29 अक्टूबर, 2026 को, लगभग शाम 4:20 बजे पूर्वी समय, बाइनेंस के हॉट वॉलेट से फंड निकलना शुरू हुआ, जिसे बाइनेंस में किसी ने भी मंजूरी नहीं दी थी। अगली सुबह तक जब सब कुछ शांत हुआ, चेनालिसिस ने चोरी का अनुमान लगभग $6.4 बिलियन और बाइनेंस पर $6.3 बिलियन लगाया। यह रिकॉर्ड पर सबसे बड़ी क्रिप्टो चोरी है, जो फरवरी 2025 से खिताब रखने वाले बायबिट हैक से लगभग चार गुना बड़ी है। मुख्य आंकड़ा क्रूर है। अधिक दिलचस्प संख्या दूसरी है: इसका लगभग $3 बिलियन कुछ ही घंटों में ऑन-चेन फ्रीज़ कर दिया गया, और उसका लगभग सारा हिस्सा एक ही स्रोत से आया। स्टेबलकॉइन जारीकर्ताओं ने एक बटन दबाया।
वह बटन क्रिप्टो का वह हिस्सा है जिसकी शिकायत क्रिप्टो नेटिव्स को सबसे ज्यादा करना पसंद है। इस हफ्ते यही एकमात्र चीज़ थी जिसने काम किया।
बाइनेंस हैक में क्या हुआ?
बाइनेंस की शुरुआती जांच एक समझौता किए गए डेवऑप्स इंजीनियर के लैपटॉप की ओर इशारा करती है। वहां से, हमलावर एक सर्विस कंटेनर तक पहुंचा और निकासी लेनदेन जमा किए जिन्हें सिस्टम ने वैध माना। बाइनेंस ने बाद में कहा कि उसे लैपटॉप के अलावा उल्लंघन के अतिरिक्त बिंदु मिले हैं, और उसने वॉलेट प्राइवेट की लीक का कोई सबूत नहीं देखा है। तथ्यों के सत्यापित होने के बाद पूर्ण पोस्ट-मॉर्टम का वादा किया गया है। फिर, सह-सीईओ रिचर्ड टेंग ने स्मैश एंड ग्रैब की तुलना में कुछ अधिक सर्जिकल बताया। उन्होंने कहा कि हमला 'वन क्लिक' क्रिया नहीं थी, कि हमलावर ने निशान साफ करने के लिए सेल्फ-डिस्ट्रक्ट मैकेनिज्म का इस्तेमाल किया। और यह कि एक EIP 7702 डेलिगेशन ने हमलावर को हॉट वॉलेट पर निष्पादन अधिकार दिया, सामान्य अनुमोदन नियंत्रणों को बायपास करते हुए। ब्लॉकएड्स के इडो बेन नाटन ने स्पष्ट कहा: अपग्रेड ने हमलावरों को 'एक ही झटके में ऐसा करने का तरीका' दिया। इसके बिना, उसी ड्रेन के लिए कई अलग-अलग लेनदेन की आवश्यकता होती, प्रत्येक निगरानी के लिए एक मौका।चेनालिसिस और टीआरएम लैब्स दोनों चोरी का श्रेय ट्रेडरट्रेटर को देते हैं, उत्तर कोरियाई इकाई जिसे एफबीआई ने बायबिट हैक के लिए नामित किया था। टीआरएम का कहना है कि वह उच्च आत्मविश्वास के साथ यह दृष्टिकोण रखता है। ऑन-चेन जांचकर्ता जैकएक्सबीटी और चेनालिसिस दोनों ने पाया कि बाइनेंस की आय पिछले महीने के बिटगेट एक्सप्लॉइट के फंड के साथ मिली हुई थी, जो THORChain के माध्यम से एक ही पते पर पहुंची। एक ही अभिनेता, लगभग चार हफ्तों में दूसरा एक्सचेंज।
EIP 7702 ने ड्रेन को तेज़ कैसे बनाया?
EIP 7702 एथेरियम के पेक्ट्रा अपग्रेड के साथ आया। यह एक साधारण बाहरी स्वामित्व वाले खाते को स्मार्ट कॉन्ट्रैक्ट कोड को अपना निष्पादन सौंपने देता है, ताकि एक सामान्य वॉलेट लेनदेन को बैच कर सके, गैस प्रायोजित कर सके, या कस्टम खर्च नियमों का पालन कर सके। EIP-7702 विनिर्देश के तहत, वह डेलिगेशन एक हस्ताक्षरित प्राधिकरण द्वारा निर्धारित किया जाता है और तब तक लागू रहता है जब तक इसे बदला या साफ नहीं किया जाता।
उपयोगकर्ताओं के लिए, यह एक सुविधा सुविधा है। एक हमलावर के लिए जो एक्सचेंज के बुनियादी ढांचे के अंदर से एक वैध प्राधिकरण हस्ताक्षरित प्राप्त करता है, यह एक बिल्ट-इन बैच प्रोसेसर वाली मास्टर की है। अनुमोदन कतारों के माध्यम से एक-एक करके निकासी धकेलने के बजाय, प्रत्यायोजित कोड एक ही प्रवाह में एक वॉलेट को स्वीप कर सकता है। अंबायर के इवो जॉर्जीव ने अनुवर्ती जोखिम को चिह्नित किया: जो इंजीनियर एक समझौता किए गए खाते का नियंत्रण फिर से प्राप्त करते हैं, उन्हें एहसास नहीं हो सकता है कि एक दुर्भावनापूर्ण डेलिगेशन अभी भी उससे जुड़ा हुआ है।
इसका मतलब यह नहीं है कि EIP 7702 टूट गया है। इसका मतलब है कि एक्सचेंज साइनिंग इंफ्रास्ट्रक्चर के पास अब निगरानी के लिए अनुमति का एक नया वर्ग है। और उद्योग के सबसे बड़े ऑपरेटरों में से कम से कम एक इसे पर्याप्त रूप से नहीं देख रहा था।
किसने क्या फ्रीज़ किया, और कितनी तेज़ी से?
चेनालिसिस ने पहले फ्रीज़ का समय शाम 5:14 बजे पूर्वी बताया, पहले बहिर्वाह के लगभग 54 मिनट बाद। टेथर के पाओलो अर्दोइनो और सर्कल के जेरेमी अल्लायर बाइनेंस के निकासी रोकने से पहले ही फ्रीज़ कुल पोस्ट कर रहे थे। यहां बताया गया है कि जारीकर्ताओं और प्रोटोकॉल ने क्या रिपोर्ट किया।
| फ्रीज़ करने वाला पक्ष | परिसंपत्ति | फ्रीज़ की गई राशि | फ्रीज़ तंत्र |
|---|---|---|---|
| टेथर | USDT | $1.567 बिलियन से अधिक | टोकन अनुबंध में जारीकर्ता ब्लैकलिस्ट |
| सर्कल | USDC | $800 मिलियन से अधिक | टोकन अनुबंध में जारीकर्ता ब्लैकलिस्ट |
| आर्बिट्रम सुरक्षा परिषद | 74...6M ARB और 8,425 ETH | लगभग $30.5 मिलियन | आर्बिट्रम पर आपातकालीन शासन कार्रवाई |
| वर्ल्ड लिबर्टी फाइनेंशियल | USD1 और WLFI | $27 मिलियन USD1, $2 मिलियन WLFI | जारीकर्ता ब्लैकलिस्ट |
| रिपल | RLUSD | अज्ञात | जारीकर्ता ब्लैकलिस्ट |
| फर्स्ट डिजिटल | FDUSD | अज्ञात | जारीकर्ता ब्लैकलिस्ट |
| कोई नहीं | मेननेट पर ETH, BTC | $0 | कोई मौजूद नहीं |
बाइनेंस का अपना चलता कुल लगभग $3 बिलियन फ्रीज़ तक पहुंच गया। चेनालिसिस इसे $2.8 बिलियन के करीब रखता है, और एलिप्टिक ने अनुमान लगाया कि चोरी की गई संपत्तियों का लगभग 44 प्रतिशत फ्रीज़ किया गया था, जिसमें स्टेबलकॉइन लगभग सभी के लिए जिम्मेदार थे। अकेले टेथर और सर्कल लगभग $2.37 बिलियन के लिए जिम्मेदार हैं। स्टेबलकॉइन जारीकर्ताओं को हटा दें और उद्योग का सामूहिक फ्रीज़ प्रयास कुछ दसियों मिलियन डॉलर का हो जाता है, जिसमें से अधिकांश आर्बिट्रम की सुरक्षा परिषद की एक ही आपातकालीन कार्रवाई से है।
हैकर्स बाकी $3 बिलियन क्यों रख सके?
क्योंकि बाकी $3 बिलियन ऐसी संपत्तियां थीं, या जल्दी ही बन गईं, जिन्हें कोई नियंत्रित नहीं करता। नेटिव ETH और BTC में कोई एडमिन कुंजी और कोई ब्लैकलिस्ट फ़ंक्शन नहीं है। एक बार चोरी का मूल्य वहां बैठ जाने के बाद, केवल ट्रेसिंग, एक्सचेंज सहयोग और भाग्य ही बचे हैं। निश्चित रूप से, हमलावर यह जानते थे और तदनुसार आगे बढ़े। चेनालिसिस ने लगभग $500 मिलियन स्टेबलकॉइन को एक ऐसे वॉलेट में ट्रेस किया जो एक ही काम के लिए बनाया गया था, फ्रीज़ करने योग्य संपत्तियों को फ्रीज़ न करने योग्य में परिवर्तित करना। लगभग 20 मिनट में, $325 मिलियन स्टेबलकॉइन $285 मिलियन ETH बन गए। लगभग दस मिनट बाद, शेष $175 मिलियन स्टॉपओवर वॉलेट में धकेल दिया गया। टीआरएम लैब्स का कहना है कि हमलावरों ने मार्केट मेकर्स को USDT भी बेचा और स्टेबलकॉइन संपार्श्विक के खिलाफ ETH उधार लिया।दिलचस्प बात यह है कि उस अंतिम रणनीति ने सीधे आवे को मारा। फ्रीज़ के लगभग 40 मिनट पहले, शोषक ने 60 मिलियन USDT जमा किया और लगभग 19,762 WETH उधार लिया, जिसकी कीमत लगभग $44.6 मिलियन थी। लामारिस्क ने पुष्टि की कि स्थिति अति-संपार्श्विक थी और आपूर्तिकर्ताओं के लिए कोई जोखिम नहीं था। आवे ने एहतियात के तौर पर 16 नेटवर्क पर 175 V3 भंडार और चार नेटवर्क पर 117 V4 भंडार फ्रीज़ किए, फिर 30 अक्टूबर को ऋण और उधार फिर से सक्षम किए। व्यापार तर्क गंभीर रूप से चतुर है: USDT पोस्ट करें जो फ्रीज़ हो सकता है, ETH के साथ चले जाएं जो नहीं हो सकता, और उधार प्रोटोकॉल को ब्लैकलिस्ट किए गए संपार्श्विक का बोरा पकड़ने दें।
चेनालिसिस प्रवाह डेटा के हमारे विश्लेषण से पता चलता है कि हमलावर के लिए गति का क्या मूल्य था। $325 मिलियन स्टेबलकॉइन को $285 मिलियन ETH में बदलने में लगभग $40 मिलियन का खर्च आया, स्लिपेज और जल्दबाजी में निष्पादन से 12.3 प्रतिशत की कटौती। फ्रीज़ सूची से बचने के लिए आठ में से एक डॉलर से अधिक का भुगतान करना बताता है कि उत्तर कोरिया के ऑपरेटर टेथर और सर्कल के प्रतिक्रिया समय को कितनी गंभीरता से लेते हैं। चेनालिसिस ने हजारों स्वचालित लेनदेन को भी चिह्नित किया, जिसमें कई नए पते पहले ठीक 1 TRX प्राप्त करते थे, और लेविन ने कहा कि बड़ी रकम ट्रॉन पतों पर स्थानांतरित की गई।
बाइनेंस हैक बनाम बायबिट हैक: क्या बदला?
| मीट्रिक | बायबिट (फरवरी 2025) | बाइनेंस (अक्टूबर 2026) |
|---|---|---|
| चोरी की राशि | लगभग $1.5 बिलियन | $6.3 से $6.4 बिलियन |
| श्रेय | ट्रेडरट्रेटर (एफबीआई) | ट्रेडरट्रेटर (चेनालिसिस, टीआरएम लैब्स) |
| प्रवेश बिंदु | वॉलेट प्रदाता पर समझौता किया गया डेवलपर मशीन | समझौता किया गया डेवऑप्स इंजीनियर लैपटॉप, साथ ही आगे उल्लंघन बिंदु |
| चोरी की संपत्ति मिश्रण | मुख्य रूप से ETH और स्टेक्ड ETH | बड़ा स्टेबलकॉइन हिस्सा और ETH, BTC और अन्य टोकन |
| फ्रीज़ हिस्सा | एक छोटा अंश | लगभग 44 से 48 प्रतिशत |
| पहला जारीकर्ता फ्रीज़ | सीमित, कुछ फ्रीज़ करने योग्य संपत्तियां | पहले बहिर्वाह के लगभग 54 मिनट बाद |
विरोधाभास ही कहानी है। बायबिट ने लगभग पूरी तरह से फ्रीज़ न करने योग्य ETH खोया, और वसूली का प्रयास ज्यादातर इसे लॉन्डर होते देखने का अभ्यास था। बाइनेंस ने बहुत बड़ा ढेर खोया, लेकिन उसका बहुत बड़ा हिस्सा ऐसे टोकन में था जिनके पीछे एक जारीकर्ता था। एक्सचेंज के हॉट वॉलेट में जितना अधिक केंद्रीय रूप से जारी स्टेबलकॉइन होता है, उतनी ही अधिक चोरी वापस पाई जा सकती है। यह उन लोगों के लिए एक असहज सबक है जिन्होंने स्टेबलकॉइन को 'अस्थिरता के बिना क्रिप्टो' के रूप में बेचा और 'किल स्विच के साथ' वाला हिस्सा छोड़ दिया।
क्या बाइनेंस ग्राहक कवर हैं?
बाइनेंस का कहना है कि हां। सह-संस्थापक यी हे ने कहा कि एक्सचेंज सभी नुकसानों को कवर करेगा, और चांगपेंग झाओ ने पोस्ट किया कि उन्हें उम्मीद है कि उपयोगकर्ता फंड पूरी तरह से कवर होंगे। बाइनेंस का कहना है कि उसने कंपनी फंड में $6.34 बिलियन से अधिक अलग रखा है, जिसमें से लगभग $5 बिलियन पहले से ही उन्हीं टोकन में रखा गया है जो चोरी हुए थे। यह बाकी को ओवर-द-काउंटर और एक्सचेंजों पर खरीद रहा है, चेतावनी देते हुए कि पतली तरलता कुछ खरीदारी को धीमा कर सकती है।
आश्चर्यजनक रूप से, जमा काम करते रहे। 29 अक्टूबर को शाम 6:55 बजे पूर्वी समय पर निकासी रोक दी गई थी, और नवीनतम मार्गदर्शन बाइनेंस के 30 अक्टूबर अपडेट के लगभग 40 घंटों के भीतर चरणबद्ध पुनः आरंभ को लक्षित करता है, जो इस सप्ताहांत पड़ता है। एक अद्यतन प्रूफ ऑफ रिजर्व सोमवार तक देय है। बाइनेंस कथित तौर पर एफबीआई के साथ काम कर रहा है।
आपकी जानकारी के लिए, प्रतिपक्षों ने अपने जोखिम का खुलासा जल्दी किया। विंटरम्यूट ने कहा कि उसका जोखिम शुद्ध इक्विटी के 20 प्रतिशत से कम था, और जीएसआर ने कहा कि 5 प्रतिशत से कम। बायबिट ने पुष्टि की कि वह प्रभावित नहीं था।
क्रिप्टो बाजार ने कैसे प्रतिक्रिया दी?
बुरी तरह, हालांकि हैक फेड होल्ड और कमजोर तकनीकी आय के बाद पहले से ही डगमगाते दिन पर पड़ा। 30 अक्टूबर तक, कॉइनगेको डेटा ने दिखाया कि बिटकॉइन 24 घंटों में 4.9 प्रतिशत गिरकर लगभग $76,937 हो गया। ईथर 5.7 प्रतिशत गिरकर लगभग $2,211 हो गया। BNB 8 प्रतिशत गिरकर लगभग $693 हो गया, AAVE 11.3 प्रतिशत और UNI 10.7 प्रतिशत खो गया। बिटकॉइन फियर एंड ग्रीड इंडेक्स 30 पर गिर गया, जो अगस्त के बाद से इसका सबसे निचला स्तर है।
एक्सचेंज पर क्रिप्टो रखने वाले किसी भी व्यक्ति के लिए इसका क्या मतलब है
कुछ व्यावहारिक निष्कर्ष, कोई भी नया नहीं, सभी ताज़ा रेखांकित। अधिक महत्वपूर्ण बात, एक्सचेंज बैलेंस एक IOU है। बाइनेंस $6 बिलियन का नुकसान अवशोषित करने में सक्षम प्रतीत होता है। पृथ्वी पर बहुत कम ऑपरेटर ऐसा कर सकते हैं। निकासी रोक तब भी होती है जब एक्सचेंज विलायक होता है, और वे ठीक तब होती हैं जब आप अपने सिक्कों को सबसे अधिक चाहते हैं।स्टेबलकॉइन फ्रीज़ दोनों तरह से काटते हैं। वही ब्लैकलिस्ट जिसने यहां लगभग $2.4 बिलियन बचाया, वही एक निर्दोष वॉलेट को लॉक कर सकता है जिसे संदिग्ध धन प्राप्त हुआ हो। यदि आप किसी बड़े हैक के बाद अज्ञात स्रोत से USDT या USDC प्राप्त करते हैं, तो इसे आगे बढ़ाने से पहले सार्वजनिक ट्रैकर्स के खिलाफ भेजने वाले पते की जांच करें।
अपने स्वयं के EIP 7702 डेलिगेशन की जांच करें। यदि आपने एथेरियम पर स्मार्ट वॉलेट सुविधा का उपयोग किया है, तो समीक्षा करें कि आपके खातों में कौन से डेलिगेशन हैं और जिन्हें आप नहीं पहचानते हैं उन्हें साफ करें। एक दुर्भावनापूर्ण डेलिगेशन उस क्षण से अधिक जीवित रह सकता है जब आपने नियंत्रण फिर से प्राप्त किया।
निष्क्रिय धन को स्व-अभिरक्षा में रखें। यह ट्रेडिंग खातों और जुआ शेष दोनों पर लागू होता है। CryptoCasino.Vegas जैसे प्लेटफॉर्म जो जीत सीधे खिलाड़ी के अपने वॉलेट में वापस भुगतान करते हैं, सिद्धांत का पालन करना आसान बनाते हैं: आपके सिक्के किसी और के हॉट वॉलेट में जितना कम समय बिताते हैं, दुनिया के आधे हिस्से में एक समझौता किया गया लैपटॉप आपको उतना ही कम खर्च कर सकता है।
अंतिम वसूली का आंकड़ा ट्रेसिंग जारी रहने पर बदलेगा, और इतिहास कहता है कि यह नीचे जाता है, ऊपर नहीं। लॉन्ड्रिंग चरण के बारे में लेविन का अपना सारांश याद रखने के लिए सही है: फंड जितनी दूर यात्रा करते हैं, जब्ती के अवसर उतने ही कम होते हैं। फ्रीज़ बटन ने एक घंटे के भीतर लगभग आधा वापस खरीद लिया। उसके बाद सब कुछ एक पीछा है।
