Binance potwierdził poważne naruszenie bezpieczeństwa dotyczące około 6,3 mld dolarów w aktywach cyfrowych, z czego blisko 3 mld dolarów zostało zamrożonych, podczas gdy giełda kryptowalut współpracuje z sieciami blockchain, emitentami stablecoinów i organami ścigania, aby powstrzymać to, co może stać się największą kradzieżą kryptowalut w historii.

Ujawnienie z 30 października nastąpiło po podejrzanych wypłatach o łącznej wartości początkowo 2,77 mld dolarów w pięciu blockchainach poprzedniego wieczoru. Wstępne dochodzenie Binance wskazuje, że napastnicy mogli przejąć kontrolę nad laptopem inżyniera DevOps, uzyskać dostęp do wewnętrznego kontenera serwisowego i złożyć nieautoryzowane transakcje wypłat.

Giełda tymczasowo zawiesiła wpłaty i wypłaty — to standardowy krok powstrzymujący podczas trwającego dochodzenia w sprawie bezpieczeństwa — cofnęła autoryzację dotkniętego adresu i zobowiązała się pokryć wszystkie straty ze swojego Secure Asset Fund for Users (SAFU), awaryjnego funduszu rezerwowego utworzonego w 2018 roku i finansowanego z części opłat transakcyjnych, oraz ze środków korporacyjnych. Binance oświadczył, że salda klientów pozostają chronione, choć dochodzenie nie ustaliło jeszcze ostatecznej kwoty do odzyskania ani pełnego zakresu naruszenia.

Laptop skompromitowanego inżyniera powiązany z naruszeniem bezpieczeństwa Binance

Incident zaczął przyciągać uwagę 29 października, gdy badacze blockchain wykryli niezwykle duże transfery z portfeli powiązanych z Binance na adresy poza publicznie znaną infrastrukturą powierniczą giełdy. Wstępne doniesienia mówiły o wypływach około 2,77 mld dolarów (Crypto Adventure).

Późniejsze śledzenie ujawniło znacznie większe zdarzenie. Ujawnienie dotyczące bezpieczeństwa z 30 października oszacowało wpływ na 6,3 mld dolarów, co stanowi znaczną eskalację względem wstępnych szacunków.

Podejrzewanym punktem wejścia był skompromitowany laptop należący do inżyniera DevOps. Śledczy uważają, że napastnik wykorzystał ten dostęp, aby dotrzeć do kontenera serwisowego zdolnego do składania nieautoryzowanych poleceń wypłat. Binance nie znalazł dowodów na to, że klucze prywatne portfeli zostały bezpośrednio ujawnione, co sugeruje, że atak mógł wykorzystać wewnętrzne uprawnienia operacyjne, a nie polegać na konwencjonalnej kradzieży klucza prywatnego. To rozróżnienie ma znaczenie, ponieważ przenosi kwestię bezpieczeństwa z przechowywania kluczy na wewnętrzne systemy autoryzacyjne, od których giełdy zależą przy przenoszeniu środków klientów — dokładnie te systemy, których dochodzenie jeszcze nie wyjaśniło w pełni.

Około 6,36 mld dolarów przemieszczono przez 10 blockchainów podczas zdarzenia, według analizy on-chain firmy TRM Labs. Większość aktywności miała miejsce w okresie około 20 minut, począwszy od 20:05 UTC 29 października.

Transfery obejmowały Ethereum, Bitcoin, Tron, XRP Ledger i Solanę, a także mniejsze ruchy w kilku innych sieciach. W sieci Ethereum śledczy zidentyfikowali użycie delegacji konta EIP-7702, która podobno pozwoliła kontraktowi kontrolowanemu przez napastnika przekierować środki z gorącego portfela Binance — typu portfela połączonego z internetem, którego giełdy używają do przetwarzania rutynowych wypłat. EIP-7702 to mechanizm Ethereum umożliwiający określone funkcje delegowania konta.

Inne dotknięte sieci wykazały konwencjonalne podpisane transakcje, co rodzi pytania o to, jak uzyskano dostęp do wewnętrznych systemów autoryzacji wypłat Binance. Dokładny związek między tymi technikami on-chain a skompromitowanym urządzeniem pracownika pozostaje przedmiotem dochodzenia.

Tether, Circle i partnerzy blockchain zamrażają 3 mld dolarów

Kilku głównych emitentów kryptowalut podjęło działania w celu zablokowania aktywów powiązanych z podejrzewanym napastnikiem. Tether zamroził ponad 1,567 mld USDT związanych ze zdarzeniem, a Circle zablokował ponad 800 mln USDC w koordynacji ze śledczymi.

Ripple, według doniesień, również ograniczył około 200 mln dolarów dotkniętych aktywów, a World Liberty Financial zamroził około 27 mln dolarów w tokenach USD1. Dodatkowe działania podjęli dostawcy infrastruktury blockchain, w tym Rada Bezpieczeństwa Arbitrum, która ograniczyła aktywa związane z eksploitrem.

Razem te środki przyczyniły się do zamrożenia około 3 mld dolarów w aktywach, według najnowszych potwierdzonych danych Binance. Zamrożenie aktywów uniemożliwia ich transfer przez dotknięte kontrakty tokenów lub sieci — możliwość, którą główni emitenci stablecoinów, tacy jak Tether i Circle, posiadają na poziomie kontraktu — ale niekoniecznie oznacza, że środki zostały zwrócone do Binance.

Pozostała ekspozycja jest znaczna. Na podstawie wstępnego szacunku giełdy wynoszącego 6,3 mld dolarów około 3,3 mld dolarów znajduje się poza zgłoszoną kwotą zamrożoną. Kwota ta niekoniecznie odpowiada jednak ostatecznej nieodzyskiwalnej stracie, ponieważ działania śledcze i odzyskiwanie trwają.

Binance zaangażował organy ścigania, emitentów tokenów i firmy zajmujące się wywiadem blockchainowym, aby śledzić dodatkowe środki i zapobiec dalszemu ich przemieszczaniu. Giełda zobowiązała się również uzupełnić wszelkie straty ze swojego awaryjnego funduszu SAFU i środków korporacyjnych, obiecując zaktualizowany dowód rezerw (Proof of Reserves) po zakończeniu naprawy.

Północnokoreańska grupa hakerska powiązana z atakiem

Dochodzenie wzbudziło obawy o możliwe zaangażowanie północnokoreańskich cyberprzestępców. TRM Labs przypisało atak grupie TraderTraitor, operacji hakerskiej powiązanej z Koreą Północną, kojarzonej z wyrafinowanymi kradzieżami kryptowalut. Firma wyraziła wysoki poziom pewności swojej oceny w oparciu o aktywność blockchain i inne dane wywiadowe.

Podejrzewane powiązanie jest istotne z uwagi na historię Korei Północnej w celowaniu w platformy kryptowalutowe. W lutym 2025 roku hakerzy powiązani z tym krajem ukradli około 1,5 mld dolarów z Bybita w ataku, który ujawnił słabości bezpieczeństwa instytucjonalnych portfeli — kradzież, która przed tym zdarzeniem była największym włamaniem w historii kryptowalut. Najnowsze zdarzenie nastąpiło także po wrześniowym naruszeniu portfela Bitget o wartości 387,5 mln dolarów, w którym skompromitowane wewnętrzne dane dostępowe umożliwiły nieautoryzowane polecenia wypłat bez bezpośredniego ujawnienia kluczy prywatnych — schemat ściśle przypominający domniemany mechanizm naruszenia Binance.

Dla Binance natychmiastowymi priorytetami pozostają ochrona sald klientów, zabezpieczenie infrastruktury operacyjnej i odzyskanie dotkniętych aktywów. Współzałożyciel Changpeng Zhao, który ustąpił ze stanowiska dyrektora generalnego w 2023 roku, przyznał, że zdarzenie wydawało się włamaniem, i wyraził przekonanie, że klienci zostaną w pełni pokryci, w poście na X.

Zdarzenie wpłynęło również na rynki kryptowalut — Bitcoin spadł poniżej 79 000 dolarów w początkowej reakcji, a BNB odnotował ostrzejszy spadek, gdy traderzy oceniali potencjalne konsekwencje operacyjne i finansowe dla giełdy. Binance nie ogłosił potwierdzonego harmonogramu przywrócenia wpłat i wypłat.

Po zakończeniu dochodzenia oczekiwany jest pełny raport techniczny. Ma on przynieść dalsze wyjaśnienia dotyczące punktu wejścia ataku, dotkniętych systemów i awarii autoryzacji wypłat.

Ile z pozostałych około 3,3 mld dolarów ostatecznie uda się odzyskać, kiedy wznowione zostaną wpłaty i wypłaty oraz co ujawni raport techniczny — to ukształtuje ostateczną ocenę skali zdarzenia. Przy miliardach dolarów wciąż objętych śledztwem i działaniami odzyskiwania ostateczny wpływ finansowy pozostaje niepewny. To naruszenie należy już do najbardziej doniosłych incydentów bezpieczeństwa giełd kryptowalut, a jego skala może przewyższyć wszystkie dotychczas odnotowane kradzieże kryptowalut, jeśli wstępne szacunki się potwierdzą.