Binance oszacowała łączny wpływ poważnego incydentu bezpieczeństwa na około 6,3 mld USD, przy czym około 3 mld USD dotkniętych aktywów zostało już zamrożonych on-chain. Giełda kryptowalut podejrzewa, że atakujący wykorzystali zhakowany laptop pracownika do złożenia nieautoryzowanych transakcji wypłat, a wypłaty zostały wstrzymane w związku z modernizacją dotkniętej infrastruktury.

W oficjalnym ogłoszeniu z 30 października Binance poinformowała, że nie znalazła dowodów na wyciek kluczy prywatnych portfeli. Giełda zobowiązała się pokryć straty klientów z Secure Asset Fund for Users (SAFU) oraz środków własnych firmy. Rezerwa, utworzona w 2018 roku i finansowana z części opłat transakcyjnych, służy pokrywaniu strat użytkowników w sytuacjach awaryjnych na platformie.

W kolejnej aktualizacji na X Binance wyjaśniła, że wpłaty działają normalnie. Wypłaty pozostają jednak wstrzymane, ponieważ zespół ds. bezpieczeństwa modernizuje infrastrukturę wypłat, a firma poinformowała, że oczekuje wznowienia usług w ciągu 48 godzin.

Śledztwo wskazuje na zhakowany laptop pracownika

Wstępne ustalenia Binance wskazują na zhakowany laptop należący do inżyniera DevOps. Śledczy uważają, że urządzenie mogło zapewnić dostęp do kontenera serwisowego, który atakujący miał podobno wykorzystać do złożenia nieautoryzowanych transakcji wypłat.

Giełda podkreśliła, że śledztwo pozostaje niezakończone, a pełna ścieżka ataku nie została ustalona. Potwierdziła również, że nie znalazła dowodów na wyciek klucza prywatnego — rozróżnienie to sugeruje, że incydent mógł dotyczyć skompromitowanych systemów operacyjnych, a nie bezpośredniego ujawnienia poświadczeń portfeli.

W ramach natychmiastowej reakcji Binance cofnęła autoryzację dotkniętego adresu, a zespół ds. bezpieczeństwa rozpoczął przegląd usług wypłat i powiązanych adresów, aby zapobiec dalszej nieautoryzowanej aktywności. Firma obiecała szczegółowy techniczny raport po tym, jak śledczy zweryfikują pierwotną przyczynę incydentu. W śledztwie pomagają organy ścigania oraz firmy zajmujące się analizą blockchain.

Szacowane straty sięgają 6,3 mld USD, 3 mld USD zamrożone

Binance oszacowała łączny wpływ finansowy incydentu na około 6,3 mld USD — kwotę znacznie przekraczającą wstępne szacunki blockchainowe wynoszące około 5,8 mld USD. Po potwierdzeniu przekroczyłaby również około 1,5 mld USD wykradzione z giełdy Bybit w lutym 2025 roku, co było dotąd największą kradzieżą kryptowalut w historii. Giełda poinformowała, że około 3 mld USD dotkniętych aktywów zostało już zamrożonych on-chain dzięki współpracy z sieciami blockchain, emitentami stablecoinów i partnerami branżowymi. Ta szybkość odzwierciedla strukturalną cechę rynku stablecoinów: emitenci tacy jak Tether i Circle dysponują funkcjami zamrażania, które mogą blokować tokeny pod znacznymi adresami portfeli — zdolnościami wcześniej stosowanymi w reakcjach na inne ataki.

CEO Tether Paolo Ardoino wcześniej poinformował o zamrożeniu ponad 1,567 mld USD w USDT związanym z incydentem. CEO Circle Jeremy Allaire potwierdził również ograniczenia dotyczące ponad 800 mln USD w USDC. Osobno współzałożycielka Binance Yi He poinformowała, że Arbitrum Security Council zamroził około 30,5 mln USD powiązanych z atakiem. Tych poszczególnych kwot nie należy dodawać do 3 mld USD podanych przez Binance bez potwierdzenia, że stanowią one odrębne kwoty.

Tymczasem firma analityczna Chainalysis oszacowała, że na dzień 30 października o godz. 00:30 UTC skradziono co najmniej 5,912 mld USD. Szef badań firmy Eric Jardine powiedział, że śledczy zidentyfikowali przepływy w kilku blockchainach.

Poszczególne liczby dotyczą różnych aspektów incydentu: 6,3 mld USD to szacowany wpływ Binance, podczas gdy 3 mld USD obejmuje zamrożone aktywa. Żadna z tych liczb nie określa, ile środków zostało zwróconych giełdzie.

Wypłaty pozostają wstrzymane, a Binance obiecuje odszkodowania

Binance początkowo wstrzymała zarówno wpłaty, jak i wypłaty podczas śledztwa — to standardowy krok izolacyjny podczas aktywnej reakcji na incydent bezpieczeństwa. Kolejna aktualizacja serwisowa wyjaśniła, że wpłaty działają normalnie, podczas gdy wypłaty pozostają wstrzymane, a inżynierowie przeglądają dotkniętą infrastrukturę. Harmonogram wznowienia usługi w ciągu 48 godzin pozostaje szacunkowy.

Giełda zobowiązała się wypłacić odszkodowania poszkodowanym klientom z awaryjnej rezerwy SAFU oraz środków korporacyjnych i utrzymuje, że środki klientów są bezpieczne.

Założyciel Binance Changpeng Zhao, który ustąpił ze stanowiska dyrektora generalnego w listopadzie 2023 roku, stwierdził, że incydent wygląda na atak hakerski, i docenił reakcję emitentów stablecoinów. Zhao zaznaczył, że nie zarządza już Binance, ale pozostaje akcjonariuszem.

CEO Coinbase Brian Armstrong również zaoferował pomoc. W oświadczeniu z 30 października Armstrong powiedział, że Coinbase blokuje transfery na skompromitowane portfele i skontaktował się z Binance. Skoordynowana reakcja odzwierciedla ogólnobranżowe wysiłki na rzecz uniemożliwienia atakującym przemieszczania środków przez inne usługi kryptowalutowe.

Incydent rodzi pytania o rezerwy giełdy

Atak wzbudził również pytania o aktywa zabezpieczające salda klientów Binance. Raportowanie Proof of Reserves stało się powszechną praktyką branżową po upadku FTX w 2022 roku, gdy giełdy znalazły się pod presją wykazania pełnego zabezpieczenia depozytów klientów. Przegląd Proof of Reserves Binance z 1 października zidentyfikował dotknięty incydentem portfel gorący wśród zgłoszonych adresów rezerwowych giełdy, a analiza sugerowała, że niektóre wskaźniki zabezpieczenia aktywów mogły obniżyć się po nieautoryzowanych transferach.

Jednak wcześniejszy migawka rezerw nie może określić aktualnej pozycji zabezpieczenia Binance. Giełda poinformowała, że po zakończeniu prac naprawczych opublikuje zaktualizowany Proof of Reserves — raport, który może wyjaśnić, jak Binance zastąpiła dotknięte aktywa i sfinansowała zobowiązanie do wypłat odszkodowań.

Rynek reaguje, a kluczowe pytania pozostają otwarte

Incydent wpłynął również na rynki kryptowalut — Bitcoin i inne główne tokeny osłabły, gdy inwestorzy oceniali potencjalne konsekwencje finansowe i operacyjne.

Na razie kluczowe pytania dotyczą ostatecznej kwoty kradzieży, odzyskania zamrożonych aktywów i harmonogramu wznowienia wypłat. Binance poinformowała, że jej zespoły będą dalej śledzić środki i współpracować z organami. Firma nie ogłosiła zakończonego odzysku ani nie opublikowała końcowego raportu ze śledztwa.