Spokój wynika głównie z tego, iż Binance gwałtownie pokazało, iż może pokryć straty, a wypłaty wróciły zgodnie z zapowiedzią. Gdyby którakolwiek z tych rzeczy zawiodła, rynek wyglądałby dziś zupełnie inaczej. Nie oznacza to, iż problem zniknął. Ten atak to drugi wielki sukces północnokoreańskich hakerów w ciągu niespełna dwóch lat. Według Elliptic jedna noc niemal podwoiła łączną wartość kryptowalut, które reżim ukradł w ostatnich latach. Amerykański rząd łączy te pieniądze z finansowaniem programów zbrojeniowych Pjongjangu.

Czego jeszcze nie wiemy

Trzy kwestie pozostają otwarte. Po pierwsze, techniczna przyczyna ataku. Wersja z laptopem inżyniera jest dziś tylko częścią obrazu, a pełny raport ma powstać po zakończeniu śledztwa. Po drugie, wiarygodność rezerw. Wtorkowy dowód kryptograficzny powinien pokazać, czy deklarowane 100% pokrycia głównych tokenów się zgadza. Po trzecie, reakcja regulatorów. Atak tej skali na największą giełdę świata to dla nich test, na który odpowiedź dopiero się szykuje.

Jest też lekcja dla wszystkich, kto trzyma kryptowaluty na giełdzie. Klienci Binance najpewniej nie stracą pieniędzy, ale przez trzy dni nie mieli do nich dostępu, i to na giełdzie, która ma 171 mld USD aktywów i miliardowy fundusz awaryjny. Mniejsza platforma mogłaby takiej straty nie przetrwać. Dlatego wielu inwestorów trzyma na giełdzie tylko to, czym aktywnie handluje, a resztę przenosi na własny portfel sprzętowy. Ta zasada nie jest nowa, ale ten tydzień dobrze pokazał, dlaczego ma sens.