Hakerzy spędzili tygodnie, działając wewnątrz wewnętrznych systemów Binance, zanim przeprowadzili eksploit stojący za tym, co opisywane jest jako największa kradzież kryptowalut w historii — wynika z raportu opublikowanego przez SEAL (Security Alliance), branżowy organ ds. bezpieczeństwa kryptowalut.

Binance, największa giełda kryptowalut na świecie, bada naruszenie bezpieczeństwa po tym, jak dane on-chain wykazały przemieszczanie miliardów dolarów w aktywach cyfrowych z portfeli powiązanych z platformą do nowo utworzonych adresów zewnętrznych. Raporty mówią o łącznej kwocie przekraczającej 6 miliardów dolarów, co czyniłoby to atak największym w historii kryptowalut, znacznie powyżej kradzieży z Bitget, która była dotychczas największym incydentem 2026 roku.

Według firmy analityki blockchainowej Arkham hakerzy posiadali ponad 5,7 miliarda dolarów aktywów skradzionych z Binance, w tym:

• 1,5 miliarda dolarów w Bitcoinie (BTC)
• 900 milionów dolarów w Etherze (ETH)
• około 1,5 miliarda dolarów w Tetherze (USDT)
• ponad 800 milionów dolarów w USD Coin (USDC)

MILESTONE | Binance Gets Hacked in the Largest Crypto Exploit in History #Binance, the world's largest cryptocurrency exchange, is investigating a security breach after on-chain data showed billions of dollars in digital assets moving from wallets linked to the platform to newly created external addresses. Reports put the figure at over $6 billion making it the largest ever crypto attack in history. According to blockchain intelligence firm, #Arkham, the hackers held over $5.7 billion stolen from Binance including: $1.5 billion in $BTC $900 million in $ETH ~$1.5 billion in $USDT Over $800 million in $USDC Details: #BinanceHack #CryptoHack #CryptoHacks2026 #CryptoMilestone — BitKE (@BitcoinKE) October 30, 2026

W swoim raporcie SEAL stwierdził, że włamanie do Binance najprawdopodobniej rozpoczęło się od złośliwego oprogramowania dostarczonego podczas sfałszowanej rozmowy kwalifikacyjnej, która celowała w urządzenie programisty. Ostrzegał także przed myleniem TraderTraitor z inną północnokoreańską grupą hakerską, Contagious Interview, która stosuje podobne przynęty rekrutacyjne, ale używa innych taktyk. To rozróżnienie ma praktyczne znaczenie: ponieważ obie kampanie docierają do pracowników poprzez fałszywe oferty pracy, scrupolatne sprawdzanie rekruterów i firm, które stoją za nimi, jest najbardziej bezpośrednią ochroną przed tym typem włamania.

Grupę powiązano również z atakami na LayerZero, Bitget i AFX. SEAL udokumentował około sześciu tygodni dostępu wewnątrz LayerZero, trzy tygodnie w AFX oraz co najmniej 24 dni dostępu do infrastruktury Bitget przed kradzieżą przeprowadzoną 24 września. Wówczas raportowano, że Bitget stracił w tym incydencie ponad 350 milionów dolarów — była to największa kradzież kryptowalut w 2026 roku do tej pory.

Raport zidentyfikował kilka podejrzewanych fałszywych firm rekrutacyjnych wykorzystywanych w tych kampaniach, w tym CitaLab, BitFit i Oddium — szczegół podkreślający, że kampanie te celowały w ludzi i procesy rekrutacyjne, a nie bezpośrednio w łamanie kryptografii.

SEAL stwierdził, że działania TraderTraitor charakteryzowały się długotrwałym rozpoznaniem, przemieszczaniem się w poprzek systemów firmy oraz nadużywaniem legalnej infrastruktury podpisywania, a nie koniecznie kradzieżą kluczy prywatnych. To rozróżnienie ma znaczenie dla obrońców: włamania przemieszczające środki poprzez legalne kanały podpisywania i zatwierdzania mogą przypominać rutynowe operacje — to jeden z powodów, dla których SEAL ostrzega, że skompromitowane urządzenie pracownika może pozostać niewykryte przez tygodnie.

Wzywano firmy kryptowalutowe do wzmocnienia monitoringu urządzeń deweloperskich, poświadczeń chmurowych, systemów wypłat oraz zewnętrznych produktów bezpieczeństwa, ostrzegając, że kompromitacja urządzenia pracownika może pozostać niewykryta przez tygodnie.

W przeanalizowanych incydentach SEAL ustalił, że grupa polegała na inżynierii społecznej o motywie rekrutacyjnym jako metodzie początkowego dostępu, a włamania utrzymywały się tygodniami, zanim jakiekolwiek środki zostały przemieszczone. Przy wciąż trwającym śledztwie Binance warto obserwować ustalenia giełdy dotyczące tego, jak utrzymywano dostęp, dalsze przemieszczanie skradzionych aktywów on-chain — które firmy takie jak Arkham śledzą do tej pory na podstawie danych blockchainowych — oraz szerokość adopcji przez giełdy zalecanego przez SEAL monitoringu urządzeń deweloperskich, poświadczeń chmurowych i systemów wypłat.