Binance oszacowała łączny wpływ czwartkowego incydentu bezpieczeństwa na około 6,3 miliarda dolarów i poinformowała, że około 3 miliardy dolarów dotkniętych aktywów zostało zamrożonych onchain przy pomocy partnerów blockchainowych. Szacowana skala sytuowałaby ten incydent wśród największych w historii branży, przewyższając około 1,5 miliarda dolarów zabranych z Bybita w lutym 2025 roku, co było dotychczas największą odnotowaną kradzieżą z giełdy kryptowalut.

Giełda początkowo podała, że skompromitowany laptop inżyniera DevOps mógł umożliwić atakującemu dostęp do kontenera serwisowego i przesłanie nieautoryzowanych transakcji wypłat. Binance poinformowała później, że śledztwo ujawniło „dodatkowe punkty włamania”.

W aktualizacji śledztwa Binance oświadczyła: „Nasze wstępne śledztwo sugerowało, że incydent bezpieczeństwa mógł obejmować skompromitowany laptop, jednak nasze dalsze śledztwo ujawniło dodatkowe punkty włamania. Był to złożony atak i robimy wszystko, co w naszej mocy, w koordynacji…”

Oświadczenie zostało opublikowane przez Binance na X 30 października 2026 roku: https://twitter.com/binance/status/2116089661408108712

Giełda oświadczyła, że nie znalazła dowodów na wyciek jakiegokolwiek klucza prywatnego portfela. Binance początkowo zawiesiła wpłaty i wypłaty, cofnęła autoryzację dotkniętego adresu oraz rozpoczęła współpracę z organami ścigania i firmami zajmującymi się analizą blockchain w celu śledzenia i odzyskania środków.

Binance oświadczyła, że pokryje wszystkie straty ze swojego Secure Asset Fund for Users, czyli SAFU, awaryjnego funduszu rezerwowego dla użytkowników, a także ze środków firmy. Fundusz został utworzony w 2018 roku i jest finansowany z części opłat transakcyjnych, co daje giełdzie dedykowany bufor właśnie na tego typu sytuacje awaryjne. Giełda ponownie podkreśliła, że „środki użytkowników są bezpieczne”.

Wpłaty wróciły do normy w piątek rano, poinformował dyrektor generalny Binance Richard Teng, natomiast wypłaty pozostały zawieszone, ponieważ firma przeprowadzała „przebudowę zabezpieczeń usługi wypłat i powiązanych z nią adresów”. Binance oświadczyła, że nadal jest na dobrej drodze do wznowienia wypłat w ciągu 45 godzin od rozpoczęcia zawieszenia.

Teng oświadczył, że atakujący „nie po prostu użył uprawnień jednego inżyniera i nie było to pojedyncza akcja ‘jednego kliknięcia’”, opisując incydent jako „bardziej złożony proces ataku”. Dodał: „Nasze śledztwo nie przypisało odpowiedzialności żadnej konkretnej osobie”.

Oświadczenie Tenga zostało opublikowane na X 30 października 2026 roku: https://twitter.com/_RichardTeng/status/2116072080525656150

Binance oświadczyła, że nadal zbiera fakty i opublikuje „szczegółowe techniczne podsumowanie po zdarzeniu, gdy tylko śledztwo zostanie zakończone, a każdy fakt zweryfikowany”. Teng dodał również, że giełda opublikuje zaktualizowany Proof of Reserves po zakończeniu działań naprawczych – raport mający wykazać, że posiadania giełdy pokrywają salda jej klientów.

Firma analityczna blockchain Arkham oszacowała, że około 6,01 miliarda dolarów zostało zabranych z gorących portfeli Binance na dziewięciu blockchainach między 16:10 a 19:05 czasu wschodnioamerykańskiego w czwartek. Gorące portfele to portfele połączone z internetem, których giełdy używają do przetwarzania wypłat, w odróżnieniu od offline’owego zimnego magazynu. Według Arkham emitenci zamrozili 2,80 miliarda dolarów aktywów, podczas gdy około 2,9 miliarda dolarów w Ethereum, Bitcoin, Tron, Solana i innych tokenach pozostaje możliwe do przesunięcia.

Arkham poinformowała, że atakujący kontynuował przesuwanie środków. Wczesnym rankiem w piątek portfele przesłały 38,82 miliona dolarów w Ethereum na nowy adres, zachowując przy tym 1,12 miliarda dolarów w ETH. Godziny później adres Tron zidentyfikowany przez Arkham jako należący do atakującego przesłał około 2,1 miliona dolarów w TRX na dziewięć nowych adresów w ramach 14 transferów. Ten ruch jest widoczny dla każdego obserwującego łańcuch, co pozwala firmom analitycznym śledzić środki, a partnerom koordynować zamrożenia w miarę przemieszczania się pieniędzy.

Raport Arkham jest dostępny na X: https://twitter.com/arkham/status/2116022327674810570

Emitenci stablecoinów zamrażają aktywa

Emitenci stablecoinów przystąpili do zamrażania aktywów, gdy środki opuszczały Binance. Zarówno USDT, jak i USDC są scentralizowanymi tokenami, których emitenci mogą umieszczać adresy na czarnej liście – mechanizmu zamrażania, jakiego nie mają natywne aktywa łańcuchowe, takie jak Bitcoin czy Ether. Tether i Circle zamroziły około 975,1 miliona USDT i 823 miliony USDC przechowywane w głównym portfelu odbiorczym, o łącznej wartości około 1,8 miliarda dolarów. Decrypt poinformował o zamrożeniach w czwartek, kiedy onchainowe szacunki określały wypływ na 5,57 miliarda dolarów.

Współzałożyciel Binance Changpeng „CZ” Zhao podziękował obu emitentom za „szybkie zamrożenie”.

Na stan z piątkowego ranka strona podmiotu atakującego w serwisie Arkham wykazywała posiadania wynoszące około 18 270 BTC, 488 364 ETH, 663,6 miliona TRX i 970 551 SOL, wraz ze zamrożonymi saldami stablecoinów.

Oficjalne ogłoszenie Binance jest dostępne tutaj: https://www.binance.com/en/support/announcement/detail/c5a8729a97ac486d963784d96c5642d7