2 godzin temu
Rynek kryptowalut przeżył w nocy z czwartku na piątek jeden z najbardziej nerwowych wieczorów od czasu upadku FTX. Binance, największa giełda aktywów cyfrowych na świecie, potwierdziła incydent bezpieczeństwa. Jego skutki wycenia na około 6,3 mld USD. Kwota jest ponad czterokrotnie wyższa niż w przypadku ataku na Bybit z lutego 2025 roku, który do tej pory uchodził za rekord. Giełda wstrzymała wypłaty, a według firm analitycznych za atakiem stoją hakerzy z Korei Północnej.
Dwadzieścia minut, dziesięć blockchainów
Firma TRM Labs zrekonstruowała przebieg ataku na podstawie danych on-chain. W czwartek 29 października około 20:05 UTC (21:05 czasu polskiego) środki zaczęły znikać z portfeli Binance jednocześnie w dziesięciu sieciach: Ethereum, Bitcoin, Tron, XRP Ledger, Solana, Arbitrum, Optimism, Base, Avalanche i Polygon. Większość aktywów wyprowadzono w ciągu około 20 minut. Druga, mniejsza fala nastąpiła około 23:05 UTC i objęła portfele w sieciach Avalanche i Polygon.
W szczegółowym raporcie TRM Labs na temat ataku na Binance wartość wszystkich transferów do adresów napastnika, liczona po cenach z chwili kradzieży, to ok. 6,36 mld USD. Najwięcej, bo ok. 3,79 mld USD, przypada na Ethereum: ponad 200 tys. ETH, 1,875 mld USDT, 823 mln USDC i 88,5 mln RLUSD. Z gorącego portfela bitcoinowego wypłynęło 18 270 BTC, czyli ok. 1,47 mld USD. W sieci Tron napastnik przejął ok. 628 mln USD, a na XRP Ledger 233,46 mln XRP.
Atak był starannie przygotowany. TRM ustaliła, iż przygotowania zaczęły się co najmniej 36 godzin wcześniej. Portfel operacyjny napastnika dostał 28 października trzy niewielkie wpłaty z miksera Tornado Cash. Kod użyty do ataku przetestowano potem na trzech portfelach, a cztery godziny po ostatniej próbie zainstalowano go na gorącym portfelu Binance.
Jak przejęto portfel giełdy
Technicznie najciekawiej wygląda wątek Ethereum. Napastnik wykorzystał mechanizm EIP-7702, wprowadzony w aktualizacji Pectra w maju 2025 roku. Pozwala on zwykłemu portfelowi oddać sterowanie swoim zachowaniem inteligentnemu kontraktowi. Wystarczy, iż portfel podpisze odpowiednią autoryzację.
Atakujący przesłał jedną transakcję z 50 wcześniej podpisanymi autoryzacjami. Każda była przypisana do kolejnego numeru transakcji (nonce) portfela Binance. Gorący portfel giełdy obsługuje ciągły strumień wypłat, a jego licznik stale rośnie, więc ten zabieg dawał pewność, iż przynajmniej jedna autoryzacja zadziała. Zadziałała. Trzy minuty i 24 sekundy później portfel wysłał na adres napastnika cały swój stan, w tym 167 464 ETH i 1,615 mld USDT. Delegacja pozostała aktywna, więc nowe środki, które wpływały do portfela, były „zamiatane” jeszcze kilka razy w ciągu kolejnych godzin.
Według TRM najważniejsze jest jednak to, iż w tym samym czasie portfele w dziewięciu innych sieciach wysyłały środki napastnikowi zwykłymi, poprawnie podpisanymi przelewami. To różne łańcuchy, różne typy kluczy i różne schematy podpisu. Analitycy uważają więc, iż najbardziej prawdopodobnym wyjaśnieniem jest przejęcie infrastruktury, która podpisuje transakcje z gorących portfeli Binance.
Wstępne ustalenia giełdy wskazują podobny kierunek. Binance poinformowało, iż punktem wejścia mógł być zainfekowany laptop jednego z inżynierów DevOps. Miał on dać napastnikowi dostęp do kontenera usługowego, z którego wysyłano nieautoryzowane zlecenia wypłat.
„Nie znaleźliśmy żadnych dowodów na wyciek kluczy prywatnych do portfeli. Udostępnimy szczegółowy raport techniczny, gdy dochodzenie zostanie zakończone, a fakty w pełni zweryfikowane” – przekazała Binance w komunikacie cytowanym przez CNBC.
Ślad prowadzi do Pjongjangu
TRM Labs przypisuje atak grupie TraderTraitor, elitarnej jednostce hakerskiej powiązanej z reżimem Korei Północnej, i robi to „z wysokim stopniem pewności”. Tę samą grupę FBI wskazało jako sprawcę kradzieży 1,5 mld USD z Bybit w 2025 roku. Atak na Binance przypisuje Korei Północnej także Chainalysis, a według „Wall Street Journal” również Pangolin Intelligence. Binance nie wypowiedziała się dotąd na temat tożsamości sprawców.
Analitycy zwracają uwagę na powtarzalne elementy: zasilanie portfela operacyjnego drobnymi wypłatami z Tornado Cash, długie przygotowania i podpisy zdobyte z wyprzedzeniem, a potem wykonane w jednej serii. Podobny wzorzec TRM widziała przy ataku na Bybit i przy kwietniowym ataku na KelpDAO. Inny jest za to sposób prania pieniędzy. Zamiast mostów międzyłańcuchowych, jak po Bybit, tym razem dominowały duże swapy przez market makerów i protokoły pożyczkowe.
To kolejny cios w krótkim czasie. We wrześniu hakerzy okradli giełdę Bitget na blisko 388 mln USD, a ten atak również łączono z Koreą Północną. Według TRM Labs w 2025 roku w blisko 150 atakach skradziono kryptowaluty o łącznej wartości 2,9 mld USD. Jeden nocny atak na Binance przewyższył więc dwukrotnie łupy z całego poprzedniego roku.
Wyścig z zamrożeniami
Szybko zareagowali emitenci stablecoinów, co pokazuje zarazem siłę i słabość scentralizowanych tokenów. Tether zamroził łącznie blisko 1,57 mld USDT powiązanych z incydentem. Pierwszą blokadę, na 971 mln USDT w głównym portfelu odbiorczym, założył 37 minut po głównym transferze. Circle zablokował ponad 800 mln USDC, a Ripple część skradzionych RLUSD. Według współzałożycielki Binance Yi He firma pomogła łącznie zatrzymać ruch środków o wartości ok. 200 mln USD. Do akcji włączyła się też World Liberty Financial, spółka powiązana z rodziną Donalda Trumpa, która zablokowała ok. 27 mln USD w stablecoinie USD1. Rada Bezpieczeństwa sieci Arbitrum wymusiła z kolei przeniesienie ok. 30 mln USD w ETH i ARB z portfela napastnika.
Binance mówi o ok. 3 mld USD zablokowanych aktywów. Według stanu o 00:30 UTC TRM potwierdziła on-chain ok. 2,7 mld USD. Napastnik doskonale wiedział, iż stablecoiny można zamrozić, i od pierwszych minut próbował je zamieniać na aktywa poza zasięgiem emitentów. Ok. 325 mln USDT sprzedał market makerom za ok. 122,3 tys. ETH, co oznaczało ponad 10-procentowe dyskonto wobec ceny rynkowej. Pod zastaw USDT zaciągnął też pożyczki w ETH na Aave, które w reakcji zamroziło dotknięte rynki. Według TRM napastnik kontroluje w tej chwili ponad 420 tys. ETH i 18 270 BTC, czyli ok. 2,4 mld USD w aktywach, których nikt nie może zablokować. Już sama ta kwota przekracza każdą wcześniejszą kradzież w historii kryptowalut.
Binance obiecuje pokryć straty
Pierwszy publicznie odezwał się Changpeng Zhao, założyciel i główny udziałowiec giełdy. W czwartkowy wieczór napisał na X:
„To rzeczywiście wygląda na atak hakerski na Binance. Nie zarządzam już Binance (.com), ale jako akcjonariusz oczekuję, iż wszystkie środki użytkowników zostaną w pełni pokryte.”
Oficjalne stanowisko giełdy jest jednoznaczne: środki klientów są bezpieczne, a wszystkie straty pokryje fundusz SAFU (Secure Asset Fund for Users) oraz środki własne firmy. SAFU to rezerwa awaryjna utrzymywana w całości w bitcoinie i przeznaczona właśnie na sytuacje takie jak ta. Binance sięgnęła po nią już w 2019 roku, gdy hakerzy wyprowadzili 7 000 BTC, wtedy warte ok. 41 mln USD. Obecna skala jest jednak zupełnie inna. Giełda zapowiedziała publikację raportu technicznego i zaktualizowanego dowodu rezerw (Proof of Reserves) po zakończeniu prac naprawczych.
Wypłaty zostały wstrzymane. Według Yi He wpłaty działają normalnie, a wypłaty mają wracać stopniowo w ciągu 48 godzin, czyli najpóźniej w niedzielę. Przed wznowieniem giełda wzmacnia zabezpieczenia usługi wypłat i kontrolę adresów. Binance.US działa jako osobny podmiot i według Reutersa nie została dotknięta incydentem. Brak wpływu na swoją działalność zgłosił też Coinbase.
Skala zjawiska dobrze widać na tle bilansu giełdy. Binance ma ok. 335 mln zarejestrowanych użytkowników, a według raportu rocznego za 2025 rok przechowywała ok. 162,8 mld USD aktywów klientów. Strata nie zagraża więc wypłacalności firmy, przynajmniej według danych dostępnych na dziś. Jest jednak ogromnym ciosem wizerunkowym dla platformy, która od lat buduje narrację o bezpieczeństwie.
User funds are safe!
It does look like a hack on Binance. Appreciate the quick freeze from Tether (~$971m) and Circle (~$823m).
I don’t manage Binance (.com) anymore, but as a shareholder, I expect all user funds will be fully covered. https://t.co/oufpyNChxI
— CZ BNB (@cz_binance) October 29, 2026
Rynek reaguje spadkami
Reakcja notowań była natychmiastowa, choć mniej gwałtowna, niż mogłaby sugerować skala ataku. Bitcoin spadł o ponad 3% do 76 368 USD, najniżej od sześciu tygodni. Ether zjechał do dwumiesięcznego minimum na poziomie 2 178 USD. Najmocniej oberwał BNB, token mocno związany z ekosystemem Binance, który w ciągu doby tracił od 5 do ponad 8%, schodząc w okolice 694-710 USD. Bitcoin później częściowo odrobił straty i wrócił w okolice 78 tys. USD.
Nerwowość przeniosła się też na rynek akcji. Według Reutersa w handlu posesyjnym w USA akcje Coinbase straciły 4,8%, a Strategy (dawniej MicroStrategy), największego korporacyjnego posiadacza bitcoina, prawie 6%. CNBC odnotowało około 5-procentowy spadek kursu Circle. Według danych CoinGlass cytowanych przez TheStreet w ciągu doby na rynku kryptowalut zlikwidowano pozycje lewarowane o wartości ok. 985 mln USD, o 281% więcej niż dzień wcześniej.
Atak trafił na rynek, który i tak był pod presją. Bitcoin od miesięcy nie może wrócić w okolice szczytu powyżej 126 tys. USD z 2025 roku. Ciążą mu wyższe stopy procentowe w USA i słabszy popyt ze strony funduszy ETF. Szerzej o tym, jak warunki płynnościowe wpływają na wycenę BTC, pisaliśmy w analizie Bitcoin i koniec ery nadpłynności.
Pytania o zaufanie do giełd scentralizowanych
Rynkowy spadek to jednak tylko część historii. Atak wraca do starego dylematu kryptowalut: wygoda dużej, płynnej giełdy kontra ryzyko powierzania jej własnych środków. Tim Sun, starszy analityk HashKey Group z Hongkongu, mówi o tym wprost:
„To może jeszcze bardziej osłabić apetyt na ryzyko i skłonić inwestorów do ponownej oceny bezpieczeństwa aktywów trzymanych na scentralizowanych giełdach, a także ryzyka kontrahenta, wypłacalności i płynności.”
James Seyffart z Bloomberg Intelligence zauważył w rozmowie z agencją, iż opróżnianie gorących portfeli nie jest w kryptowalutach niczym nowym. Taka skala na największej giełdzie świata „zdecydowanie źle wygląda”, zwłaszcza iż to „kolejny incydent po poprzednim”. Bernardo Brites, prezes Trace Finance, wskazuje na nowy czynnik. Jego zdaniem odpieranie ataków staje się coraz trudniejsze, bo narzędzia AI wyszukują podatności szybciej, niż da się je łatać. Przewiduje, iż użytkownicy zaczną odchodzić od małych i średnich giełd, które nie udźwignęłyby straty takiej skali.
Ten argument działa w obie strony. Paradoksalnie kryzys może wzmocnić największych graczy, bo tylko oni mają bilans pozwalający pokryć kilkumiliardową stratę bez naruszania depozytów klientów. Jednocześnie przypomina o zasadzie, którą doświadczeni uczestnicy rynku powtarzają od lat: środki niepotrzebne do bieżącego handlu najlepiej trzymać poza giełdą. Jak działa takie rozwiązanie i czym różni się od trzymania kryptowalut na koncie giełdowym, wyjaśniamy w poradniku o tym, czym jest portfel sprzętowy dla kryptowalut.
Incydent pokazał też, jak bardzo scentralizowane stały się stablecoiny. Szybkie blokady Tethera i Circle uratowały miliardy dolarów. Jednocześnie potwierdziły, iż emitent może w kilkadziesiąt minut zamrozić dowolny adres, co dla części środowiska kryptowalutowego jest równie niepokojące jak sam atak.
Czego jeszcze nie wiemy
Wiele kluczowych kwestii pozostaje otwartych. Binance nie podała, co dzieje się z pozostałymi ok. 3,3 mld USD, których nie udało się zablokować. Nie opublikowała też pełnej analizy przyczyn (root cause). Wersja o zainfekowanym laptopie inżyniera jest na razie wstępna, a sama giełda podkreśla, iż incydent „wynika z wielu czynników”. Niewiadomą pozostaje również to, jak sprawnie przebiegnie wznowienie wypłat i czy nie wywoła ono fali masowego wycofywania środków z platformy. niedługo poznamy też reakcję regulatorów, dla których to bez wątpienia przypadek testowy.
TRM Labs ostrzega, iż w kolejnym etapie skradzione ETH i BTC prawdopodobnie trafią do mostów międzyłańcuchowych, serwisów wymiany i brokerów OTC. Branża będzie więc przez najbliższe tygodnie śledzić łańcuch „peel chain”, którym napastnik dzieli bitcoiny na transze po 1 000 i 100 BTC. Doświadczenia z Bybit pokazują, iż odzyskanie środków, które wymknęły się blokadom, jest wyjątkowo trudne. Wtedy hakerzy w ciągu kilku tygodni wyprali większość łupu.
Pierwszy sprawdzian Binance przejdzie w najbliższy weekend, gdy wypłaty mają wrócić. Drugi przyjdzie wraz z obiecanym raportem technicznym i nowym dowodem rezerw. Dopiero te dokumenty pokażą, czy największa giełda świata rzeczywiście udźwignęła największą kradzież w historii kryptowalut, czy tylko na razie zapewnia, iż tak jest.
.webp)
