FBI potwierdziło, że za kradzieżą ponad 6 miliardów dolarów w aktywach wirtualnych z Binance stoją północnokoreańscy hakerzy, publikując setki adresów blockchain powiązanych z atakiem, w czasie gdy giełda rozpoczęła wznawianie wypłat i zgłosiła miliardy dolarów opuszczające platformę.

W ostrzeżeniu opublikowanym w sobotę urząd oświadczył, że operację przeprowadziła północnokoreańska grupa hakerska, którą określa mianem "TraderTraitor", potwierdzając atrybucję dokonaną w piątek przez firmy analityki blockchain TRM Labs i Chainalysis. FBI poinformowało, że środki zostały skradzione z giełdy kryptowalut około 29 października 2026 r., i opublikowało powiadomienie na swojej oficjalnej stronie alertów cybernetycznych.

TraderTraitor to określenie używane przez amerykańskie władze dla aktorów powiązanych z Koreańską Republiką Ludowo-Demokratyczną (KRLD), stojących za kradzieżami kryptowalut o wysokiej wartości. Urząd ogłosił swoje ustalenia na X:

The FBI is releasing information advising the Democratic People's Republic of Korea (North Korea) was responsible for the theft of more than $6 billion USD in virtual assets from cryptocurrency exchange, Binance, on or about October 29, 2026. The FBI refers to this specific North… pic.twitter.com/TBUvUFln4n

— FBI Cyber Branch (@FBICyberBranch) October 31, 2026

Zobacz post FBI Cyber Branch na X

Współpracując z amerykańskim Secret Service i śledczymi IRS Criminal Investigation, FBI oświadczyło, że zaobserwowało konwersję skradzionych aktywów głównie na Ethereum i spodziewa się dalszego prania środków poprzez zdecentralizowane finanse (DeFi) i usługi błyskawicznej wymiany. Urząd wezwał operatorów węzłów, giełdy błyskawiczne, usługi DeFi, firmy analityki blockchain i inne firmy związane z kryptowalutami do blokowania transakcji obejmujących setki adresów Ethereum, 19 adresów Bitcoin oraz jeden adres Solana powiązanych z kradzieżą.

Secret Service, który również prowadzi śledztwo, oświadczył w niedzielę, że jego śledczy we współpracy z partnerami z branży zidentyfikowali i zamrozili " znaczną część" skradzionych kryptowalut w ciągu kilku minut od ataku. Prace te są kontynuowane we współpracy z FBI, IRS Criminal Investigation, biurami prokuratorów federalnych dla Waszyngtonu i centralnego dystryktu Kalifornii oraz wydziałami Departamentu Sprawiedliwości ds. przestępczości komputerowej i bezpieczeństwa narodowego, podała agencja.

Pranie pieniędzy jest już dobrze zaawansowane. Firma analityki blockchain Chainalysis oświadczyła w niedzielę, że po ataku hakerzy przenieśli ponad 500 milionów dolarów na Tronie poprzez ponad 1000 adresów, ponad 3000 depozytów i kilka protokołów DeFi opartych na Tronie. Większość tych portfeli przejściowych została już opróżniona, a środki opuściły Tron poprzez usługi cross-chain, w tym Chainflip, Relay, THORChain i NEAR, trafiając do dziesiątek nowych portfeli na Ethereum, Bitcoinie i innych sieciach; praniusze rozpoczęli także przenoszenie środków na Solanę, poinformowała firma. Działania te są zgodne z przewidywaniami FBI, że skradzione środki będą dalej prane poprzez DeFi i usługi błyskawicznej wymiany.

Wznowienie wypłat

Binance rozpoczął przywracanie wypłat etapami o godzinie 1:00 czasu wschodnioamerykańskiego (ET) w niedzielę, a wszystkie 15 sieci i aktywów z pierwszej fazy było dostępnych do godziny 7:36 ET. W pierwszych dziewięciu i pół godzinie giełda obsłużyła 4,649 miliarda dolarów wypłat i 1,01 miliarda dolarów depozytów, co dało netto odpływ około 3,64 miliarda dolarów, według Binance.

Firma poinformowała, że ten netto odpływ stanowił 2,1% z 171 miliardów dolarów aktywów wykazanych w najnowszym dowodzie rezerw z 28 października. "Po początkowym skoku wolumeny wypłat spadły i stabilizują się zgodnie z oczekiwaniami," oświadczył Binance. Wykonał nową migawkę rezerw 31 października i spodziewa się opublikowania zaktualizowanego raportu w poniedziałek. Ponieważ migawka z 28 października powstała przed kradzieżą, poniedziałkowy raport będzie pierwszym opublikowanym dowodem rezerw giełdy sporządzonym po ataku.

Wraz ze wznowieniem wypłat CEO Richard Teng oświadczył, że Binance uzupełnił około 95% dotkniętych aktywów, opisując ostrożne, etapowe podejście mające na celu bezpieczny i pewny powrót usług. "Binance poniesie skutki finansowe skradzionych środków, a nie nasi użytkownicy," napisał.

Today, we're beginning the phased resumption of withdrawals, taking a careful approach to ensure services return safely and securely. We've now replenished approximately 95% of the impacted assets, and our commitment remains clear: Binance will absorb the financial impact of the… pic.twitter.com/uWFGs3sJJ5

— Richard Teng (@_RichardTeng) November 1, 2026

Zobacz post Richarda Tenga na X

Binance wznowił od tego czasu wypłaty na większej liczbie sieci, w tym Zcash, TON i Sui, a w poniedziałek przywrócił wypłaty fiat w dolarach amerykańskich, dirhamach ZEA, dongach wietnamskich, peso filipińskich i rupiach indonezyjskich.

"Naszym najwyższym priorytetem jest obecnie zapewnienie bezpieczeństwa środowiska, po czym użytkownicy będą mogli wypłacić swoje środki, a Binance będzie mógł wznowić działalność," powiedziała w poniedziałek na X współ-CEO Binance Yi He, donosi Reuters.

Giełda poinformowała, że pozyskała 6 miliardów dolarów na pokrycie strat, sięgając do skarbca korporacyjnego, funduszu ubezpieczeniowego oraz funduszu awaryjnego SAFU, według Reutersa, który podał również, że emitent stablecoinów Circle zamroził ponad 1,1 miliarda dolarów w USDC.

Dane z DefiLlama, która śledzi publiczne portfele giełd, wykazały, że całkowite aktywa Binance wynosiły około 127,6 miliarda dolarów w poniedziałek. Ponad 6 miliardów dolarów opuściło portfele powiązane z Binance w ciągu 24 godzin od wznowienia wypłat, podał CoinDesk, powołując się na DefiLlama, choć te ruchy mogą obejmować transfery między własnymi portfelami Binance. Konkurencyjne giełdy OKX i Bybit odnotowały podczas wznowienia działalności Binance netto napływy wynoszące odpowiednio około 450 milionów i 134 miliony dolarów.

Atak wstrząsnął także inwestorami instytucjonalnymi. Spotowe ETF-y na Bitcoina straciły w piątek 643,2 miliona dolarów — pierwszą pełną sesję handlową po ataku — co pozostawiło fundusze z około 516 milionami dolarów netto wypływów w październiku.

"Atak na giełdę kryptowalut to napad na bank w tempie internetu," powiedział Ari Redbord z TRM Labs w rozmowie z Reutersem.

Ten artykuł opiera się na oryginalnym reportażu Decrypt.