Synthetix odzyskał SNX skradzione podczas hakerstwa Binance o wartości 6,3 mld dolarów, podczas gdy atakujący niechcący uwięził około 8 mln tokenów Newton (NEWT) w kontrakcie, który nie pozwala ich zwolnić. Oba wydarzenia są częścią co najmniej dziewięciu oddzielnych działań podjętych wobec łupu z tego, co jest obecnie największym exploitem w historii kryptowalut — a razem pokazują granice tego, co na chainie da się i czego nie da się odzyskać.

Co najmniej dziewięć ruchów wobec jednego łupu

Binance potwierdził, że w wyniku incydentu ukradniono około 6,3 mld dolarów — kwotę ponadczterokrotnie większą niż hakerstwo Bybit o wartości 1,5 mld dolarów z lutego 2025 roku, które było dotąd największe. Kilku śledczych powiązało atak z północnokoreańską jednostką TraderTraitor, a Binance obwinia o naruszenie bezpieczeństwa laptopa inżyniera DevOps.

Jak dotąd blisko 3 mld dolarów skradzionych środków zostało zamrożonych lub zablokowanych w różnych sieciach, przy czym największe kwoty zamroziły emitenci scentralizowanych stablecoinów. Tether wpisał na czarną listę około 1,77 mld dolarów w USDT, a Circle uczynił to samo dla około 825 mln USDC.

Ripple zamroził 40,5 mln z przemieszczonych 88,5 mln RLUSD, a World Liberty Financial zablokował 27,8 mln USD1. Rada Bezpieczeństwa Arbitrum użyła uprawnień awaryjnych, aby odgrodzić 30,5 mln dolarów w ETH i ARB, a agregator DEX 1inch zablokował adresy wykorzystane w ataku w swoich aplikacjach, portfelu i API.

Ta lista pokazuje, jak współczesna reakcja na exploit biegnie obecnie równolegle na kilku warstwach systemu — emitenci tokenów działają na poziomie kontraktów, rada bezpieczeństwa DAO na poziomie protokołu, a front-end handlowy na poziomie aplikacji — zamiast za pomocą jednego globalnego wyłącznika.

Dlaczego klucz administratora decyduje o wszystkim

Emitenci stablecoinów — zwłaszcza scentralizowani — posiadają funkcję czarnej listy lub klucz administratora, zdolność obecną także w tokenach niektórych protokołów, takich jak Arbitrum. Funkcja ta pozwala emitentowi lub kontrolującemu DAO zamrozić lub cofnąć transfer, zanim dotrze on do zamierzonego adresata.

Aktywa natywne, takie jak Ether (ETH) Ethereum i Bitcoin (BTC), nie mają emitentów ani wyłączników, co oznacza, że zwykle przemieszczają się bez możliwości zatrzymania ich przez jakąkolwiek firmę lub DAO. Inne tokeny są niezmienne z założenia: nie można ich zamrozić, ale wciąż można je stracić, jeśli trafią w miejsce, z którego nigdy nie będą mogły zostać przeniesione. To, czy token miał taki wyłącznik, zostało ustalone w kodzie w chwili wdrożenia — dlatego właśnie ten wysiłek odzyskiwania podzielił się tak wyraźnie wzdłuż tej linii.

Reserve zderzył się dokładnie z tym ograniczeniem. Po tym, jak atakujący zmieścił około 3,4 mld jego tokenu RSR, zespół napisał na X, że nikt — włącznie z samym projektem — nie może zamrozić tych tokenów, ponieważ RSR nie ma kluczy administratora. Tokeny, które można zamrozić, zostaną zatrzymane; niezmienne tokeny znikają tylko przez wypadek lub z premedytacją.

Odzyskanie środków przez Synthetix i własna wpadka hakera

Synthetix poinformował, że jego protocolDAO odzyskał SNX zabrane z Binance i przeniósł je do wielopodpisowego Safe DAO. Odzyskana kwota to około 8,4 mln dolarów. Według DAO Binance został powiadomiony, a tokeny zostaną zwrócone na żądanie. Odzyskanie przebiegło poprzez własne zarządzanie protokołem, a nie czarną listę emitenta, i zakończyło się bezpośrednim kanałem zwrotu z giełdą.

The SNX stolen from Binance has been recovered by the Synthetix protocolDAO. The tokens are secured in the protocolDAO Safe and will be sent back to Binance on request. We have notified Binance. Fuck Kim Jong Un.

— Synthetix ⚔️ (@synthetix) October 30, 2026

Tokeny Newton, tymczasem, przetrwały z powodu własnego błędu atakującego. Newton Foundation poinformował na X, że złodziej wysłał około 8 mln NEWT bezpośrednio na adres kontraktu samego tokenu, wraz z 17 innymi tokenami, w tym ANIME.

NEWT to token ERC-20 na Ethereum o stałej podaży wynoszącej 1 mld. Ponieważ tokeny zostały wysłane na adres kontraktu bez funkcji ich zwalniania, skutecznie zostały uwięzione — około 3,5 mln dolarów w NEWT, które są teraz poza kontrolą atakującego. To zdarzenie jest lustrzanym odbiciem przypadku RSR z przeciwnej strony: ta sama niezmienność, która tam zablokowała wszelkie zamrożenie, tutaj blokuje wszelką akcję ratunkową.

2,86 mld dolarów, których nikt nie może dotknąć

Atakujący konwertuje aktywa podlegające zamrożeniu na aktywa, których zablokować się nie da. Złe strony uzyskały około 158,25 mln dolarów ze sprzedaży altcoinów takich jak AAVE, LINK i PEPE, a następnie przepchnęły wpływy do ETH.

W innym zgłoszonym ruchu atakujący dostarczył 60 mln USDT do Aave i pożyczył około 19 762 ETH pod ich zastaw — transakcja ta nastąpiła zaledwie 41 minut przed zamrożeniem rynku przez Aave. Ten okres wystarczył, by atakujący odszedł z ETH, podczas gdy podlegające zamrożeniu stablecoiny pozostały z tyłu jako zabezpieczenie.

Według śledzenia Arkham i Lookonchain aktywa o wartości 2,86 mld dolarów ze skradzionych środków znajdują się obecnie w tokenach bez funkcji zamrażania: 1,09 mld dolarów w ETH, 1,41 mld dolarów w BTC i 682,9 mln w TRX.

Przy tak dużej części łupu poza zasięgiem emitentów, pozostałe dźwignie zawężają się do śledzenia on-chain typu tego, które wykonują Arkham i Lookonchain, oraz do wąskich gardeł, gdzie skradzione krypto spotyka giełdy i inne punkty wypływu środków.

Binance zawiesił wpłaty i wypłaty oraz oświadcza, że pokryje straty użytkowników z rezerwy SAFU i środków własnych firmy. Współ-CEO Richard Teng napisał na X: „Your money is safe and we're covering every loss.”