Najbardziej niepokojącym aspektem opisywanego jako największy skoku w historii ludzkości jest to, że kryptografia działała dokładnie tak, jak zaprojektowano. Nikt nie złamał głównego klucza prywatnego wieczorem 29 października 2026 roku. Zamiast tego atakujący dotarł do wewnętrznego kontenera serwisowego przez skompromitowany laptop inżyniera DevOps i nakazał infrastrukturze podpisującej Binance opróżnić się.

W ciągu około 20 minut 6,3 miliarda dolarów zniknęło w 10 blockchainach, w tym Bitcoin, Ethereum, Solana i XRP. Incydent przewyższył ponury rekord z lutego 2025 roku, gdy północnokoreańska grupa Lazarus osuszyła około 1,5 miliarda dolarów z Bybit. Incydent w Binance był raportowany tutaj: https://technext24.com/news/hackers-steal-6-3-bn-from-binance-crypto-heist/

Gdy alerty on-chain rozprzestrzeniały się na X, współzałożyciel Binance Changpeng Zhao (CZ) wydał pierwsze publiczne przyznanie w wyraźnie powściągliwym wpisie: „User funds are safe! It does look like a hack on Binance. Appreciate the quick freeze from Tether ($971m) and Circle ($823m).” Wpis jest dostępny na https://x.com/cz_binance/status/2113029289155178716?a=_Um3FD_EavLoFhA6AWU&s=19.

Kilka minut później Zhao dodał: „I don’t manage Binance (.com) anymore, but as a shareholder, I expect all user funds will be fully covered.”

Do piątku, 30 października, około 3 miliardów dolarów skradzionych stablecoinów i tokenów zostało zamrożonych on-chain — mniej niż połowa łącznej kwoty. FBI i TRM Labs z wysokim prawdopodobieństwem powiązały skok z północnokoreańską jednostką TraderTraitor.

Atak nastąpił, gdy rynek absorbował 1,49 miliarda dolarów zlikwidowanych pozycji lewarowanych, a Bitcoin spadł poniżej 78 000 dolarów. CEO Binance Richard Teng odpowiedział w wystąpieniu wideo, obiecując korporacyjną gwarancję w wysokości 6,34 miliarda dolarów.

„We are committed to covering all hacked losses through our company funds. Your assets are safe,” powiedział Teng, zapewniając, że ubytek dotyczył tylko korporacyjnych portfeli gorących. „We never use any customer funds, so they are not impacted.”

Jednak postrzeganie skoku na Binance jako izolowanej porażki krypto pomija szerszy wzorzec. Ubytek z 29 października był finałem 31-dniowego globalnego załamania cyberbezpieczeństwa. Przez cały Czarny Październik obwony obronne chroniące serwery internetowe, banki i infrastrukturę aktywów cyfrowych zawodziły jednocześnie.

Pęknięcie fundamentów PHP2Shell

Siedem dni przed osuszeniem portfeli Binance Zhao opublikował na X ostrzeżenie, które później wydawało się prorocze. „Call me paranoid, but be extra careful visiting ANY website in the next few days, as some web admins are not always up-to-date with security patches,” napisał 21 października, odnosząc się do dwóch nowo ujawnionych luk w PHP. Powiązany raport jest dostępny na https://technext24.com/policy-and-tech/nigeria-php2shell-cybersecurity-response/.

Następnego dnia dodał maksymę inżynierską: „No crypto wallet is 100% safe. No software is bug-free. No tech is 100% secure.” Jego drugi wpis jest dostępny na https://x.com/cz_binance/status/2113462904435642556?a=jQb9RLbCOmUH6MqtmH8&s=19.

Luki stojące za ostrzeżeniem Zhao były znane jako PHP2Shell i oznaczone jako CVE-2026-109618 oraz CVE-2026-109619. Podwójne błędy pamięci use-after-free miały krytyczną ocenę dotkliwości CVSS v4.0 wynoszącą 9,2 i dotyczyły każdej domyślnej instalacji podstawowego środowiska uruchomieniowego PHP od wersji 5.4 do 8.5.11.

PHP zasila około 70% serwerowej infrastruktury internetu. Luki pozwalały nieuwierzytelnionym atakującym na zdalne wykonanie kodu i ujawnienie pamięci serwera — w tym tokenów sesji, prywatnych kluczy TLS i haseł baz danych — zanim kod aplikacji witryny został uruchomiony.

Eksploatacja rozpoczęła się podobno około 17 października, cztery dni przed tym, jak grupa PHP wydała awaryjne poprawki 21 października. Poprawione wersje to 8.5.12, 8.4.27, 8.3.36 i 8.2.35 — wydania, które operatorzy dotkniętych serwerów musieli zainstalować, aby zamknąć ekspozycję. CTO Cloudflare Dane Knecht niezwłocznie zgłosił „early attacks emerging” i ostrzegł, że zapory aplikacji internetowych oferują tylko tymczasowe zabezpieczenie.

„This is a goldmine for hackers,” powiedział Shahak Shalev, Global Head of Scam and AI Research w Malwarebytes. “They can hijack real websites to take advantage of the site’s reputation to do things like phishing people and serve malicious software from the trusted channel. The opportunities are endless.”

Giełdy krypto i nowoczesne firmy fintech często budują swoje podstawowe systemy w Go, Rust lub TypeScript. Jednak badacze bezpieczeństwa z Halborn zauważyli, że PHP pozostaje szeroko używany w witrynach marketingowych, portalach wsparcia i panelach administracji zaplecza otaczających te systemy. Wiele z tych usług zawiera aktywne klucze API i sekrety webhooków.

Gdy ta podstawowa infrastruktura internetowa znajdowała się pod presją, aktorzy zagrożeń spędzili październik na zbieraniu poświadczeń i włamywaniu się do instytucji na każdym kontynencie.

W Republice Południowej Afryki firma patologiczna Ampath Laboratories została zaatakowana przez grupę ransomware ByteToBreach. Ten sam aktor zagrożeń wcześniej w tym roku celował w nigeryjskie instytucje, w tym Sterling Bank i komisję Corporate Affairs Commission (CAC). ByteToBreach twierdził, że wyeksploatował 80 milionów dokumentacji pacjentów.

Atakujący celowali także w tradycyjne firmy finansowe i detaliczne. W Korei Południowej hakerzy użyli chińskiego narzędzia AI, aby do połowy miesiąca włamać się do 16 firm finansowych, kradnąc 68 000 dokumentów. Później celowali w Daishin Securities, ujawniając 38 490 dokumentów, a także Mirae Asset i wewnętrzne oprogramowanie grupowe giełdy krypto Bithumb 28 października.

We Włoszech oszuści użyli trzeminutowego klonu głosu prawnika wygenerowanego przez AI, aby przekonać kierownictwo Fideuram, prywatnego bankingu Intesa Sanpaolo, do przelania 108 milionów dolarów na zagraniczne konta. W Japonii firma IT GMO Internet stanęła w obliczu żądania okupu w wysokości 50 milionów dolarów po włamaniu na jej serwery forex i chmurowe. Sieć detaliczna MUJI ujawniła 27,26 miliona dokumentów klientów, podczas gdy Cathay Pacific straciła 53 000 dokumentów rezerwacji w wyniku włamania u dostawcy.

Sektor aktywów cyfrowych doznał dodatkowych incydentów przed atakiem na Binance. Producent portfeli sprzętowych Ledger ujawnił 12 października, że nieautoryzowane implanty LTE eSIM ukryte w urządzeniach sprzedanych przez zewnętrznego resellera CryptoBilis siphonowały 86 milionów dolarów środków użytkowników.

20 października konkurencyjny producent portfeli Keystone powiedział, że musiał zniszczyć 18 835 niesprzedanych urządzeń po tym, jak włamanie do zewnętrznego systemu śledzenia ujawniło 25 964 dokumentów kupujących oraz klucz weryfikacji produkcji. Do 28–29 października Coinbase potwierdził, że dane klientów zostały ujawnione przez dostawcę analityki Amplitude. Rynek predykcyjny Polymarket wstrzymał handel międzynarodowy po tym, jak porwany skrypt od brytyjskiego dostawcy monitoringu DebugBear osuszył 2,65 miliona dolarów z ponad 700 kont.

Trzy strukturalne zmiany

Trzy strukturalne zmiany pomagają wyjaśnić, dlaczego awarie bezpieczeństwa pojawiły się w globalnym systemie jednocześnie w październiku 2026 roku.

Po pierwsze, subwersja workflow coraz częściej zastępuje bezpośrednią kradzież kluczy. Jak napisał Zhao 21 października: “AI doesn’t need to break Bitcoin’s cryptography to cause damage; leaked data already enables more phishing, social engineering, etc.”

W Binance atakujący podobno nie ukradli kluczy prywatnych. Skompromitowali stację roboczą inżyniera, dotarli do kontenera serwisowego, który występuje o wypłaty, i wykorzystali niejawne zaufanie warstwy podpisującej do tego kontenera. Po uzyskaniu dostępu wykorzystali funkcję EIP-7702 Ethereum — zdolność protokołu pozwalającą zwykłym kontom blockchain na przyjęcie programowalności podobnej do smart kontraktów — aby zautomatyzować ubytek międzyłańcuchowy w ciągu kilku minut.

Po drugie, ofensywna AI stała się autonomiczna. W październiku grupy cyberprzestępcze wdrożyły platformy agentowej AI oparte na komercyjnych dużych modelach językowych — systemy autonomiczne zdolne do łączenia wieloetapowych zadań przy minimalnym nadzorze ludzkim — aby skanować niepoprawione serwery PHP2Shell, automatyzować przejęcia Active Directory przez kopie zapasowe ConnectWise i celować w ponad 400 instytucji finansowych w Ameryce Łacińskiej i Azji szybciej, niż ludzkie zespoły mogły je poprawiać.

Po trzecie, obwona otaczająca dostawców zewnętrznych upadła. Skrypt DebugBear Polymarket i tracker Amplitude Coinbase były wśród zewnętrznych narzędzi użytych do dotarcia do dotkniętych firm. Wycieki poświadczeń chmurowych w Railway i LiteLLM zilustrowały tę samą słabość: organizacje były wielokrotnie kompromitowane przez narzędzia dodane do ich stosów technologicznych.

Czarny Październik wykazał, że fundusz rezerwowy wart miliardy dolarów i magazynowanie klasy wojskowej nie mogą chronić ekosystemu, gdy pojedynczy niepoprawiony serwer PHP, zatruty skrypt dostawcy lub skompromitowany laptop inżyniera może nakazać sejfowi opróżnić się.