Hakerzy ukradli w czwartek około 6,3 miliarda dolarów z Binance w what jest obecnie największą kradzieżą kryptowalut w historii, zgodnie z informacjami giełdy i badaczy blockchain. Partnerzy branżowi zamrozili około 3 miliardów dolarów dotkniętych aktywów, a Binance oświadczył, że pokryje straty środkami własnymi.

Co się stało

30 października 2026 roku współzałożycielka Binance He Yi poinformowała, że giełda padła ofiarą cyberataku dotyczącego aktywów o wartości około 6,3 miliarda dolarów. Około 3 miliardów dolarów zostało zamrożonych przy pomocy partnerów branżowych, jak wynika z posta udostępnionego przez Wu Blockchain na X: „Binance Co-Founder He Yi Explains the $6.3 Billion Hack On October 30, 2026, Binance co-founder He Yi @heyibinance said Binance had suffered a cyberattack affecting approximately $6.3 billion in assets, of which around $3 billion had been frozen with assistance from industry…” Post na X

Binance nie ujawnił, jaka część skradzionych kryptowalut wróciła pod jego kontrolę. TRM Labs prześledziły pierwsze nieautoryzowane transfery do około 20:05 UTC w czwartek i poinformowały, że portfele Binance zostały opróżnione w kilku blockchainach.

Atakujący wymierzyli w gorące portfele, które giełdy utrzymują w połączeniu z internetem w celu obsługi wypłat, w przeciwieństwie do offline'owego zimnego magazynu wykorzystywanego do długoterminowego przechowywania aktywów. TRM Labs powiązały atak z północnokoreańską grupą TraderTraitor. FBI wcześniej obarczyło tę samą grupę odpowiedzialnością za kradzież 1,5 miliarda dolarów z Bybit w lutym 2025 roku, która była największą kradzieżą kryptowalut w historii przed atakiem z tego tygodnia. Binance nie potwierdził publicznie tożsamości atakujących.

Jak przebiegł atak

Współdyrektor Binance Richard Teng powiedział, że atakujący wykorzystali delegację EIP-7702 — standard Ethereum aktywowany w ramach aktualizacji sieci Pectra w maju 2025 roku. Ta funkcja pozwala portfelowi upoważnić oprogramowanie do działania w jego imieniu. Według Tenga delegacja dała atakującym kontrolę nad gorącym portfelem z pominięciem normalnych kontroli zatwierdzeń Binance.

W transkrypcji udostępnionej na X Teng powiedział: „Hi everyone, firstly, I want to thank you all for the support. Difficult times like these are a great reminder how strong our industry is when we work together. We are grateful to our partners that acted quickly to freeze the hacked assets; to global law…” Post Tenga na X

Teng dodał również, że „mechanizm samozniszczenia” wymazał narzędzia i ślady, co utrudniło śledztwo.

„To be clear: the attacker did not simply use one engineer's permissions, and this was not a single 'one-click' action” — powiedział Teng.

CEO Blockaid Ido Ben-Natan stwierdził, że kradzież prawdopodobnie umożliwiło skompromitowanie systemów podpisywania. Według niego atakujący mogli ukraść środki bez EIP-7702, choć ta funkcja mogła pomóc im obejść zabezpieczenia.

Binance poinformował, że śledczy wykryli dodatkowe naruszenia poza początkowo podejrzewanym skompromitowanym laptopem pracownika. Giełda oświadczyła, że nie znalazła dowodów na wyciek kluczy prywatnych portfeli. Chainalysis zidentyfikowała tysiące szybkich transakcji, które mogą wskazywać na zautomatyzowane pranie pieniędzy. Środki przemieszczały się między wieloma adresami, a w niektórych przypadkach wracały do wcześniej wykorzystywanych portfeli.

Binance deklaruje pokrycie strat

Binance oświadczył, że zarezerwował ponad 6,34 miliarda dolarów środków własnych na pokrycie strat. Kwota ta obejmuje 5 miliardów dolarów już posiadanych w dotkniętych tokenach. Giełda skupuje pozostałe tokeny poprzez giełdy i transakcje pozagiełdowe (OTC).

Rzecznik Binance odmówił podania adresów portfeli, powołując się na kwestie bezpieczeństwa. CertiK oświadczył, że potrzebuje dodatkowych informacji, aby zweryfikować posiadane aktywa.

Teng powiedział, że atak dotyczył własnego gorącego portfela Binance, a nie środków klientów. Jednak analiza danych rezerw przeprowadzona przez CoinDesk wykazała, że skompromitowane portfele wcześniej znajdowały się na liście aktywów zabezpieczających salda klientów. Ujawnienia proof-of-reserves mają pokazywać, że giełda posiada wystarczające aktywa na pokrycie zobowiązań wobec klientów.

Kradzież wpłynęła na rynki kryptowalut. Zdecentralizowany pożyczkodawca Aave jako środek ostrożności wstrzymał nowe depozyty i pożyczki, po czym wznowił działanie swoich rynków w piątek po południu. Takie wstrzymania są standardowym środkiem kontroli ryzyka dla protokołów pożyczkowych w okresach napięć rynkowych.

Wypłaty z Binance pozostają zawieszone, podczas gdy giełda odbudowuje i testuje swoje systemy. Depozyty i inne nieobjęte awarią usługi działają nadal. Binance planuje rozpocząć etapowe wznawianie wypłat w niedzielę 1 listopada po zakończeniu kontroli bezpieczeństwa.

Giełda planuje również wykonanie zrzutu proof-of-reserves w ciągu 12 godzin od ogłoszenia, a wyniki mają być dostępne w poniedziałek. Binance oczekuje, że w ciągu około 48 godzin opublikuje dodatkowe ustalenia techniczne.

Oryginalny raport CoinCentral