Atak hakerski na Binance za 5,8 mld USD: co potwierdzono?

Kłopoty zaczęły się od kilku wierszy kodu i portfela zawierającego ogromną sumę pieniędzy. W czwartek, 29 października 2026 r., kryptowaluty zaczęły wypływać z adresów powiązanych z Binance, a jedna transakcja Ethereum podobno pochłonęła około 167 464 ETH, 1,615 mld USDT i dziesiątki innych tokenów. W ciągu 40 minut jeden adres odbiorczy zgromadził szacunkowo 3,52 mld USD.

Wtedy historia przybrała inny obrót. Analitycy zidentyfikowali dodatkowe przepływy obejmujące bitcoiny, Tron i inne sieci, co spowodowało, że niektóre szacunki przekroczyły 5,5 mld USD. Firmy zajmujące się stablecoinami pospiesznie zamroziły środki, Binance wstrzymało wypłaty, a założyciel Changpeng Zhao przyznał, że aktywność ta wyglądała na atak hakerski. Sama giełda nie potwierdziła jeszcze, czy doszło do kradzieży ani jakie są jej skutki finansowe.

Tajemnica portfela Binance przeradza się w kryzys wart wiele miliardów dolarów

Pierwsze znaczące przepływy w sieci Ethereum rozpoczęły się około godziny 16:24 czasu wschodnioamerykańskiego, kiedy aktywa z portfela zidentyfikowanego jako Binance 14 trafiły na nowo utworzony adres. Przelew obejmował ponad 60 różnych tokenów, a kolejne transakcje przyniosły dodatkowe środki z innych portfeli powiązanych z Binance. Obserwatorzy i badacze blockchainu szybko podnieśli alarm. Do wczesnego wieczora szacunki rosły, ponieważ śledczy śledzili przepływ aktywów przez różne adresy i sieci.

Liczby były dalekie od uporządkowanych. Niektóre obliczenia oparte na danych z łańcucha bloków szacowały podejrzane wypływy na 5,57 mld dolarów w sieciach Ethereum, Bitcoin i Tron. Glassnode oszacowało kwotę na około 5,3 mld dolarów, podczas gdy szersze szacunki sięgały 5,8 mld dolarów. Liczby te mają charakter wstępny, a niektórzy analitycy ostrzegają, że wyższe szacunki mogą obejmować przelewy niezwiązane z podejrzewanym atakiem. Binance nie opublikowało niezależnie zweryfikowanej kwoty strat.

Jednak same transakcje w sieci Ethereum wystarczyły, by zwrócić uwagę całej branży. Unchained oszacowało, że między 16:24 a 17:04 czasu wschodnioamerykańskiego na jeden adres odbiorczy wpłynęło około 3,52 mld dolarów. Dla porównania, w wyniku włamania do Bybit w lutym 2025 r. skradziono około 1,5 mld dolarów. Nawet bardziej ostrożne szacunki dotyczące Ethereum przekroczyłyby tę kwotę.

W jaki sposób własny podpis portfela mógł otworzyć furtkę

Wiodące wyjaśnienie techniczne skupia się na EIP-7702, funkcji sieci Ethereum wprowadzonej wraz z aktualizacją Pectra w maju 2025 roku. Funkcja ta pozwala zwykłemu portfelowi kryptowalutowemu upoważnić smart kontrakt do wykonywania instrukcji w jego imieniu. Jest to przydatna technologia, ale uprawnienie to staje się niebezpieczne, gdy trafi w niepowołane ręce.

Śledczy badający sprawę Binance 14 zidentyfikowali transakcję delegacji przesłaną około godziny 16:20 czasu wschodnioamerykańskiego. Według analizy Blockaid transakcja zawierała 50 autoryzacji zaprojektowanych tak, aby uwzględnić różne możliwe liczniki transakcji, znane jako nonce. Jeden z nich pasował.

Około trzy minuty później środki z portfela zostały przelane na adres zewnętrzny. Badacze zidentyfikowali również kontrakt wdrożony wcześniej tego samego dnia oraz powiązany z nim adres, na który wpłynęły środki za pośrednictwem miksera ETH Tornado Cash, protokołu zapewniającego prywatność w kryptowalutach.

Istotną różnicą jest to, że EIP-7702 wymaga ważnego upoważnienia. Analitycy badają, czy atakujący zdobył klucz prywatny, nakłonił upoważnionego sygnatariusza do zatwierdzenia złośliwych instrukcji, czy też przejął kontrolę nad inną częścią infrastruktury podpisującej Binance. Żadne z tych wyjaśnień nie zostało jeszcze potwierdzone.
Mechanizm Ethereum nie wyjaśnia również zgłoszonych ruchów na sieciach Bitcoin i Tron. To stawia przed śledczymi znacznie większą zagadkę niż tylko jeden naruszony kontrakt inteligentny.

Ido Ben-Natan, współzałożyciel i dyrektor generalny Blockaid, powiedział serwisowi Bitcoin.com News, że firma przewidziała taki rozwój sytuacji. Raport firmy za pierwsze półrocze przewidywał, że w drugiej połowie 2026 r. dojdzie do ataku o wartości siedmiocyfrowej. „Atakujący skutecznie przeprogramował jeden z głównych gorących portfeli Ethereum na platformie Binance tak, aby pojedynczy operator mógł go opróżnić, łącznie z wszelkimi nowymi środkami wpłaconymi na ten portfel, a ponad godzinę później ponownie wykorzystał ten dostęp” – wyjaśnił dyrektor generalny Blockaid.

Ben-Natan dodał:

„Atak został zaplanowany z dużym wyprzedzeniem – osoba atakująca sfinansowała operację za pośrednictwem Tornado Cash i kilka godzin wcześniej przećwiczyła ten sam scenariusz przejęcia na portfelach testowych, a wszystko to było widoczne w łańcuchu bloków. Tether i Circle szybko podjęły działania, aby zamrozić około 2,4 mld dolarów, a my nadal śledzimy pozostałą część środków”.

Emitenci stablecoinów podejmują zdecydowane działania wobec tokenów o wartości miliardów

Podczas gdy śledczy analizowali historię transakcji, emitenci stablecoinów zaczęli blokować dostęp do aktywów powiązanych z podejrzanym atakiem. Dyrektor generalny Tether, Paolo Ardoino, poinformował o zamrożeniu ponad 1,567 mld USDT. Dyrektor generalny Circle, Jeremy Allaire, potwierdził również, że jego firma zamroziła ponad 800 mln USDC we współpracy z organami ścigania.

Współprezes Binance, Yi He, przypisał następnie firmie Ripple zamrożenie około 200 milionów dolarów, podczas gdy współzałożyciel World Liberty Financial, Zach Witkoff, poinformował o oddzielnym zamrożeniu środków o wartości około 27 milionów USD1. Łącznie zgłoszone działania obejmują kwotę około 2,6 mld USD, choć dane te nie zostały niezależnie zweryfikowane i nie należy ich traktować jako potwierdzonej łącznej kwoty odzyskanych środków.

Jest jeszcze jeden haczyk. Zablokowanie tokenu to nie to samo, co zwrot go prawowitemu właścicielowi. Scentralizowani emitenci stablecoinów mogą blokować przelewy z określonych adresów. Aktywa natywne, takie jak bitcoin (BTC) i ether, nie posiadają równoważnego mechanizmu blokady kontrolowanego przez emitenta. Tymczasem analitycy zaobserwowali, jak podejrzany operator przenosił ether między portfelami, wymieniał tokeny za pośrednictwem zdecentralizowanej infrastruktury handlowej oraz zaciągał pożyczki pod zastaw kryptowalut.

Aave tymczasowo zamroziło swoje rynki pożyczkowe Ethereum V3 jako środek ostrożności, utrzymując jednocześnie, że nie miało to wpływu na jego inteligentne kontrakty. W rezultacie doszło do wyścigu między śledczymi próbującymi zidentyfikować środki a osobą kontrolującą portfele odbiorcze, która próbowała je przenieść. Równolegle Rada Bezpieczeństwa Arbitrum przeprowadziła transakcję w łańcuchu bloków w celu zamrożenia aktywów o wartości około 30,5 mln dolarów powiązanych z podejrzanym atakiem na Binance.

Binance wstrzymuje wypłaty, a Zhao obiecuje, że klienci otrzymają rekompensatę

Oficjalna reakcja Binance pozostała ostrożna, mimo że jej założyciel użył znacznie ostrzejszych słów. Giełda potwierdziła potencjalny problem z bezpieczeństwem i poinformowała, że jej zespoły prowadzą dochodzenie. Później w czwartek zawiesiła wypłaty na czas przeprowadzania kontroli bezpieczeństwa, obiecując przywrócenie dostępu po rozwiązaniu problemu. Binance zapewniła również, że środki klientów są całkowicie bezpieczne.

Zhao, który zrezygnował ze stanowiska dyrektora generalnego w 2023 roku, przedstawił bardziej dosadną ocenę sytuacji. „Wygląda to na atak hakerski na Binance” – napisał na X, podkreślając jednocześnie, że nie zarządza już giełdą. Jako udziałowiec stwierdził, że oczekuje, iż wszystkie środki klientów zostaną pokryte. W kolejnym poście Zhao zasugerował, że strata może być wyższa niż początkowo podawano, i zaznaczył, że Binance ją pokryje.

Ta obietnica sprawia, że zasoby finansowe giełdy znalazły się w centrum uwagi.

„Środki użytkowników są bezpieczne” – napisał współzałożyciel i dyrektor ds. obsługi klienta Binance, Yi He, o godz. 20:00 czasu wschodnioamerykańskiego. „Binance pokryje wszystkie straty wynikające z ataku hakerskiego. Wpłaty i wypłaty są tymczasowo zawieszone, podczas gdy nasz zespół przeprowadza kontrole bezpieczeństwa, blokuje środki i współpracuje z organami ścigania. Po zakończeniu dochodzenia opublikujemy pełną analizę zdarzenia. Prosimy o śledzenie aktualności wyłącznie za pośrednictwem oficjalnych kanałów Binance”.

Rynki kryptowalut odczuwają skutki, a śledczy stoją przed pytaniami bez odpowiedzi

Podejrzane zdarzenie miało miejsce podczas i tak już trudnej sesji giełdowej.

Cena bitcoina spadła do poziomu 76 000 dolarów, po czym nieco się odrobiła, podczas gdy ethereum straciło około 4,6%, a BNB prawie 7,7%. Dane Coinglass wskazują, że w ciągu 24 godzin zlikwidowano pozycje lewarowane o wartości około 1,4 mld dolarów, głównie zakłady na wzrost. Nie każdą część tych strat można przypisać Binance. Kurs bitcoina znajdował się pod presją już przed pojawieniem się podejrzanych transakcji.

Branża znalazła się jednak w trudnej sytuacji. Największa giełda kryptowalut pod względem zgłoszonych aktywów platformy prowadziła dochodzenie w sprawie potencjalnego naruszenia bezpieczeństwa wartego wiele miliardów dolarów, klienci tymczasowo nie mogli dokonywać wypłat, a badacze zajmujący się bezpieczeństwem wciąż próbowali ustalić, co się wydarzyło. Pytania dotyczące tożsamości atakującego również pozostały bez odpowiedzi. Niektórzy badacze sugerowali możliwość udziału Korei Północnej, ale nie ustalono żadnego oficjalnego przypisania odpowiedzialności.

Na razie śledczy muszą ustalić, które przelewy były nieautoryzowane, w jaki sposób uzyskano niezbędne uprawnienia do portfeli oraz czy aktywa nadal krążące na adresach zewnętrznych można odzyskać. Binance musi odpowiedzieć na kolejne pytanie: czy po wznowieniu wypłat klienci przekonają się, że zapewnienia giełdy były słuszne?

Odpowiedź na to pytanie ma znaczenie daleko wykraczające poza Binance. Firma może obiecać pokrycie strat, a emitenci tokenów mogą zamrozić miliardy, ale żadne z tych działań nie wyjaśnia, w jaki sposób tak duża ilość kryptowaluty w ogóle zdołała uciec.