Kradzież 6,3 miliarda dolarów z Binance z 29 października jest największym napadem na kryptowaluty w historii. W kolejnych dniach grupy bezpieczeństwa, śledczyi on-chain oraz ubezpieczyciele opublikowali nowe szczegóły, które łącznie pokazują, jak przebiegał atak i co stało się z pieniędzmi.

🚨 NORTH KOREA-LINKED HACKERS MAY HAVE INFILTRATED BINANCE 8 WEEKS BEFORE THE $6.3 BILLION HACK. According to cybersecurity group SEAL, attackers may have gained access to Binance's internal systems as early as September. The attack reportedly involved fake job interviews,… — Nehal (@nehalzzzz1) November 6, 2026

https://x.com/nehalzzzz1/status/2118731305768906983?ref_src=twsrc%5Etfw

Fałszywi rekruterzy i ośmiotygodniowe okno

Security Alliance, non-profitowa grupa zajmująca się cyberbezpieczeństwem, znana jako SEAL, poinformowała, że hakerzy powiązani z Koreą Północną przejęli we wrześniu urządzenie inżyniera oprogramowania w Binance. Według grupy intruzi wykorzystali fałszywą rekrutację, a szacowane okno włamania wynosi około ośmiu tygodni przed wykorzystaniem luki.

Jak przebiegał atak

Binance przedstawił dłuższą oś czasu. Rzecznik powiedział, że pierwsze przejęcia urządzeń nastąpiły w czerwcu i wrześniu, jednak atakujący nie uzyskali dostępu potrzebnego do sięgnięcia po operacje portfelowe aż do 20 października. SEAL zaznaczyło, że jego ośmiotygodniowa liczba obejmuje tylko okres od września do października i nie sięga początku szerszej kampanii opisanej przez giełdę.

Naruszenie z czerwca zaczęło się, gdy inny pracownik pobrał zmodyfikowaną instalację Homebrew, próbując skonfigurować narzędzie AI do kodowania. Binance wykrył incydent, wymienił urządzenie i obrócił powiązane poświadczenia, ale do tego czasu atakujący zebrali już informacje o pracownikach zajmujących się infrastrukturą portfelową.

20 października atakujący wykorzystali zhakowany komputer inżyniera oraz wewnętrzne narzędzie AI, by przejąć kontrolę nad urządzeniami dwóch inżynierów infrastruktury portfelowej. Następnie odnaleźli token uprawnień do wdrożeń, który użyto w ataku z 29 października.

SEAL zidentyfikowało co najmniej cztery przykrywki powiązane z kampaniami fałszywych rekrutacji w 2026 roku: citalab.net, citalab.com, bitfit.io i oddium.io. Grupa stwierdziła, że podobne wieloetapowe wzorce pojawiły się w innych kradzieżach. Szacuje, że atakujący mieli około sześciu tygodni dostępu przed hakiem Bitget o wartości 388 milionów dolarów, około sześciu tygodni dostępu do LayerZero przed luką wykorzystaną w wykradzie 293 milionów dolarów z Kelp DAO oraz około trzech tygodni przed wykradzeniem 24 milionów dolarów z AFX.

FBI przypisało atak północnokoreańskiej grupie TraderTraitor. Kim Yo Jong, siostra północnokoreańskiego przywódcy Kim Jong Una, odrzuciła te zarzuty.

Zamrożone środki i reakcja rynku

Sentora, firma analityczna zajmująca się DeFi, opisała tę reakcję jako największe skoordynowane zamrożenie aktywów on-chain w historii DeFi. Circle zablokował 823 miliony USDC w jednym portfelu, zanim atakujący zdążyli je przenieść. Ripple zamroził około 40 milionów RLUSD, a World Liberty Financial zamroził 27 milionów USD1 oraz 48 milionów tokenów WLFI. Same zamrożenia stablecoinów obejmują łącznie około 890 milionów dolarów. Bitcoin i Ether nie mają emitenta zdolnego blokować środki w ten sposób; Sentora znalazła 18 270 BTC i ponad 420 000 ETH w posiadaniach atakującego po powstrzymaniu ataku.

Rynki pożyczkowe DeFi odnotowały 1,59 miliarda dolarów odpływów netto w ciągu jednego dnia, około 3% całkowitej wartości zablokowanej. Około 60% tych środków wróciło w ciągu trzech dni, a Sentora nie znalazła złych długów w analizowanych rynkach. Dla porównania, wykradzenie środków z Kelp DAO w kwietniu wywołało 10,9 miliarda dolarów wypłat w ciągu pięciu dni, około 21% wartości pożyczkowej zablokowanej, z czego nic nie wróciło w tym okresie. Sentora przypisała różnicę temu, gdzie znajdowały się dotknięte aktywa: strata Binance pozostała na giełdzie, natomiast aktywo Kelp służyło jako zabezpieczenie na rynkach pożyczkowych.

Elliptic podało, że na dzień 6 listopada około 1650 BTC o wartości 124 milionów dolarów zostało skonwertowanych z innych skradzionych aktywów — niemal dwukrotnie więcej niż dzień wcześniej. Większość wzrostu pochodziła z wymiany XRP przez THORChain. Pierwotne 18 270 BTC pozostało nietknięte na 19 adresach. Firma analityczna zliczyła ponad 20 000 portfeli i 65 000 transakcji w 16 blockchainach, przy czym około 3,11 miliarda dolarów nadal znajduje się na adresach powiązanych z kradzieżą.

Binance odzyskuje większość dotkniętych aktywów

Binance oświadczył 4 listopada, że zastąpił około 98% dotkniętych aktywów środkami własnymi. Pozostałe 2% dotyczy mniej płynnych tokenów, które skupuje przez kanały rynkowe i pozagiełdowe. 5 listopada zwrócił się do DAO Arbitrum o zatwierdzenie zwrotu 8 425,997 ETH i 74 559 805,2 ARB — procesu, który ma potrwać około 49 dni. Te dwa elementy — skup aktywów i zgoda DAO — pozostają otwartymi częściami akcji odtworzeniowej.

Ubezpieczyciele przyglądają się bliżej

Reuters poinformował w piątek, że ubezpieczyciele dokładniej weryfikują klientów z branży krypto. Jacqueline Quintal z Marsh nie oczekuje istotnych zmian w cenach, zakresie ubezpieczenia ani zdolności, choć ubezpieczyciele mogą żądać od klientów usunięcia luk, a wiele polis wyklucza ataki wspierane przez państwa — wykluczenie istotne w kontekście przypisania tej kradzieży przez FBI do TraderTraitor z Korei Północnej.

Ten artykuł pierwotnie ukazał się na CoinCentral.