Kradzież 6,3 mld dolarów z Binance

29 października 2026 roku, około godziny 20:05 czasu UTC, z portfeli jednej z największych giełd kryptowalut na świecie zaczęły wypływać cyfrowe aktywa. Bitcoin, Ethereum, stablecoiny i inne tokeny trafiały na adresy kontrolowane przez napastników. Według Binance skradziono aktywa warte około 6,3 miliarda dolarów.

To największa ujawniona kradzież kryptowalut w historii. Wcześniejszy rekord należał do ataku na giełdę Bybit z lutego 2025 roku, podczas którego wyprowadzono około 1,5 miliarda dolarów.

Ale najbardziej niepokojący szczegół nie dotyczy samej kwoty. Analizy blockchain wskazują, że wiele nieautoryzowanych transakcji miało ważne podpisy kryptograficzne. Z perspektywy sieci wyglądały więc jak operacje wykonane przez uprawnione portfele.

Jak można ukraść miliardy, kiedy mechanizm sprawdzający podpisy działa prawidłowo? Odpowiedź prowadzi do infrastruktury giełdy, sposobu autoryzowania przelewów i granicy między bezpieczeństwem kryptografii a bezpieczeństwem systemów, które z niej korzystają.

Stan ustaleń: 1 listopada 2026 roku. Dochodzenie techniczne i działania zmierzające do odzyskania skradzionych aktywów nadal trwają.

Noc, podczas której zniknęły miliardy

Blockchain pozostawia po sobie ślady. Można sprawdzić, kiedy wykonano transakcję, ile aktywów przesłano i na jaki adres. Nie oznacza to jednak, że każda taka operacja ujawnia tożsamość osoby, która ją zainicjowała.

Firma TRM Labs, zajmująca się analizą blockchain, oszacowała wartość skradzionych aktywów na około 6,36 miliarda dolarów. Według jej ustaleń większość środków wyprowadzono w ciągu mniej więcej 20 minut od początku ataku, a kolejne transfery następowały później.

Niezależna analiza Bitquery wskazała na 17 portfeli Binance, z których wypływały aktywa w okresie od 20:04 do 23:56 UTC. Badacze śledzili transakcje m.in. w sieciach Ethereum, Bitcoin, TRON, Solana i XRP Ledger. TRM Labs uwzględnił w swojej analizie dziesięć sieci blockchain, a Bitquery dziewięć. Takie różnice pokazują, że dokładny zakres operacji zależy również od metod przypisywania poszczególnych transferów do ataku.

Kluczowym elementem były tak zwane hot wallety, czyli portfele kryptowalutowe połączone z systemami działającymi online.

Giełda obsługująca ogromną liczbę klientów musi umożliwiać wypłaty o każdej porze. Nie może przy każdej transakcji uruchamiać procedury wymagającej fizycznego dostępu do odłączonego urządzenia. Dlatego część środków utrzymuje w portfelach gotowych do wykonywania przelewów.

Przeciwieństwem są cold wallety, w których klucze potrzebne do autoryzacji transakcji pozostają odizolowane od systemów stale dostępnych przez sieć. To rozwiązanie zmniejsza powierzchnię ataku, ale jest mniej wygodne przy obsłudze bieżących wypłat.

Właśnie ta wygoda stwarza zagrożenie. Gdy napastnik uzyska odpowiednie uprawnienia w systemie obsługującym hot wallety, może próbować wykorzystać mechanizm wypłat do przesyłania pieniędzy na własne adresy.

Ważny podpis pod nielegalną transakcją

W zwykłym przelewie bankowym system sprawdza uprawnienia osoby zlecającej operację. W kryptowalutach podobną podstawową rolę pełni podpis kryptograficzny. Dowodzi on, że transakcja została autoryzowana za pomocą odpowiedniego klucza lub mechanizmu autoryzacji.

Nie rozstrzyga jednak, czy operacja była zgodna z wolą właściciela środków.

Wyobraźmy sobie magazyn, w którym brama otwiera się po otrzymaniu elektronicznego polecenia z uprawnionego systemu. Jeżeli przestępca przejmie możliwość wydawania takich poleceń, brama może działać całkowicie prawidłowo, a mimo to wypuszczać towar, który nie powinien opuścić magazynu.

Podobny problem ujawniają analizy ataku na Binance.

Według Bitquery i TRM Labs na Ethereum wykorzystano mechanizm EIP-7702. Pozwala on kontu delegować wykonywanie określonych operacji do kodu inteligentnego kontraktu. Sam standard ma legalne zastosowania, ale w tym przypadku został wykorzystany w nieautoryzowanej operacji.

Badacze zidentyfikowali zestaw 50 autoryzacji przygotowanych dla kolejnych wartości licznika transakcji portfela. Jedna z nich pozwoliła uruchomić delegowany kod. Następnie z portfela wypłynęły ogromne ilości tokenów.

Oznacza to, że nie trzeba było złamać matematycznych zabezpieczeń blockchain. Wystarczyło doprowadzić do sytuacji, w której uprawniony mechanizm podpisujący zatwierdzał działania napastnika lub umożliwiał wykorzystanie jego wcześniej uzyskanych autoryzacji.

W jaki sposób napastnicy zdobyli tę możliwość?

Pierwszy komunikat Binance z 30 października wskazywał na możliwe przejęcie laptopa inżyniera DevOps. Według wstępnej hipotezy urządzenie mogło posłużyć do uzyskania dostępu do wewnętrznego kontenera usługi i wysyłania nieautoryzowanych zleceń wypłaty.

Później firma poinformowała jednak o wykryciu dodatkowych punktów naruszenia zabezpieczeń. Współzarządzający Binance Richard Teng opisywał również wykorzystanie mechanizmów usuwających ślady aktywności napastników.

Binance podkreśliło, że nie znalazło dotąd dowodów na wyciek kluczy prywatnych portfeli. To istotna informacja, ale nie ostateczne wyjaśnienie sposobu zdobycia autoryzacji.

Warto zapamiętać: prawidłowy podpis kryptograficzny potwierdza ważność autoryzacji w danej sieci, a nie legalność przelewu. W tym ataku mogły zostać nadużyte uprawnienia systemów, które miały chronić środki.

Ślady prowadzące do Korei Północnej

31 października 2026 roku FBI oficjalnie przypisało kradzież północnokoreańskiej operacji cyberprzestępczej TraderTraitor.

Ta nazwa pojawiała się już wcześniej przy analizach ataków na sektor kryptowalut. FBI wiązało ją również z kradzieżą środków z giełdy Bybit w 2025 roku.

Jeszcze przed komunikatem amerykańskich służb TRM Labs wskazywał TraderTraitor jako sprawcę z wysokim poziomem pewności. Firma powoływała się na informacje pochodzące zarówno z blockchain, jak i spoza niego.

Co konkretnie można zobaczyć w publicznym rejestrze?

Można prześledzić transfery pomiędzy adresami, sprawdzić zamiany tokenów na inne aktywa i obserwować dalsze przemieszczanie środków. FBI opublikowało listę adresów powiązanych ze skradzionymi kryptowalutami i wezwało operatorów usług do blokowania związanych z nimi transakcji.

Według FBI napastnicy zamieniali część aktywów przede wszystkim na Ethereum. Amerykańskie służby przewidywały dalsze pranie środków z wykorzystaniem zdecentralizowanych usług finansowych i narzędzi do szybkiej wymiany tokenów.

Dlaczego to ważne? Nie wszystkie kryptowaluty można zatrzymać w taki sam sposób.

Emitenci niektórych stablecoinów, takich jak USDT i USDC, dysponują mechanizmami umożliwiającymi blokowanie tokenów pod wskazanymi adresami. Nie mają jednak analogicznej centralnej kontroli nad natywnym bitcoinem czy etherem.

Napastnicy starali się więc zamieniać część aktywów, które można zablokować, na takie, których zatrzymanie wymaga innych metod.

Analiza Bitquery pokazała również, że część zamrożeń nastąpiła po przemieszczeniu środków na kolejne adresy. Niektóre blokady dotknęły już opróżnionych portfeli.

Samo istnienie publicznego adresu nie ujawnia nazwiska jego właściciela. Przypisanie operacji TraderTraitor jest ustaleniem FBI, wspieranym analizami specjalistycznych firm, ale nie oznacza, że publicznie odtworzono pełną drogę włamania lub ujawniono tożsamość wszystkich jego uczestników.

Zamrożone to nie znaczy odzyskane

W komunikatach po cyberataku zaczęły pojawiać się ogromne kwoty środków zabezpieczonych, odzyskiwanych i uzupełnianych. Te pojęcia nie oznaczają jednak tego samego.

Zamrożenie polega na zablokowaniu możliwości przemieszczania określonych aktywów. Binance informowało 30 października, że dzięki współpracy z partnerami udało się zamrozić około 3 miliardów dolarów. Bitquery wyliczał wcześniej około 2,7 miliarda dolarów aktywów zamrożonych lub zabezpieczonych. Różnica może wynikać z chwili pomiaru i zakresu uwzględnionych działań.

Odzyskanie oznacza faktyczne przywrócenie kontroli nad skradzionymi aktywami podmiotowi uprawnionemu. Zablokowane tokeny mogą nadal znajdować się na adresie napastnika. Do ich odzyskania potrzebne są dalsze działania techniczne, prawne lub współpraca emitentów i innych podmiotów.

Uzupełnienie rezerw to jeszcze inna operacja. Giełda może wykorzystać własne środki lub fundusze zabezpieczające, żeby kupić kryptowaluty odpowiadające tym, które zostały skradzione. Saldo aktywów zabezpieczających klientów zostaje w ten sposób odbudowane, nawet jeżeli oryginalne tokeny pozostają poza kontrolą giełdy.

Binance zobowiązało się pokryć finansowe skutki włamania. Firma poinformowała, że przeznaczyła na ten cel ponad 6,34 miliarda dolarów, korzystając z zasobów korporacyjnych, funduszu awaryjnego SAFU oraz części Futures Insurance Fund.

31 października giełda deklarowała uzupełnienie około 90% skradzionych aktywów. W komunikacie z 1 listopada zwiększyła ten wskaźnik do około 95%. Według Binance pozostałe 5% obejmowało mniej płynne tokeny, których pozyskanie wymagało więcej czasu.

Nie znaczy to, że hakerzy oddali 95% łupu. Jest to deklarowany stopień odtworzenia aktywów służących zabezpieczeniu zobowiązań giełdy wobec użytkowników.

Binance przygotowało także nową migawkę Proof of Reserves, czyli zestawienia aktywów mających stanowić pokrycie sald użytkowników. Firma deklarowała pełne pokrycie m.in. dla BTC, ETH, USDT, BNB, SOL, USDC i XRP. Zakończenie generowania pełnego dowodu kryptograficznego dla wskazanych aktywów zapowiedziano na 3 listopada.

Proof of Reserves pozwala weryfikować określone stany aktywów i sald w chwili pomiaru. Nie jest jednak dowodem, że systemy giełdy są odporne na przyszłe włamania ani gwarancją nieprzerwanej wypłacalności.

1 listopada Binance zapowiedziało także stopniowe przywracanie wypłat, początkowo dla wybranych kryptowalut i sieci. Okno uruchomienia pierwszego etapu wyznaczono na 06:00-09:00 UTC. Komunikat o planie nie oznaczał automatycznie, że wszystkie rodzaje wypłat stały się już dostępne.

Panika, likwidacje i pytanie o manipulację

Włamanie nie zatrzymało się na problemach technicznych jednej giełdy. Informacje o kradzieży miliardów dolarów zbiegły się z gwałtowną przeceną kryptowalut.

W nocy z 29 na 30 października bitcoin spadł do około 76 460 dolarów, a ether przejściowo poniżej 2200 dolarów. Według danych przytaczanych przez The Block w późnych godzinach 29 października BNB tracił około 7,1%, ETH około 5,2%, a XRP około 7% w ujęciu dobowym.

Jeszcze ważniejsze były konsekwencje dla inwestorów korzystających z dźwigni finansowej.

Według CoinGlass, cytowanego 30 października przez CoinDesk, łączna wartość przymusowo zamkniętych pozycji kryptowalutowych w ciągu 24 godzin osiągnęła około 1,53 miliarda dolarów. Z tej kwoty około 1,29 miliarda dotyczyło pozycji długich, czyli zakładów na wzrost cen.

Mechanizm jest prosty. Inwestor otwiera pozycję o wartości wielokrotnie większej niż posiadane zabezpieczenie. Gdy kurs spada dostatecznie mocno, giełda może automatycznie zamknąć jego transakcję. Likwidacja pozycji długich często powoduje dodatkową sprzedaż, która może pogłębiać spadki i wywoływać kolejne likwidacje.

Powstaje reakcja łańcuchowa, w której pierwotna informacja o cyberataku uruchamia mechanizmy rynkowe zwiększające skalę przeceny.

Czy właśnie o to chodziło napastnikom?

Hipoteza manipulacji rynkowej zakłada, że sprawcy mogli liczyć nie tylko na skradzione kryptowaluty, ale również na zyski ze spadków kursów. Teoretycznie można zarabiać na przecenie przez wcześniej otwarte pozycje krótkie.

Na 1 listopada nie ma jednak zweryfikowanych dowodów, które pozwalałyby stwierdzić, że TraderTraitor przeprowadził włamanie w celu wywołania paniki i zarobienia na spadku cen.

Do potwierdzenia takiego scenariusza potrzebne byłyby dane o pozycjach otwartych przed atakiem, powiązaniach rachunków handlowych ze sprawcami oraz dowody wskazujące na świadomą koordynację włamania z transakcjami rynkowymi.

Sam spadek cen nie wystarcza. Również duże zyski niektórych uczestników rynku, gdyby zostały wykazane, nie dowodziłyby automatycznie ich udziału w cyberataku.

Udokumentowana kradzież i towarzyszące jej likwidacje są faktami. Celowa manipulacja pozostaje hipotezą.

Sprawa Binance stawia jednak jeszcze ważniejsze pytanie: co naprawdę chroni pieniądze przechowywane na giełdzie?

Nie wystarczy bezpieczny algorytm podpisu. Potrzebne są również skuteczne ograniczenia uprawnień, niezależna kontrola autoryzacji, limity wypłat, monitorowanie nietypowych transakcji, oddzielenie rezerw od portfeli operacyjnych i sprawne reagowanie na incydenty.

Znaczenie mają także rzeczywiste rezerwy oraz zdolność giełdy do pokrycia strat. Dwuskładnikowe uwierzytelnianie chroni konto użytkownika przed nieautoryzowanym logowaniem, ale nie zastępuje zabezpieczeń wewnętrznej infrastruktury przechowującej środki klientów.

Samodzielne przechowywanie kryptowalut poza giełdą ogranicza ryzyko związane z jej systemami, lecz przenosi na właściciela odpowiedzialność za ochronę kluczy i odzyskanie dostępu do portfela.

Największa ujawniona kradzież kryptowalut pokazuje więc paradoks tego rynku. Blockchain potrafi niezawodnie potwierdzić autoryzację transakcji, ale nie potrafi samodzielnie ocenić, czy system, który jej udzielił, został przejęty.

Można mieć prawidłowy podpis, kompletny zapis operacji i miliardy dolarów, których mimo to nie da się od razu odzyskać.

I właśnie w tej różnicy między techniczną poprawnością a rzeczywistym bezpieczeństwem kryje się najważniejsza lekcja z ataku na Binance.