29 października 2026 roku, około 16:20 czasu wschodniego, z gorących portfeli Binance zaczęły wychodzić środki, których nikt w Binance nie zatwierdził. Zanim następnego ranka opadł kurz, Chainalysis oszacowało kradzież na około 6,4 miliarda dolarów, a Binance na 6,3 miliarda. To największa kradzież kryptowalut w historii, około czterokrotnie większa niż hack Bybit, który dzierżył ten tytuł od lutego 2025 roku. Nagłówkowa liczba jest brutalna. Ciekawsza jest ta druga: blisko 3 miliardy dolarów zostały zamrożone on-chain w ciągu kilku godzin, a prawie cała ta kwota pochodziła z jednego źródła. Emitenci stablecoinów nacisnęli przycisk.
Ten przycisk to część kryptowalut, na którą krypto-native’i najchętniej narzekają. W tym tygodniu była to jedyna rzecz, która zadziałała.
Co się stało w hacku Binance?
Wstępne śledztwo Binance wskazuje na przejęty laptop inżyniera DevOps. Stamtąd atakujący dotarł do kontenera usługi i przesłał transakcje wypłat, które system uznał za legalne. Binance poinformował później, że znalazł dodatkowe punkty włamania poza laptopem i że nie widział dowodów na wyciek klucza prywatnego portfela. Pełny post mortem obiecano po zweryfikowaniu faktów. Z kolei współdyrektor generalny Richard Teng opisał coś bardziej chirurgicznego niż zwykły napad z rozbiórką. Powiedział, że atak nie był działaniem „jednego kliknięcia”, że atakujący użył mechanizmu autodestrukcji, aby zatrzeć ślady, oraz że delegacja EIP-7702 dała atakującemu uprawnienia wykonawcze nad gorącym portfelem, omijając normalne kontrole zatwierdzania. Ido Ben Natan z Blockaid ujął to wprost: aktualizacja dała atakującym sposób na zrobienie tego jednym zamachem. Bez niej ten sam drenaż wymagałby wielu osobnych transakcji, z których każda byłaby szansą na zadziałanie monitoringu.Chainalysis i TRM Labs przypisują kradzież TraderTraitor, północnokoreańskiej jednostce, którą FBI wskazało przy hacku Bybit. TRM twierdzi, że ma tę opinię z wysoką pewnością. On-chainowy śledczy ZachXBT i Chainalysis odkryli, że środki z Binance zostały zmieszane z funduszami z zeszłomiesięcznego exploitu Bitget, docierając na ten sam adres przez THORChain. Ten sam aktor, druga giełda w ciągu około czterech tygodni.
Jak EIP-7702 przyspieszyło drenaż?
EIP-7702 pojawiło się wraz z aktualizacją Pectra Ethereum. Pozwala zwykłemu kontu zewnętrznemu delegować swoje wykonywanie do kodu smart kontraktu, dzięki czemu normalny portfel może grupować transakcje, sponsorować gas lub stosować własne zasady wydatków. Zgodnie z specyfikacją EIP-7702 delegacja jest ustawiana podpisanym upoważnieniem i pozostaje w mocy, dopóki nie zostanie zastąpiona lub wyczyszczona.
Dla użytkowników to wygodna funkcja. Dla atakującego, który zdobędzie ważne upoważnienie podpisane wewnątrz infrastruktury giełdy, to klucz główny z wbudowanym procesorem wsadowym. Zamiast przepychać wypłaty jedną po drugiej przez kolejki zatwierdzeń, delegowany kod może przeczyścić portfel w jednym przepływie. Ivo Georgiev z Ambire zwrócił uwagę na ryzyko następcze: inżynierowie, którzy odzyskują kontrolę nad przejętym kontem, mogą nie zdawać sobie sprawy, że złośliwa delegacja jest nadal do niego przypięta.
To nie znaczy, że EIP-7702 jest zepsute. To znaczy, że infrastruktura podpisywania giełd ma teraz nową klasę uprawnień do monitorowania. I przynajmniej jeden z największych operatorów w branży nie obserwował jej wystarczająco uważnie.
Kto co zamroził i jak szybko?
Chainalysis ustaliło pierwsze zamrożenia na 17:14 czasu wschodniego, około 54 minuty po pierwszych wypływach. Paolo Ardoino z Tether i Jeremy Allaire z Circle publikowali sumy zamrożeń, zanim Binance w ogóle wstrzymał wypłaty. Oto co raportowali emitenci i protokoły.
| Zamrażający | Aktywo | Zamrożona kwota | Mechanizm zamrożenia |
|---|---|---|---|
| Tether | USDT | Ponad 1,567 miliarda dolarów | Czarna lista emitenta w kontrakcie tokena |
| Circle | USDC | Ponad 800 milionów dolarów | Czarna lista emitenta w kontrakcie tokena |
| Rada Bezpieczeństwa Arbitrum | 74...6M ARB i 8 425 ETH | Około 30,5 miliona dolarów | Nadzwyczajna decyzja zarządcza w Arbitrum |
| World Liberty Financial | USD1 i WLFI | 27 milionów USD1, 2 miliony WLFI | Czarna lista emitenta |
| Ripple | RLUSD | Nieujawnione | Czarna lista emitenta |
| First Digital | FDUSD | Nieujawnione | Czarna lista emitenta |
| Nikt | ETH w mainnecie, BTC | 0 dolarów | Brak mechanizmu |
Własna bieżąca suma Binance osiągnęła około 3 miliardów dolarów zamrożonych. Chainalysis podaje bliżej 2,8 miliarda, a Elliptic oszacowało, że zamrożono około 44 procent skradzionych aktywów, przy czym stablecoiny odpowiadają za niemal całość tej kwoty. Sam Tether i Circle odpowiadają za około 2,37 miliarda dolarów. Odejmij emitentów stablecoinów, a zbiorowy wysiłek zamrażania w branży spada do kilkudziesięciu milionów dolarów, w większości z jednej nadzwyczajnej akcji Rady Bezpieczeństwa Arbitrum.
Dlaczego hakerzy mogli zatrzymać pozostałe 3 miliardy dolarów?
Ponieważ pozostałe 3 miliardy dolarów było, lub szybko stało się, aktywami, których nikt nie kontroluje. Natywne ETH i BTC nie mają klucza administratora ani funkcji czarnej listy. Gdy skradzione środki tam trafią, pozostają tylko narzędzia: śledzenie, współpraca giełd i szczęście. Atakujący o tym wiedzieli i działali odpowiednio. Chainalysis prześledziło około 500 milionów dolarów w stablecoinach do portfela zbudowanego do jednego zadania: zamiany aktywów możliwych do zamrożenia na te, których zamrozić nie można. W ciągu około 20 minut 325 milionów dolarów w stablecoinach zamieniło się w 285 milionów dolarów w ETH. Około dziesięć minut później pozostałe 175 milionów dolarów zostało wypchnięte do portfeli pośrednich. TRM Labs twierdzi, że atakujący sprzedawali także USDT animatorom rynku i pożyczali ETH pod zastaw stablecoinów.Co ciekawe, ta ostatnia taktyka uderzyła bezpośrednio w Aave. Około 40 minut przed zamrożeniami exploiter zdeponował 60 milionów USDT i pożyczył około 19 762 WETH, warte około 44,6 miliona dolarów. LlamaRisk potwierdził, że pozycja była nadzabezpieczona i nie stanowiła ryzyka dla dostawców płynności. Aave mimo to zamroziło 175 rezerw V3 w 16 sieciach i 117 rezerw V4 w czterech sieciach jako środek ostrożności, a następnie 30 października ponownie włączyło pożyczanie i zapożyczanie. Logika transakcji jest ponuro sprytna: wpłać USDT, które mogą zostać zamrożone, wyjdź z ETH, którego nie można zamrozić, i pozwól protokołowi pożyczkowemu trzymać worek zablokowanego zabezpieczenia.
Nasza analiza danych przepływu Chainalysis pokazuje, ile warta była dla atakującego szybkość. Zamiana 325 milionów dolarów stablecoinów na 285 milionów dolarów ETH kosztowała około 40 milionów dolarów, czyli 12,3 procent straty z powodu poślizgu i pośpiesznego wykonania. Zapłata ponad jednego dolara na osiem, by uciec z listy zamrożeń, mówi, jak poważnie północnokoreańscy operatorzy traktują czas reakcji Tether i Circle. Chainalysis odnotowało także tysiące zautomatyzowanych transakcji, przy czym wiele świeżych adresów najpierw otrzymywało dokładnie 1 TRX, a Levin powiedział, że duże sumy zostały przeniesione na adresy Tron.
Hack Binance vs hack Bybit – co się zmieniło?
| Metryka | Bybit (luty 2025) | Binance (październik 2026) |
|---|---|---|
| Skradziona kwota | Około 1,5 miliarda dolarów | 6,3 do 6,4 miliarda dolarów |
| Przypisano do | TraderTraitor (FBI) | TraderTraitor (Chainalysis, TRM Labs) |
| Punkt wejścia | Przejęta maszyna dewelopera u dostawcy portfela | Przejęty laptop inżyniera DevOps plus dodatkowe punkty włamania |
| Struktura skradzionych aktywów | Głównie ETH i stakowane ETH | Duży udział stablecoinów plus ETH, BTC i inne tokeny |
| Zamrożony udział | Niewielka część | Około 44 do 48 procent |
| Pierwsze zamrożenia emitentów | Ograniczone, niewiele aktywów do zamrożenia | Około 54 minuty po pierwszych wypływach |
Kontrast jest sednem historii. Bybit stracił niemal wyłącznie niezamrażalne ETH, a wysiłek odzyskiwania był głównie ćwiczeniem z obserwowania, jak pieniądze są prane. Binance stracił znacznie większą kupę, ale znacznie większa jej część leżała w tokenach, za którymi stoi emitent. Im więcej gorącego portfela giełdy jest utrzymywane w stablecoinach emitowanych centralnie, tym więcej kradzieży można odzyskać. To niewygodna lekcja dla każdego, kto sprzedawał stablecoiny jako „kryptowaluty bez zmienności” i pominął część „z wyłącznikiem awaryjnym”.
Czy klienci Binance są objęci ochroną?
Binance twierdzi, że tak. Współzałożycielka Yi He powiedziała, że giełda pokryje wszystkie straty, a Changpeng Zhao napisał, że oczekuje pełnego pokrycia środków użytkowników. Binance twierdzi, że odłożył ponad 6,34 miliarda dolarów środków własnych, z czego około 5 miliardów jest już utrzymywane w tych samych tokenach, które zostały skradzione. Resztę kupuje na rynku OTC i na giełdach, ostrzegając, że niska płynność może spowolnić niektóre zakupy.
Co zaskakujące, wpłaty nadal działały. Wypłaty zostały wstrzymane o 18:55 czasu wschodniego 29 października, a najnowsze wytyczne zakładają etapowe wznowienie w ciągu około 40 godzin od aktualizacji Binance z 30 października, która przypada w ten weekend. Zaktualizowany dowód rezerw ma być gotowy do poniedziałku. Binance podobno współpracuje z FBI.
Dla jasności, kontrahenci szybko ujawnili swoją ekspozycję. Wintermute podało, że jego ekspozycja wynosiła mniej niż 20 procent kapitałów własnych netto, a GSR mniej niż 5 procent. Bybit potwierdził, że nie został dotknięty.
Jak zareagował rynek kryptowalut?
Źle, choć hack trafił na i tak już chwiejny dzień po utrzymaniu stóp przez Fed i słabych wynikach spółek technologicznych. Do 30 października dane CoinGecko pokazały, że Bitcoin spadł o 4,9 procent w ciągu 24 godzin do około 76 937 dolarów. Ether spadł o 5,7 procent do około 2 211 dolarów. BNB spadł o 8 procent do około 693 dolarów, AAVE stracił 11,3 procent, a UNI 10,7 procent. Indeks Strachu i Chciwości Bitcoina spadł do 30, najniższego odczytu od sierpnia.
Co to oznacza dla każdego, kto trzyma kryptowaluty na giełdzie
Kilka praktycznych wniosków, żaden nie jest nowy, wszystkie świeżo podkreślone. Co ważniejsze, salda na giełdzie to zobowiązanie. Binance wydaje się w stanie wchłonąć stratę 6 miliardów dolarów. Niewiele podmiotów na świecie mogłoby to zrobić. Wstrzymania wypłat zdarzają się nawet wtedy, gdy giełda jest wypłacalna, i zdarzają się dokładnie wtedy, gdy najbardziej chcesz mieć swoje monety.Zamrożenia stablecoinów działają w obie strony. Ta sama czarna lista, która uratowała tutaj około 2,4 miliarda dolarów, może zablokować niewinny portfel, który przypadkiem otrzymał skażone środki. Jeśli po poważnym hacku otrzymasz USDT lub USDC z nieznanego źródła, sprawdź adres nadawcy w publicznych trackerach, zanim je dalej przekażesz.
Sprawdź własne delegacje EIP-7702. Jeśli korzystałeś z funkcji smart portfela na Ethereum, przejrzyj, jakie delegacje mają Twoje konta, i wyczyść te, których nie rozpoznajesz. Złośliwa delegacja może przetrwać moment, w którym odzyskałeś kontrolę.
Trzymaj bezczynne środki w self-custody. Dotyczy to zarówno kont tradingowych, jak i sald hazardowych. Platformy takie jak CryptoCasino.Vegas, które wypłacają wygrane bezpośrednio do portfela gracza, ułatwiają trzymanie się tej zasady: im krócej Twoje monety leżą w cudzym gorącym portfelu, tym mniej może Cię kosztować przejęty laptop na drugim końcu świata.
Ostateczna kwota odzyskania będzie się zmieniać wraz z kontynuacją śledzenia, a historia mówi, że zmienia się w dół, nie w górę. Własne podsumowanie fazy prania pieniędzy przez Levina jest tym, które warto zapamiętać: im dalej podróżują środki, tym mniej okazji do zajęcia. Przycisk zamrażania odkupił prawie połowę w ciągu godziny. Wszystko po tym to pościg.
