Atakerzy opróżnili większość z około 6,3 miliarda USD z gorących portfeli Binance w około 20 minut, a pełny przebieg napadu jest już dostępny w formie osi czasu. Według firmy analitycznej TRM Labs zajmującej się analizą blockchain złodzieje nakłonili własny system podpisujący giełdy do podpisania transakcji za nich.

Giełda kryptowalut przechowuje środki klientów częściowo w gorących portfelach, które pozostają online w celu obsługi wypłat, podczas gdy reszta leży offline w zimnym magazynie. Każda wypłata najpierw przechodzi przez infrastrukturę podpisującą, która weryfikuje żądania względem wewnętrznych zasad dopiero wtedy podpisuje je kluczami gorącego portfela. Kto kontroluje tę warstwę, w konsekwencji nie potrzebuje żadnego klucza prywatnego. Binance zgłosił kradzież 29 października 2026 r., a następnego dnia wskazał dalsze punkty wejścia.

Schemat mocno przypomina hack na Bybit z lutego 2025 r., w którym podobnie zawiodła warstwa zatwierdzania, a żaden błąd kontraktu nie odegrał roli. TRM z wysokim prawdopodobieństwem przypisuje atak Korei Północnej. W swojej rekonstrukcji ataku szacuje straty na 6,36 miliarda USD na dziesięciu sieciach. Elliptic natomiast dochodzi do kwoty 6,43 miliarda USD na jedenastu sieciach, przy czym każdy aktyw wyceniany był w momencie transferu. Obiecał przez giełdą raport o przyczynach źródłowych powinien wyjaśnić dokładną przyczynę.

36 godzin przygotowań przez Tornado Cash

Przygotowania rozpoczęły się co najmniej 36 godzin przed kradzieżą. Od 28 października 2026 r. nowo utworzony portfel operatora otrzymywał niewielkie kwoty przez mikser Tornado Cash — według Elliptic były to trzy wypłaty po 0,1 ETH każda. Około godziny 16:00 UTC 29 października 2026 r. atakerzy wdrożyli na blockchain kontrakt sweepera. Program masowo opróżnia salda i przyjmuje polecenia wyłącznie od portfela operatora. Według firmy bezpieczeństwa Immunefi składa się z zaledwie około 130 linii kodu.

Wcześniej tego samego dnia atakerzy przetestowali pierwszą wersję kodu na dwóch portfelach. Około cztery godziny przed atakiem wyćwiczyli wersję finalną na trzecim portfelu, po czym środki testowe wróciły do operatora. Atakerzy sprawdzili więc kod dwukrotnie i raz go wyćwiczyli. TRM widzi ten sam schemat co w hacku na Bybit i ataku na KelpDAO w kwietniu 2026 r.

Jak rozegrał się hack na Binance, minuta po minucie

W pierwotnym oświadczeniu Binance wskazał jako punkt wejścia prawdopodobnie skompromitowany laptop inżyniera DevOps. Przez to urządzenie atakerzy mieli dotrzeć do kontenera serwisowego i złożyć nieuprawnione wypłaty; według tej relacji początkowo nie było śladów wycieku kluczy prywatnych. 30 października 2026 r. giełda jednak zgłosiła dalsze punkty wejścia i opisała złożony atak, którego nie przeprowadziła jedna osoba. Binance nie ujawnił jeszcze, o jakie punkty chodzi, więc laptop pozostaje niepotwierdzonym pierwszym twierdzeniem.

Odpływy rozpoczęły się o 20:05 UTC 29 października 2026 r. na XRP Ledger. Do godziny 20:09 pięć portfeli Binance wysłało tam 233,46 mln XRP — o wartości około 296 mln USD — na jeden adres, przy czym każdy portfel zatrzymał się na swoim minimalnym saldzie. Krótko po 20:10 dołączyła Solana z 970 500 SOL, wraz z Optimism. O 20:20 gorący portfel Bitcoin wysłał 18 270 BTC o wartości około 1,47 miliarda USD; tzw. peel chain podzielił kwotę na części po 1000 i 100 BTC w obrębie tego samego bloku. W tym samym czasie gorący portfel Tron stracił 612,7 mln USDT i 46,4 mln TRX w ciągu dwóch minut. Po opróżnieniu Ethereum o 20:24 główna faza trwała około 20 minut. Na koniec druga fala uderzyła w Avalanche i Polygon około godziny 23:05.

TRM wyciąga z tej sekwencji swój główny wniosek. Sama delegacja na Ethereum mogłaby wyglądać jak phishing. Atakerzy opróżnili jednak dziewięć innych sieci zwykłymi podpisanymi transferami, bez żadnej delegacji. TRM dochodzi więc do wniosku, że system podpisujący gorącego portfela sam podpisał transakcje dla atakera. Dane Elliptic potwierdzają to odczytanie: drugi gorący portfel Ethereum o nazwie "Binance 16" ma własny klucz i wysłał bezpośrednio atakerowi 28 006 ETH oraz inne tokeny, łącznie o wartości 174 mln USD w momencie kradzieży.

Jak 50 autoryzacji odblokowało sweepera

Na Ethereum atakerzy wykorzystali funkcję, która pojawiła się wraz z aktualizacją Pectra w maju 2025 r. Zgodnie z EIP-7702 zwykły portfel podpisuje autoryzację wskazującą na inteligentny kontrakt, który następnie uruchamia swój kod. Podpis obejmuje tylko identyfikator sieci, adres docelowy i nonce — nie pojedynczą transakcję. Nonce to licznik konta. Ani odbiorca, ani kwota nie są częścią podpisu, a taką autoryzację może złożyć każdy. Sama specyfikacja ostrzega, że delegacja daje kodowi nieograniczony dostęp do konta.

O 20:20:59 UTC atakerzy złożyli transakcję z 50 autoryzacjami. Każda była podpisana kluczem portfela "Binance 14" i wskazywała na sweepera. Tyle ich potrzebowano, ponieważ nonce musi się zgadzać dokładnie, a wysoka częstotliwość wypłat nieustannie przesuwała licznik. Seria obejmowała nonce od 18 914 775 do 18 914 824; ostatecznie trafił tylko nonce 18 914 809, a sieć odrzuciła pozostałe 49. TRM odczytuje tę serię jako znak dostępu o ograniczonym czasie lub drogi przez system żądań.

O 20::23 UTC ataker wywołał następnie sweepera przez Binance 14. Jedna transakcja opróżniła 167 464 ETH i 63 tokeny — w tym około 1,6 miliarda USDT — łącznie o wartości około 2,5 miliarda USD.

Delegacja pozostała aktywna, ponieważ EIP-7702 utrzymuje ją do następnej autoryzacji. Specyfikacja uzasadnia to wygodą: użytkownicy nie powinni musieć wciąż konfigurować nowych kontraktów. Tutaj jednak ta sama właściwość umożliwiła dalsze opróżnianie nowych depozytów bez nowego podpisu. Nastąpiły one m.in. o 20:41, 21:04, 22:39 i 23:56 UTC. Binance 14 cofnął delegację dopiero o 00:10 UTC 30 października 2026 r. — prawie cztery godziny później.

Przez skompromitowany portfel atakerzy polecili także innemu portfelowi Binance i opróżnili z niego 823 mln USDC. Według TRM ten drugi portfel to odrębne konto inteligentne. Łącznie Binance stracił na Ethereum, według wyliczeń TRM, 3,79 miliarda USD.

Wyścig z zamrażaniem stablecoinów

Stablecoiny takie jak USDT, USDC i RLUSD mają centralnego emitenta, który może zamrozić poszczególne adresy. Bitcoin i Ether nie mają takiego organu, więc mogą je zatrzymać tylko giełda zamrażająca przychodzące środki lub władze z dostępem do kluczy. Tether i Circle zamroziły jednak pierwsze adresy dopiero około godzinę po rozpoczęciu odpływów.

Według Elliptic atakerzy zamienili 434 mln USDT na 160 451 ETH przez Uniswap, 1inch i animatorów rynku, akceptując dyskonto 12–26% poniżej ceny rynkowej — co Elliptic odczytuje jako priorytet szybkości kosztem wartości. Do momentu pierwszych zamrożeń około 786 mln USD w stablecoinach trafiło już do ETH i TRX.

Drugi portfel atakera sięgnął również po protokół pożyczkowy Aave. Złożył 59,9 mln USDT jako zabezpieczenie i pożyczył 19 762 ETH o wartości około 44 mln USD. W efekcie zamrażalny USDT znajduje się teraz w puli Aave, a ETH pozostało u atakera. Aave zapobiegawczo zamroził dotknięte rynki i od tego czasu je otworzył; pozycje pozostają w pełni zabezpieczone.

Na Tronie atakerzy zamienili na SunSwap 234 mln USDT na 638 mln TRX. Według Elliptic główny portfel do prania pieniędzy wykonał tam 546 transferów TRX w medianie interwałów 96 sekund. Chainalysis we własnej analizie klasyfikuje wzorzec transakcji na Tronie jako zautomatyzowany: wiele adresów najpierw otrzymuje dokładnie 1 TRX, a potem kwotę, którą następnie przekazują dalej. Elliptic nie potrafi jednak ocenić, czy rolę odgrywają agenci AI.

TRM szacuje niepodlegającą zamrożeniu resztę na około 2,4 miliarda USD w Bitcoinie i Etherze. Uwzględniając XRP i TRX po aktualnych cenach, Elliptic dochodzi do 3,21 miliarda USD. Bitcoin leży rozproszony na 19 adresach przez peel chain i nie trafił jeszcze do żadnego serwisu. Analitycy oczekują więc jako kolejnego etapu mostów, serwisów wymiany i biur OTC.

Zabezpieczenia, które giełdy muszą dodać

Rekomendacje TRM trafiają dokładnie w te słabe punkty. Giełdy powinny odrzucać autoryzacje EIP-7702, jeśli się ich nie spodziewają, a żądania wielu autoryzacji w zakresie nonce traktować jako oznakę kompromitacji. TRM zaleca dodatkowo rozdzielenie infrastruktury podpisującej i ścieżek zatwierdzania według sieci i klasy portfela. Na portfelach skarbcowych każda delegacja to natychmiastowy alarm, bo adres, który nie powinien zawierać kodu, nagle go posiada.

W Binance, według giełdy, delegacja nie przeszła przez normalne zatwierdzenia, a cofnięcie nastąpiło dopiero po prawie czterech godzinach. Właśnie na taki scenariusz TRM zaleca przetestowany, wcześniej zatwierdzony proces cofania. Wiceprezes Immunefi Simone Imbrescia również upatruje słabości w warstwie operacyjnej, skoro atak wymagał niewiele kodu on-chain.

Binance nie ujawnił jeszcze początkowego punktu wejścia. Giełda utrzymuje wstrzymane wypłaty, planuje stopniowe ich wznowienie i przebudowuje system wypłat. Obok raportu o przyczynach źródłowych zapowiada także raport proof-of-reserves na 2 listopada 2026 r.

Na podstawie doniesień Crypto Valley Journal.