Binance opublikował 3 listopada pierwszy szczegółowy opis włamania z 29 października, które dotknęło około 6,34 mld dolarów w aktywach cyfrowych, ujawniając, że atakujący poświęcili miesiące na budowanie dostępu, zanim dotarli do infrastruktury podpisywania portfeli giełdy. Kryptowalutowa giełda wskazała inżynierię społeczną, przejęcie punktów końcowych oraz niewłaściwe wykorzystanie mechanizmów autoryzacji transakcji Ethereum jako przyczyny incydentu.

Firma poinformowała, że operacja łączyła fałszywe rozmowy o pracę, złośliwe oprogramowanie oraz przejęcie wewnętrznych narzędzi AI. Od tego czasu około 2,85 mld dolarów zostało zamrożonych lub przechwyconych, 98% dotkniętych tokenów uzupełniono, a wypłaty zostały w zasadzie wznowione — według Binance.

— Binance (@binance) November 3, 2026

W raporcie Binance stwierdził, że publikuje pełny opis, ponieważ wnioski z incydentu wykraczają poza samą giełdę. Opis jest istotny ze względu na ścieżkę ataku: dostęp do systemu podpisywania portfeli został zbudowany poprzez punkty końcowe pracowników, procesy rekrutacyjne i wewnętrzne narzędzia, a nie poprzez bezpośrednie uderzenie w portfele — sekwencję, którą Binance uznał za istotną dla całej branży.

Atak rozpoczął się na miesiące przed kradzieżą 6,34 mld dolarów

Według Binance intruzja rozpoczęła się w czerwcu, kiedy nowo zatrudniony inżynier Wallet DevOps pobrał zmodyfikowany pakiet oprogramowania podczas instalacji narzędzia AI do kodowania. Giełda wykryła ten incydent, zrotowała dane logowania i wymieniła urządzenie, ale atakujący zdobył już informacje o tym, jak inżynier pracował nad infrastrukturą portfeli, oraz o innych członkach zespołu.

Inżynier został ponownie zaatakowany we wrześniu za pośrednictwem legalnej strony do szukania pracy. Atakujący podawał się za rekrutera, przeniósł proces na rozmowę wideo, a następnie poprosił inżyniera o pobranie zadania programistycznego. Według Binance złośliwe oprogramowanie ukryte w repozytorium uruchomiło się podczas instalacji i zapisało się na służbowym komputerze pracownika.

Wewnętrzne narzędzie AI stało się częścią ścieżki ataku

Binance poinformował, że atakujący wykorzystali następnie podszyte urządzenie i narzędzie AI, aby uzyskać dostęp do systemów dwóch innych inżynierów. Do 20 października zlokalizowali token do wdrożeń kontenerów posiadany przez pracownika Wallet DevOps. Wykorzystując skradzione dane logowania, atakujący uruchomili kontener i 29 października przesłali złośliwy kod do środowiska portfeli Binance.

Hakerzy uzyskali następnie dostęp do wewnętrznej usługi podpisywania portfeli, omijając standardową procedurę wypłat giełdy.

Atakujący wykorzystali EIP-7702, aby dalej przemieszczać kryptowaluty

Kilku sieci dotknęło to włamanie. Według raportu atakujący opróżnili pięć hot walletów Binance — portfeli połączonych z internetem, których giełdy używają do bieżących transferów — o łącznej wartości 233,46 mln XRP. Dodatkowe transfery objęły 970 503 SOL i 44,2 mln OP, a następnie transfery 18 270 BTC.

EIP-7702 to funkcja Ethereum umożliwiająca delegowanie praw wykonania z konta do inteligentnego kontraktu, którą — jak stwierdził Binance — wykorzystali atakujący. Śledztwo firmy wykryło złośliwą manipulację nonce — ingerencję w numery sekwencyjne, których Ethereum używa do porządkowania transakcji z konta — obejmującą 50 transakcji podpisujących.

Według raportu złośliwe autoryzacje nie zostały usunięte po wstrzymaniu wypłat, ponieważ wstrzymanie wypłat nie było opcją zdolną natychmiast zatrzymać wszystkie transfery. Konfiguracja portfela Multi-Party Computation dodatkowo utrudniła reakcję, ponieważ nie istniał jeden klucz prywatny, którym można by szybko cofnąć złośliwe autoryzacje.

Binance zamraża 2,85 mld dolarów i uzupełnia 98% tokenów

Około 6,34 mld dolarów w aktywach cyfrowych zostało dotkniętych — według współdyrektora Binance Richarda Tenga. Ponad 2,85 mld dolarów zostało zamrożonych lub przechwyconych przy wsparciu organów ścigania, emitentów tokenów i firm zajmujących się analizą blockchain — poinformował przedstawiciel.

On 29 October, Binance was the target of one of the most sophisticated attacks the digital asset industry has ever seen. ~$6.34B in assets were impacted. We take full responsibility and we're making it right. No user bears the loss. We set aside more than the full amount required. At this moment, 98% of impacted tokens had been replenished; we're completing the remaining 2%. Withdrawals have broadly resumed. This wasn't one mistake or one breach – it was a months-long campaign. We're publishing the full report because the lessons go far beyond Binance. ~$2.85B has already been frozen or intercepted with law enforcement, issuers and blockchain intelligence firms. The speed of coordination could not be matched in traditional finance.

— Richard Teng (@_RichardTeng) November 3, 2026

Binance zobowiązał się ponieść straty z tego incydentu, zamiast przerzucać je na użytkowników. Do 31 października odnowiono aktywa tokenowe stanowiące 98% dotkniętych zasobów, a pozostałe, mniej płynne aktywa były w trakcie skupu.

Giełda odbudowała od tego czasu dotknięte systemy portfeli i wewnętrzne narzędzia AI, wymieniła przejęte urządzenia, cofnęła dane logowania i dodała wykrywanie anomalii behawioralnych oparte na AI. Według harmonogramu Binance nadal do załatwienia pozostają: ostateczne 2% uzupełnienia tokenów, skup pozostałych mniej płynnych aktywów oraz dalsze prace odzyskowe z organami ścigania, emitentami tokenów i firmami analizy blockchain w sprawie środków jeszcze niezamrożonych i nieprzechwyconych.

Źródło: CryptoNinjas