Portfele powiązane z podejrzewanym hackiem Binance otrzymały dziesiątki tysięcy ETH z kontraktów Uniswap i pożyczyły 19 762 ETH na Aave pod zastaw około 60 milionów dolarów w USDT. Nie ma wskazówek, że któraś z tych aplikacji została wykorzystana.

Na dzień 22:07 UTC około 253 000 ETH o wartości około 570 milionów dolarów znajdowało się w dwóch portfelach bez żadnych transferów wychodzących. W przeciwieństwie do scentralizowanych stablecoinów ETH nie ma emitenta, który mógłby zamrozić ten zasób.

Działania te nastąpiły w momencie, gdy sprawca odpowiedzialny za opróżnianie portfeli Binance wykorzystywał zdecentralizowane giełdy i protokoły pożyczkowe jako drogi wyjścia. Dane z Etherscan dla 10 portfeli, z których osiem jest oznaczonych jako exploity, pokazują, że podejrzewany sprawca wymienia stablecoiny, które emitenci mogą zamrozić, na ETH, którego żaden emitent nie jest w stanie zablokować.

Portfele powiązane z największą giełdą kryptowalut na świecie zostały w czwartek opróżnione co najmniej o 5,5 miliarda dolarów, a suma nadal rośnie. Binance oświadczył, że bada incydent bezpieczeństwa, ale nie potwierdził, czy środki użytkowników zostały dotknięte. Eksperci ds. bezpieczeństwa powszechnie uważają, że giełda została rzeczywiście zhakowana. Po potwierdzeniu incydent byłby największym hackiem w 18-letniej historii branży kryptowalut.

Emitenci stablecoinów Tether i Circle szybko umieścili adresy powiązane z podejrzewanym sprawcą na czarnych listach, zamrażając część środków i uniemożliwiając ich dostęp. Jako scentralizowani emitenci obie firmy mogą blokować adresy, aby ich tokeny nie mogły się przemieszczać. Jak dotąd różni dostawcy stablecoinów zamrozili ponad 2 miliardy dolarów w USDT i USDC. ETH nie ma emitenta, co oznacza, że środków wymienionych na ETH przed zamrożeniem nie można już zablokować w ten sam sposób.

Wymiany przeprowadzono przez Uniswap, zdecentralizowaną giełdę, na której transakcje rozliczają się automatycznie, bez pośrednictwa firmy. Jeden portfel przekaznikowy otrzymał 20 940 ETH o wartości 45,58 miliona dolarów z kontraktu UniswapX na Uniswap o 20:34 UTC. Kolejny otrzymał 3 552 ETH o wartości ponad 8 milionów dolarów o 20:47 UTC.

Dwa kolejne portfele otrzymały około 18 085 ETH o wartości około 41 milionów dolarów z kontraktów Uniswap w transzach po 7 444 ETH i 10 642 ETH. Otrzymały również około 16 498 ETH o wartości 37,5 miliona dolarów w transzach po 6 946 ETH i 9 552 ETH.

Aave, aplikacja pożyczkowa umożliwiająca użytkownikom deponowanie kryptowalut jako zabezpieczenia i pożyczanie innych aktywów, zapewniła drugą drogę wyjścia. Między 20:57 a 21:01 UTC jeden portfel zdeponował 10 milionów, a następnie 50 milionów dolarów w USDT. Pod te depozyty pożyczył 3 271 ETH o wartości 7,43 miliona dolarów, a następnie 16 491 ETH o wartości 37,47 miliona dolarów. Droga pożyczkowa prowadzi do tego samego celu co wymiany: zdeponowane stablecoiny pozostają jako zabezpieczenie, podczas gdy pożyczone ETH nie ma emitenta mogącego je zamrozić.

Transakcje skłoniły Odysseasa Lamtzidiego, założyciela firmy zajmującej się cyberbezpieczeństwem Phylax Systems, do ostrzeżenia o „contagion in full effect” (pełnym rozprzestrzenianiu się zarażenia).

Update: They just approved AAVE. Contagion in full effect — Odysseus | phylax.systems (@odysseas_eth) October 29, 2026

Aave od tego czasu zamroził swoje rynki V3 w sieci głównej Ethereum, blokując nowe depozyty i pożyczki. Ten krok podkreśla strukturalną różnicę w tym, jak branża może reagować: emitenci stablecoinów umieszczają na czarnych listach pojedyncze adresy, podczas gdy zdecentralizowane protokoły wstrzymują całe rynki.

Kamino, protokół zdecentralizowanych finansów zbudowany na Solanie, również zapobiegawcowo wstrzymał swoje rynki Solany i Bitcoina. Kamino oświadczył, że nie został dotknięty sytuacją wokół Binance i tymczasowo wstrzymał pożyczki na rynku SOL/BTC, monitorując rozwój wydarzeń i komunikując się z partnerami.

Kamino can confirm that it is currently unaffected by the ongoing Binance situation Out of an abundance of caution, we have temporarily paused borrowing in the SOL/BTC Market We are actively monitoring the situation and are in communication with various partners. Any further… — Kamino (@kamino) October 29, 2026

ETH gromadzi się w portfelach podejrzewanych sprawców, zamiast dalej przemieszczać się. Portfel oznaczony jako Exploiter 8 posiadał o 22:03 UTC 195 460 ETH o wartości 444,2 miliona dolarów. Kolejne 57 891,77 ETH o wartości 131,6 miliona dolarów trafiło do portfela oznaczonego jako Exploiter 11. Łącznie te zasoby wyniosły około 253 000 ETH, czyli około 570 milionów dolarów.

Druga grupa środków dotarła po czterech transferach w ciągu 28 minut: od Exploiter 4 do Exploiter 5, od 5 do 6, od 6 do 7 i od 7 do 11.

Sprawca wymienił również 36 milionów RLUSD, stablecoina Ripple'a powiązanego z dolarem, na 15 439 ETH. Kolejne 52,54 miliona RLUSD pozostało niezamrożone w portfelu przechowującym, według aktualizacji on-chain krążącej na X. Etherscan pokazał, że główny portfel odbiorczy posiadał około 88,5 miliona dolarów w RLUSD o 20:41 UTC, co odpowiada łącznej wartości tych dwóch kwot. Czy pozostały RLUSD zostanie zamrożony w całości, czy nagromadzone ETH zacznie się przemieszczać, czy Aave i Kamino ponownie otworzą wstrzymane rynki oraz czy Binance szczegółowo opisze wpływ na środki użytkowników — to najbliższe wydarzenia, na które należy zwrócić uwagę.

Współ-CEO Binance Yi He oświadczył, że Ripple zamroził od tego czasu około 200 milionów dolarów w RLUSD, nie licząc ponad 2 miliardów dolarów w USDT i USDC zamrożonych przez dostawców stablecoinów.

„Thanks to the Ripple team for promptly freezing approximately 200 million. User Funds are SAFU” — napisał Yi He na X, odnosząc się do funduszu awaryjnego giełdy.

„Ripple is closely monitoring reports of a potential exploit involving Binance and its attackers’ RLUSD holdings and we are actively freezing affected funds” — oświadczył Jack McDonald, wiceprezes Ripple ds. stablecoinów. „We’re coordinating with relevant parties and stand ready to support any investigation and appropriate action to keep users protected.”

Ripple is closely monitoring reports of a potential exploit involving Binance and its attackers’ RLUSD holdings and we are actively freezing affected funds. We’re coordinating with relevant parties and stand ready to support any investigation and appropriate action to keep users… — Jack McDonald (@JackMcDonald) October 29, 2026

Tornado Cash, mikser zacierający ślad płatności kryptowalutowych, jak dotąd pojawia się jedynie jako źródło finansowania adresu, który przygotował atak.

Jako punkt odniesienia dla tego, jak incydenty tej skali przebiegały wcześniej, najnowszym precedensem jest hack Bybit: po tym ataku grupa Lazarus z Korei Północnej wymieniła 84,45% skradzionego ETH na Bitcoina za pośrednictwem Thorchain, sieci wymian międzyłańcuchowych, według CEO Bybita. Monero, coin prywatności ukrywający tożsamość uczestników transakcji, zyskał w czwartek około 6%, co sugeruje możliwą rotację w stronę coina prywatności.

Źródło: https://decrypt.co/382194/binance-hack-exit-ramps-defi-exchange-ethereum