Osiem tygodni niezauważonego dostępu przed rekordowym skokiem na Binance o wartości 6,3 miliarda dolarów

Hakerzy, którzy 29 października ukradli z Binance około 6,3 miliarda dolarów, mieli podobno dostęp do giełdy przez osiem tygodni, zanim przystąpili do działania. Sama kradzież była błyskawiczna; przygotowania nie, i to właśnie ta rozbieżność jest najbardziej niepokojącym elementem tej historii. Atak wymierzył w hot wallety Binance — czyli internetowe portfele, które giełdy utrzymują online do obsługi codziennych wpłat i wypłat klientów — i jest największą kradzieżą aktywów cyfrowych do tej pory.

Dwadzieścia minut akcji, tygodnie cierpliwości

Atak rozpoczął się około 20:05 UTC 29 października 2026 r., a większość operacji rozegrała się w ciągu około 20 minut. W tym czasie atakujący przemieszczali środki przez ponad dziesięć blockchainów, w tym Ethereum, Bitcoin i Solana. Skoordynowane opróżnianie tak wielu sieci wymaga planowania, a nie improwizacji. Rozproszenie środków dodatkowo zawęża możliwości odzysku: narzędzia do śledzenia i zamrażania skradzionych funduszy różnią się w zależności od łańcucha, a nie każdy przekazywany aktywo da się przechwycić.

Przygotowania rozciągały się — jak się podaje — znacznie dalej wstecz. Badanie incydentu wskazuje na okres przygotowań, który rozpoczął się najpóźniej w czerwcu 2026 r. Oś czasu obejmuje również konkretne kroki 20 października, a testowanie wewnętrznego dostępu miało podobno miejsce około 36 godzin przed atakiem.

Jak się dostali do środka

Śledztwo Binance wykazało, że włamanie było efektem wielowarstwowej kampanii opartej na inżynierii społecznej, czyli manipulacji ludźmi i zaufanymi procesami, a nie bezpośredniego złamania zabezpieczeń kryptograficznych. Taktyki obejmowały fałszywą rozmowę kwalifikacyjną i zainfekowane narzędzia do tworzenia oprogramowania, które umożliwiły atakującym wejście do wewnętrznych systemów Binance. Stamtąd mogli przepychać nieautoryzowane transakcje.

Co istotne, atakujący nie musieli naruszać kluczy prywatnych. Klucze prywatne to kryptograficzne hasła kontrolujące portfele kryptowalutowe i zwykle traktuje się je jako klejnoty koronne bezpieczeństwa giełd.

Włamanie przypisano grupie TraderTraitor, wspieranej przez państwo północnokoreańskie. Ta sama grupa jest powiązana z wcześniejszymi atakami, w tym z kradzieżą 1,5 miliarda dolarów z Bybit w lutym 2025 r., która była wówczas przełomową stratą dla scentralizowanej giełdy. Kwota z Binance jest ponad cztery razy większa.

Kontrola szkód w Binance

Binance natychmiast po kradzieży wstrzymał wypłaty, a później przywracał je etapami. Giełda przeznaczyła około 6,34 miliarda dolarów ze środków korporacyjnych na pokrycie strat, a do 31 października wskazała, że około 98% skradzionych aktywów zostało uzupełnionych.

W akcji włączyli się także partnerzy i emitenci stablecoinów. Około 2,85 do 3 miliardów dolarów skradzionych środków zostało zamrożonych lub przechwyconych. Emitenci stablecoinów mogą blokować tokeny na poziomie kontraktu, skutecznie neutralizując część łupów dla złodziei. Ta kontrola istnieje tylko dla tokenów, których kontrakty zarządzane są przez emitentów — dlatego łup rozproszony na tak wielu łańcuchach nie może zostać w ten sposób zneutralizowany w całości.

Binance zlecił również niezależny przegląd bezpieczeństwa. Jego deklarowanym celem jest analiza włamania i wzmocnienie odporności giełdy na przyszłość.

Znany scenariusz w większej skali

Hakerzy powiązani z Koreą Północną od lat doskonalą specyficzne podejście do celów kryptowalutowych, a przypadek Binance wpisuje się w ten schemat: cierpliwa infiltracja, manipulacja ludźmi, a następnie szybkie wyjście.

Fałszywe rozmowy kwalifikacyjne są szczególnie skuteczną przynętą. Deweloper, który sądzi, że wykonuje test techniczny, może uruchomić kod lub zainstalować narzędzia bez tej ostrożności, jaką zastosowałby wobec nieznanego pliku. Zainfekowane narzędzia deweloperskie to rozszerzenie tej samej idei: inżynierowie ufają swoim narzędziom pracy, a to zaufanie staje się punktem wejścia.

Co to oznacza

Dla giełd najważniejsza lekcja jest taka, że bezpieczeństwo hot walletów jest tak silne, jak systemy wewnętrzne mogące autoryzować z nich transakcje. Ochrona kluczy prywatnych jest konieczna, ale zdecydowanie niewystarczająca, gdy intruz może działać wewnątrz procesu zatwierdzania.

Ośmiotygodniowy okres dostępu przyciągnie zapewne największą uwagę. To wykrywanie, a nie tylko prewencja, jest obszarem, w którym niezależny przegląd będzie musiał dostarczyć odpowiedzi.

Częściowe zamrożenie około 2,85 do 3 miliardów dolarów uwypukla kolejną zależność: emitenci stablecoinów i firmy partnerskie pełnią teraz rolę faktycznego hamulca awaryjnego przy wielkich kradzieżach, co wzmacnia argument za scentralizowanymi narzędziami interwencji, którym część środowiska krypto nadal się sprzeciwia.

Dla użytkowników praktyczny wniosek dotyczy mniej samego Binance, a bardziej tego, jak działa przechowywanie środków. Fundusze na każdej scentralizowanej giełdzie zależą od jej wewnętrznych kontroli, rezerw i zdolności do przyjęcia ciosu, gdy te kontrol zawodzą. Tym razem Binance miał rezerwy. Otwarte pytanie dla branży brzmi: ile innych platform mogłoby powiedzieć to samo, gdyby grupa mająca tygodnie niezauważonego dostępu wybierze następnie je.