W czwartek napastnicy wynieśli z Binance około 6,4 miliarda dolarów w największym ataku hakerskim na kryptowaluty w historii – kradzieży ponad czterokrotnie większej niż dotychczasowy rekord. Binance oświadczyło, że pokryje straty w całości środkami własnymi oraz funduszem awaryjnym, na który przeznaczono ponad 6,34 miliarda dolarów.

To włamanie – największe w historii kryptowalut – uruchomiło międzynarodowe śledztwo organów ścigania, pośpiech emitentów stablecoinów w zamrażaniu skradzionych środków oraz nerwowe oczekiwanie milionów użytkowników giełdy. Oto, co wiadomo na ten moment o przebiegu ataku i podejmowanych działaniach.

Co się stało

Kradzież rozpoczęła się około godziny 16:05 czasu wschodnioamerykańskiego (ET) w czwartek, po zamknięciu rynków w USA, kiedy napastnicy zaczęli przenosić środki z gorących portfeli Binance – portfeli podłączonych do internetu, które giełdy utrzymują zasilone, aby szybko obsługiwać wypłaty – przez około 10 blockchainów. Większość transferów zakończono w ciągu około 20 minut.

Firmy analizujące blockchain, Chainalysis i TRM Labs, oszacowały łączną kwotę na około 6,4 miliarda dolarów – ponad czterokrotnie więcej niż poprzedni rekord, czyli kradzież 1,5 miliarda dolarów z Bybit w lutym 2025 roku.

Kluczowe jest to, że atak wymierzony był we własną infrastrukturę Binance, a nie w same blockchainy. Giełda początkowo ustaliła, że do włamania doszło poprzez skompromitowanego laptopa należącego do inżyniera DevOps, co mogło pozwolić napastnikowi na dostęp do kontenera serwisowego i złożenie nieautoryzowanych żądań wypłat.

Binance poinformowało później, że śledztwo ujawniło „dodatkowe punkty włamania”, a CEO Richard Teng opisał „bardziej złożony proces ataku”, który „nie po prostu wykorzystywał uprawnień jednego inżyniera”. Firma oświadczyła, że nie znalazła dowodów na wyciek prywatnych kluczy portfeli, oraz że napastnik użył mechanizmu samozniszczenia, aby po drodze wymazać narzędzia i ślady.

Wątek Ethereum

Na Ethereum napastnik skorzystał z EIP-7702, funkcji wprowadzonej w 2025 roku, która pozwala zwykłym portfelom tymczasowo uruchamiać kod smart kontraktów. Według TRM Labs, wykorzystując 50 wcześniej podpisanych autoryzacji, napastnik przekształcił gorący portfel Binance w kontrakt typu „sweeper” – kod automatycznie zbierający wszelkie aktywa wysłane na adres – i opróżnił jego aktywa.

Teng oświadczył, że delegacja „nie przeszła przez nasze normalne mechanizmy kontroli zatwierdzeń”. TRM zaznaczyło, że incydent nie ujawnił wady samego Ethereum, lecz wskazał na skompromitowanie infrastruktury podpisywania transakcji Binance.

Kto stoi za atakiem

Zarówno TRM Labs, jak i Chainalysis przypisały atak grupie TraderTraitor, powiązanej z Koreą Północną, której przypisuje się również włamanie na Bybit. Po tamtym ataku grupa przekonwertowała około 84% skradzionego Ethereum na Bitcoina za pośrednictwem sieci cross-chain Thorchain – taki dorobek daje śledczym znany wzorzec prania pieniędzy do monitorowania, gdy środki z Binance są w dalszym ciągu przesuwane.

To przypisanie sprawia, że łączne kryptowalutowe łupy Korei Północnej w 2026 roku znacznie przekroczyły miliard dolarów – a sama kwota z Binance przyćmiłaby resztę.

Reakcja Binance

Teng oświadczył, że Binance pokryje każdą dolara strat środkami własnymi oraz Secure Asset Fund for Users – funduszem awaryjnym – podkreślając, że aktywa klientów nigdy nie zostały naruszone.

Giełda przeznaczyła ponad 6,34 miliarda dolarów, z czego około 5 miliardów jest już trzymane w dokładnie tych tokenach, które zostały skradzione – w tym BTC, ETH, BNB, USDC i USDT – a resztę dokupuje na rynku otwartym i w transakcjach pozagiełdowych (OTC).

Binance wstrzymało wypłaty, aby przebudować i ponownie przetestować swoje systemy, prowadzi pełny przegląd bezpieczeństwa i zamierza przywrócić wypłaty do niedzieli. Firma planuje również opublikować do poniedziałku pełny dowód rezerw – weryfikowalne rozliczenie mające wykazać, że aktywa on-chain pokrywają salda klientów. Wpłaty działają normalnie.

Niedzielny cel przywrócenia wypłat oraz poniedziałkowa deklaracja dotycząca rezerw dają użytkownikom dwa najbliższe punkty odniesienia do śledzenia postępów odbudowy.

Zamrożenie środków – i co wciąż jest poza zasięgiem

Emitenci stablecoinów szybko zareagowali na początkowe doniesienia o podejrzanym ataku, w przeciwieństwie do wcześniejszych incydentów bezpieczeństwa. Stablecoiny – tokeny powiązane z dolarem, zaprojektowane tak, aby utrzymywać stabilną wartość – są kręgosłupem gospodarki kryptowalut, umożliwiając szybkie transakcje zarówno na giełdach scentralizowanych, jak i zdecentralizowanych. W przeciwieństwie do Bitcoina czy Ethereum są scentralizowane: emitowane i zarządzane przez prywatne firmy, co oznacza, że te środki można zamrozić w każdej chwili i z dowolnego powodu.

Tether, firma stojąca za największym stablecoinem na rynku, USDT, zamroziła aktywa o wartości ponad 1,5 miliarda dolarów. Circle, emitent drugiego największego stablecoina USDC, zamroził około 823 milionów dolarów powiązanych z atakiem – obaj wykorzystali swoją możliwość blokowania konkretnych adresów.

Łącznie zamrożono lub zlokalizowano około 3 miliardów dolarów. Jednak duża kwota pozostaje poza zasięgiem: napastnik nadal kontroluje ponad 420 000 ETH i 18 270 BTC oraz inne tokeny o wartości ponad 3 miliardów dolarów, których żaden emitent nie może zamrozić, i dalej przesuwa środki przez Tron i inne sieci. Firma bezpieczeństwa Elliptic oszacowała, że haker wciąż kontroluje około 3,3 miliarda dolarów.

Śledztwo

Binance współpracuje z organami ścigania na całym świecie, w tym z FBI i amerykańską Służbą Secret Service. FBI potwierdziło, że jest świadome incydentu i koordynuje działania z partnerami; Secret Service, która bada przestępczość finansową i związaną z walutami cyfrowymi, odmówiła komentarza.

Działania te nawiązują do wcześniejszych wspólnych operacji, takich jak kwietniowa Operacja Atlantic, która pozwoliła prześledzić dziesiątki milionów dolarów skradzionych kryptowalut. Odzyskanie około 3,3 miliarda dolarów, które – jak podaje Elliptic – pozostają pod kontrolą napastnika, przewyższyłoby skalę tamtej operacji.

Reakcja rynków

Jak na kradzież tej skali rynki zachowały się wyjątkowo spokojnie. W piątek Bitcoin spadł do około 76 400 dolarów, czyli o około 4%, a płynnościowano ponad 1,3 miliarda dolarów pozycji lewarowanych.

To nieporównanie z marcem 2018 roku, kiedy nieudany atak na Binance odebrał Bitcoinowi niemal 11% wartości w ciągu kilku minut. Analitycy przypisują to większemu, dojrzalszemu rynkowi – o wartości obecnie około 2,6 biliona dolarów – na którym spot Bitcoin ETF-y trzymają około 1,3 miliona BTC w rękach, które nie sprzedają w panice.

Firmy z Wall Street, w tym Cantor Fitzgerald, TD Cowen i Compass Point, wręcz zachęcały klientów do kupowania akcji powiązanych z kryptowalutami przy osłabieniu, przedstawiając włamanie jako błąd bezpieczeństwa Binance, a nie zagrożenie dla samej technologii.

Skutki regulacyjne i publiczne

Przewodniczący CFTC Michael Selig wykorzystał włamanie, aby argumentować, że giełdy offshore wymagają nadzoru USA. W wywiadzie dla CNBC Selig oświadczył, że incydent „dokładnie potwierdza nasz punkt widzenia” stojący za regulacjami rynku kryptowalut, które agencja zaproponowała wcześniej w tym miesiącu – propozycja ma teraz konkretny przykład do wskazania.

Incydent wywołał również publiczny spór między założycielem Binance Changpengiem Zhao, znanym jako CZ, a Elonem Muskiem. Założyciel SpaceX i Tesla najwyraźniej wyśmiał Binance w związku z atakiem na X, a CZ odpowiedział, powołując się na udział Muska w samym SpaceX. „Nasze akcje SPCX (z naszej inwestycji 500 mln dolarów w przejęcie Twojego Twittera) są warte ponad miliard. Doceniłbym, gdybyś okazał trochę wsparcia”, napisał CZ na X.

CZ przyjął ogólnie Defiant ton: jak powiedział, jest to największa kradzież w przeliczeniu na dolary, ale nie na Bitcoina – a w przeciwieństwie do Mt. Gox czy FTX, Binance samo ponosi stratę. „Boli, ale przetrwamy”, napisał.

Źródło: Decrypt — Binance Hack: Everything You Need to Know About the Biggest Crypto Heist in History