Trzy firmy zajmujące się analityką blockchain przypisały hack Binance z tego tygodnia Korei Północnej, przy czym dwie największe — TRM Labs i Chainalysis — wskazały TraderTraitor, północnokoreańską grupę hakerską, jako odpowiedzialną za to, co obie opisują jako największą kradzież kryptowalut w historii.

TRM Labs oświadczyło, że dokonało atrybucji „z wysoką pewnością”, w oparciu o „solidne informacje on-chain i off-chain”. Według firmy wartość kradzieży wyniosła około 6,36 miliarda dolarów, wypłaconych z portfeli Binance na 10 blockchainach, przy czym większość środków opuściła portfele w ciągu około 20 minut od godziny 16:05 czasu wschodnioamerykańskiego w czwartek. To około cztery razy więcej niż hack Bybit o wartości 1,5 miliarda dolarów z lutego 2025 roku, który FBI przypisało tej samej grupie, zaznaczyło TRM.

Chainalysis, które oszacowało łączną kwotę na około 6,4 miliarda dolarów, poinformowało, że najsilniejszy dowód pojawił się, gdy jego śledczy zaobserwowali w czasie rzeczywistym mieszanie środków skradzionych z Binance z pieniędzmi pochodzącymi z wykorzystania Bitget z ubiegłego miesiąca, przypisanego aktorom z Korei Północnej. Rzecznik Chainalysis powiedział CNN, że firma miała „wysoką pewność”, że za hackiem stoi Korea Północna.

Singapurska firma Pangolin Intelligence również powiedziała CNN, że uważa północnokoreańską jednostkę hakerską za odpowiedzialną, w oparciu o „analizę aktywności on-chain związanej z tym hackiem i korelację z informacjami zebranymi podczas wcześniejszych znanych incydentów”. Korea Północna wcześniej odrzucała zarzuty dotyczące hakowania.

Jak przebiegł atak

TRM i Chainalysis stwierdziły, że operacyjny portfel napastnika został sfinansowany poprzez Tornado Cash, kryptomikser. Według TRM ta oraz inne cechy — w tym przygotowania rozpoczęte na długo przed kradzieżą — odpowiadały wcześniejszym atakom powiązanym z Koreą Północną, takim jak hack Bybit i wykorzystanie KelpDAO w kwietniu.

Na Ethereum napastnik wykorzystał delegację EIP-7702 — funkcję wprowadzoną w aktualizacji Pectra Ethereum, która pozwala zwykłemu portfelowi uruchamiać kod smart kontraktów — aby zamienić gorący portfel Binance (portfel podłączony do internetu) w tzw. sweeper pod swoją kontrolą, z 50 wcześniej przygotowanymi podpisanymi autoryzacjami, według TRM. Sweeper automatycznie przesyła wszelkie środki wysłane na dany adres. Portfele Binance na pozostałych dziewięciu sieciach przesyłały środki napastnikowi za pomocą zwykłych podpisanych transferów. W ocenie TRM wskazuje to na kompromitację infrastruktury podpisywania gorących portfeli Binance.

Binance poinformowało, że dochodzenie rozpoczęło się od przejętego laptopa inżyniera, ale od tego czasu ujawniło „dodatkowe punkty naruszenia”. Atak na Bybit również rozpoczął się od pojedynczego przejętego urządzenia: północnokoreańscy hakerzy umieścili złośliwy kod w infrastrukturze dostawcy portfeli Safe po przejęciu komputera programisty Safe, relacjonowała wtedy Decrypt.

Szybkie pranie pieniędzy i rosnące zamrożenia

Napastnik szybko przystąpił do prania środków, których nie zdołał zatrzymać. Chainalysis stwierdziło, że obserwuje „nigdy wcześniej niewidziane wzorce prania pieniędzy” — tysiące transakcji w krótkim czasie sugerują wykorzystanie automatyzacji do wielokrotnego krążenia środków między adresami.

Napastnik sprzedawał również USDT twórcom rynku i pożyczał ETH pod zastaw USDT na protokole pożyczkowym Aave, aby uprzedzić zamrożenia emitentów, według TRM, i posiada obecnie ponad 420 000 ETH oraz 18 270 BTC — około 2,4 miliarda dolarów poza zasięgiem emitentów, ponieważ ani ETH, ani BTC nie mają firmy emitującej zdolnej je zamrozić.

Tether, Circle, Ripple i World Liberty Financial zamrozili około 2,67 miliarda dolarów w stablecoinach, a Rada Bezpieczeństwa Arbitrum zamroziła 8 426 ETH i 74,6 miliona ARB, podało TRM. Według Binance łączna wartość zamrożonych środków wynosi około 3 miliardów dolarów.

Binance zobowiązuje się pokryć straty użytkowników

Binance rozpoczęło odzyskiwanie dotkniętych aktywów dla użytkowników i kontynuuje współpracę z organami ścigania, emitentami, firmami zajmującymi się wywiadem blockchain oraz partnerami branżowymi w celu śledzenia, zamrażania i odzyskiwania dodatkowych środków.

Binance has begun recovering affected assets for users and continues to work with law enforcement, issuers, blockchain intelligence firms and industry partners to trace, freeze and recover additional funds. The company has already publicly committed to cover losses through… pic.twitter.com/UqtBd37Fpj

— Binance (@binance) October 30, 2026

W komunikacie z piątku giełda poinformowała, że zarezerwowała ponad 6,34 miliarda dolarów środków własnych na pokrycie skutków incydentu, z czego 5 miliardów dolarów jest już utrzymywanych dokładnie w skradzionych tokenach. Pozostałą część kupuje poprzez kanały rynkowe i pozagiełdowe (OTC), co, jak stwierdziło, „może trwać dłużej, ponieważ niektóre tokeny mogą mieć niską płynność”. Kwoty te nie obejmują zamrożonych aktywów. Jak szybko uda się zakończyć zakupy, jaki jest pełny zakres naruszenia oraz czy większą część skradzionych środków uda się zamrozić lub odzyskać — to otwarte pytania w miarę trwania dochodzenia.

„Przetrwamy tę burzę”, oświadczyło Binance.

Długoletni przeciwnik

Północnokoreańscy hakerzy od dawna są zainteresowani tą giełdą. W sierpniu 2025 roku szef bezpieczeństwa Binance Jimmy Su powiedział Decrypt, że północnokoreańscy atakujący próbują dostać pracę w Binance każdego dnia, i nazwał ich największym pojedynczym zagrożeniem dla firm krypto.

W środę — dzień przed rozpoczęciem kradzieży — amerykański Departament Skarbu nałożył sankcje na 10 osób i jeden podmiot w związku z północnokoreańskimi schematami pracowników IT, które przeniosły miliony dolarów w kryptowalutach.