Binance potwierdziło w piątek, że atakujący ukradli około 6,3 miliarda dolarów w wielu blockchainach, w czym giełda określiła jako największą kradzież w historii kryptowalut. Firma zobowiązała się pokryć wszystkie straty.

Sama na Ethereum około 2,5 miliarda dolarów zostało wyprowadzonych z portfela Binance w mniej niż cztery minuty przy użyciu funkcji EIP-7702 tej sieci, a około 3 miliardy dolarów dotkniętych aktywów zostało od tego czasu zamrożonych.

Giełda podała, że wstępne dochodzenie sugerowało, iż incydent bezpieczeństwa mógł wiązać się z przejętym laptopem, jednak późniejsze śledztwo ujawniło dodatkowe punkty włamu.

Investigation update: Our initial investigation suggested that the security incident may have involved a compromised laptop, however our subsequent investigation has uncovered additional points of breach. This was a complex attack, and we are doing all we can in coordination… pic.twitter.com/FQQ3vKT6GU

— Binance (@binance) October 30, 2026

Wyprowadzenie z Ethereum w cztery minuty

Atakujący wykorzystał EIP-7702, funkcję uruchomioną w maju 2025 roku w ramach aktualizacji Pectra Ethereum, aby przenieść około 2,5 miliarda dolarów w etherze i tokenach z portfela Binance w mniej niż cztery minuty w czwartek.

Większość portfeli Ethereum jest kontrolowana przez jeden klucz prywatny i nie może egzekwować reguł takich jak limity wydatków. EIP-7702 pozwala zwykłemu portfelowi pożyczyć kod ze smart kontraktu poprzez podpisanie krótkiej wiadomości zwanej autoryzacją. Funkcja została stworzona, aby pomóc portfelom w grupowaniu płatności i umożliwić osobom trzecim pokrywanie opłat transakcyjnych.

W ciągu kilku tygodni od uruchomienia aktualizacji firma handlowa Wintermute odkryła, że większość wczesnych delegacji wskazywała na skrypty "sweeper" – programy przekazujące środki portfela złodziejowi – co było wczesnym sygnałem, że funkcja jest nadużywana do kradzieży.

How the Binance hack worked: The attacker exploited EIP-7702 – an Ethereum Pectra upgrade That lets a regular wallet temporarily act as a smart contract with a valid private key signature. Hacker pre-collected 50 EIP-7702 authorizations with sequential nonces Not knowing the… pic.twitter.com/Cq5lv8Qwc7

— philarekt (@philarekt) October 29, 2026

Jak przebiegł atak

Atakujący rozpoczął zasilał swój główny portfel przez Tornado Cash, usługę miksera kryptowalut, począwszy od środy. Przetestował plan na własnych portfelach i wdrożył kontrakt sweeper około 16:00 UTC w czwartek, skonfigurowany tak, by mógł nim operować wyłącznie portfel atakującego.

O 20:20 UTC atakujący wysłał pojedynczą transakcję zawierającą 50 autoryzacji. Każda była podpisana przez portfel oznaczony na Etherscan jako "Binance 14" i zawierała inną wartość licznika transakcji, czyli nonce, tak aby jedna z nich pasowała, gdy portfel kontynuował wysyłanie wypłat. Ethereum zaakceptowało autoryzację numer 18 914 809 i zignorowało pozostałe 49.

O 20:24 UTC atakujący przeniósł około 167 464 ETH i 63 tokeny, w tym około 1,6 miliarda USDT. Kolejne depozyty klientów zostały wymiecione z portfela o 21:04 i 21:44 UTC. Według TRM Labs atakujący użył również portfela, aby nakazać osobnemu portfelowi Binance wysłanie 823 milionów USDC. Pozwolenie zostało odebrane dopiero o 00:10 UTC w piątek – prawie cztery godziny po pierwszej transakcji.

Kradzież wykraczała poza Ethereum

Operacja nie ograniczała się do Ethereum. Atakujący przeniósł także 18 270 bitcoinów, setki milionów XRP oraz środki na Solanie i Tron. Te sieci nie korzystają z EIP-7702, a środki opuściły portfel zwykłymi podpisanymi transferami, jak podało TRM Labs.

Dochodzenie wskazuje na przejęty laptop

Współ-CEO Binance Richard Teng powiedział, że wstępne ustalenia wskazywały na przejęty laptop inżyniera DevOps. Stwierdził, że atak nie był pojedynczą akcją "jednego kliknięcia" i że nie było dowodów na wyciek kluczy prywatnych.

Binance poinformowało później, że śledczy znaleźli dodatkowe punkty włamu, ale firma nie ujawniła ich ani nie wyjaśniła, w jaki sposób atakujący uzyskał podpisy.

Firmy bezpieczeństwa zabierają głos

Firmy bezpieczeństwa stwierdziły, że aktualizacja nie spowodowała ataku, ale mogła pomóc atakującym obejść kontrole. Ido Ben-Natan, CEO firmy bezpieczeństwa Blockaid, powiedział, że atakujący mogli ukraść środki bez EIP-7702, ale funkcja pozwoliła im zrobić to jednym ruchem i mogła pomóc obejść niektóre kontrole. Ivo Georgiev, CEO dostawcy portfeli Ambire, przedstawił odmienne ocenę, twierdząc, że funkcja nie miała większego znaczenia, ponieważ hakerzy mogli już autoryzować transakcje.

Ponieważ operacja obejmowała także zwykłe podpisane transfery w sieciach nienależących do EIP-7702, incydent nie dowodzi, że sama funkcja Ethereum odpowiadała za całą kradzież. Dodatkowe punkty włamu i wciąż nieopublikowana ścieżka ataku pozostawiają zakres ewentualnych zmian w zakresie bezpieczeństwa nierozstrzygniętym.

Binance zobowiązuje się pokryć straty

Binance podało, że około 3 miliardy dolarów dotkniętych aktywów zostało zamrożonych. Giełda planuje użyć funduszu awaryjnego SAFU oraz środków własnych, aby pokryć straty. Pełna ścieżka ataku nie została opublikowana. Dalsze wyjaśnienia będą zależeć od dochodzenia Binance, w tym od wyjaśnienia dodatkowych punktów włamu i sposobu uzyskania podpisów.