बिनेंस हैक 2026: इतिहास का सबसे बड़ा क्रिप्टो हैक

बाइनेंस ने अपने ग्राहकों को भरोसा दिलाया था कि उनका पैसा सुरक्षित है। हालांकि, जिन वॉलेट से पैसे निकाले गए, वे चार हफ्ते पहले प्रकाशित एक्सचेंज की उन ग्राहकों से जुड़ी संपत्तियों की सूची में दिखाई दिए। ये दोनों बातें एक ही समय में सच हो सकती हैं, और इनके बीच का अंतर ही बाइनेंस हैक 2026 को समझने के लिए सबसे महत्वपूर्ण है।

पहले कुछ तथ्य जान लेते हैं। 29 अक्टूबर की शाम को, एक हमलावर ने दुनिया के सबसे बड़े क्रिप्टोकरेंसी एक्सचेंज, बाइनेंस के लगभग दस ब्लॉकचेन पर मौजूद हॉट वॉलेट से पैसे निकाल लिए। बाइनेंस के अनुसार, नुकसान लगभग 6.3 अरब डॉलर का हुआ है, जिसमें से अधिकांश राशि लगभग 20 मिनट में निकाल ली गई। यह इतिहास का सबसे बड़ा क्रिप्टो हैक है, जो 2025 में हुई बाइबिट चोरी से लगभग चार गुना बड़ा है। बाइनेंस ने जमा और निकासी रोक दी और हर नुकसान की भरपाई करने का वादा किया।

नीचे दिए गए कुछ आंकड़े बदल सकते हैं। यह खबर दो दिन पुरानी है और बाइनेंस ने अभी तक इसका विश्लेषण प्रकाशित नहीं किया है; इसलिए हर आंकड़े को 30 और 31 अक्टूबर की स्थिति के अनुसार ही मानें।

2026 में बाइनेंस हैक में पल-पल क्या हुआ, इसकी मिनट-दर-मिनट रिपोर्ट।

यहां गति ही हथियार थी। लेकिन वह गति धैर्य से हासिल की गई थी, और यही धैर्य इसे एक पेशेवर ऑपरेशन जैसा दिखाता है, न कि संयोगवश मिली सफलता जैसा।

दस ब्लॉकचेन में बीस मिनट

ब्लॉकचेन एनालिटिक्स फर्म टीआरएम लैब्स के अनुसार, हमलावर ने 28 अक्टूबर की सुबह टोर्नाडो कैश के माध्यम से वॉलेट में फंड डालना शुरू किया, जो एक मिक्सिंग सेवा है जो सिक्कों के स्रोत को छुपाती है। यह बाइनेंस से एक भी सिक्का निकलने से कम से कम 36 घंटे पहले की बात है।

पहला आउटफ्लो 29 अक्टूबर को 20:05 UTC पर XRP लेजर से हुआ। इसके बाद 20:20 UTC पर बिटकॉइन से भी आउटफ्लो हुआ। उसी समय, हमलावर ने एथेरियम पर स्थित एक Binance हॉट वॉलेट में 50 ऑथराइजेशन रिक्वेस्ट भेजीं। लगभग साढ़े तीन मिनट बाद, एक ही ट्रांजैक्शन में वह वॉलेट पूरी तरह खाली हो गया। इसके बाद 23:56 UTC तक और भी आउटफ्लो जारी रहे, और दूसरी लहर लगभग 23:05 UTC पर Avalanche और Polygon पर आई।

यूटीसी समय के अनुसार आधी रात से कुछ ही समय पहले, यह सब समाप्त हो गया।

ये 6.3 अरब डॉलर कहाँ से आए?

पैसा एक जगह से नहीं आया। यह कम से कम दस नेटवर्क पर मौजूद हॉट वॉलेट से आया, जिससे पता चलता है कि हमलावर के पास एक ही समय में कई नेटवर्क पर बाइनेंस की निकासी प्रणाली तक किसी न किसी रूप में पहुंच थी।

स्रोत: टीआरएम लैब्स, 30 अक्टूबर, 00:30 यूटीसी तक का डेटा।

आपको खबरों में अलग-अलग आंकड़े देखने को मिलेंगे, और यह सामान्य बात है। बाइनेंस लगभग 6.3 अरब डॉलर बता रहा है। टीआरएम लैब्स चोरी के समय 6.36 अरब डॉलर का अनुमान लगा रहा है । चेनैलिसिस लगभग 6.4 अरब डॉलर और एलिप्टिक 11 चेनों में 6.43 अरब डॉलर का अनुमान लगा रहा है। यह अंतर कीमत निर्धारण के समय और प्रत्येक फर्म द्वारा शामिल की गई चेनों के कारण है; जो हुआ उस पर कोई विवाद नहीं है।

EIP-7702 ने किस प्रकार बाइनेंस हॉट वॉलेट को उसके ही विरुद्ध खड़ा कर दिया?

बाइनेंस हैक का एथेरियम वाला हिस्सा चालाकी भरा है और इसने सबसे ज्यादा ध्यान खींचा है। हालांकि, यह अपने आप में एक अधूरा स्पष्टीकरण है।

सरल शब्दों में कहें तो, गर्म बटुए और ठंडी भंडारण स्थिति।

एक एक्सचेंज क्रिप्टोकरेंसी को उसी तरह स्टोर करता है जैसे कोई दुकान नकदी रखती है। इसका अधिकांश हिस्सा एक तिजोरी में रखा जाता है, जिसे क्रिप्टोकरेंसी की भाषा में " कोल्ड स्टोरेज " कहा जाता है: यानी क्रिप्टोकरेंसी को ऑफ़लाइन रखा जाता है और जानबूझकर धीरे-धीरे स्थानांतरित किया जाता है। थोड़ी मात्रा में क्रिप्टोकरेंसी कैश काउंटर में रखी जाती है ताकि ग्राहक जल्दी से निकाल सकें। यह कैश काउंटर ही हॉट वॉलेट है, जो एक्सचेंज के सिस्टम से जुड़ा होता है और मांग पर लेनदेन पर हस्ताक्षर करने में सक्षम होता है।

हॉट वॉलेट का उद्देश्य कुल परिसंपत्तियों का एक छोटा सा हिस्सा रखना होता है। लेकिन बाइनेंस जैसे बड़े एक्सचेंज में, यह छोटा सा हिस्सा भी अरबों डॉलर हो सकता है।

पचास हस्ताक्षर और सिद्धांत में एक खामी

EIP-7702 एथेरियम का एक अपग्रेड है जो मई 2025 में पेक्ट्रा अपडेट के साथ लाइव हुआ था। यह एक साधारण वॉलेट को अपने कार्यों का नियंत्रण एक स्मार्ट कॉन्ट्रैक्ट कोड को सौंपने की अनुमति देता है, बशर्ते वॉलेट एक प्राधिकरण पर हस्ताक्षर करे। इसे बैंक खाते के लिए पावर ऑफ अटॉर्नी की तरह समझें।

हमलावर ने ठीक यही तरीका अपनाया। टीआरएम लैब्स की रिपोर्ट के अनुसार, हमलावर ने 50 हस्ताक्षरित प्राधिकरण तैयार किए, जिनमें से प्रत्येक एक अलग लेनदेन काउंटर से जुड़ा था, ताकि उनमें से एक वॉलेट की वर्तमान स्थिति से मेल खाए। एक मेल खा गया। इसके बाद हॉट वॉलेट ने हमलावर का "स्वीपर" कोड चलाया और एक ही बार में अपने टोकन भेज दिए। बाइनेंस के सह-सीईओ रिचर्ड टेंग ने कहा कि इस प्रतिनिधिमंडल ने एक्सचेंज के सामान्य अनुमोदन नियंत्रणों को दरकिनार कर दिया।

मुझे जो बात समझ में नहीं आ रही है, वह यह है। EIP-7702 केवल एथेरियम और संगत चेन पर मौजूद है। यह इस बात का स्पष्टीकरण नहीं दे सकता कि 18,270 BTC बिटकॉइन वॉलेट से कैसे निकले, या ट्रॉन और XRP फंड कैसे स्थानांतरित हुए। इन सबके लिए सामान्य हस्ताक्षरित हस्तांतरण की आवश्यकता होती है, जिससे पता चलता है कि हमलावर ने सीधे बाइनेंस के हस्ताक्षर तंत्र तक पहुंच बनाई थी।

Binance के अपने खाते में भी बदलाव आ चुका है। चोरी के कुछ ही घंटों के भीतर जारी किए गए पहले अपडेट में, उसने एक DevOps इंजीनियर के लैपटॉप के हैक होने का आरोप लगाया, जिससे एक सर्विस कंटेनर तक पहुंच मिल गई थी, और कहा कि "प्राइवेट की लीक होने का कोई सबूत नहीं है।" एक दिन बाद, एक्सचेंज ने कहा कि उसे "उल्लंघन के अतिरिक्त बिंदु" मिले हैं। दोनों ही बातें पूरी तरह गलत नहीं हैं। लेकिन 24 घंटों में कहानी का बदलना, पक्के निष्कर्ष पर पहुंचने से पहले पूरी जांच का इंतजार करने का एक कारण है।

Binance का कहना है कि आपका पैसा सुरक्षित है। नियम और शर्तें ध्यान से पढ़ें।

आम उपयोगकर्ताओं के लिए, 2026 में हुए बाइनेंस हैक का सार एक्सचेंज के एक ही वाक्य में सिमट गया है, जिसे हर अपडेट में दोहराया गया है। बाइनेंस का संदेश लगातार यही रहा है: ग्राहकों का पैसा सुरक्षित है, और एक्सचेंज अपने आपातकालीन कोष और कंपनी के पैसों से सभी नुकसान की भरपाई करेगा। मुझे नहीं लगता कि एक्सचेंज भुगतान करने में विफल रहेगा। सवाल यह है कि यह वादा किस हद तक सच है।

SAFU किन चीज़ों को कवर कर सकता है और किन चीज़ों को नहीं।

बाइनेंस का कहना है कि उसने हैकिंग से हुए नुकसान की भरपाई के लिए 6.34 अरब डॉलर आरक्षित रखे हैं, जिसमें से लगभग 5 अरब डॉलर पहले से ही प्रभावित टोकनों में मौजूद हैं। शेष टोकन वह बाजार से और काउंटर डेस्क के माध्यम से खरीद रहा है। इस आंकड़े में फ्रीज की गई संपत्तियों को शामिल नहीं किया गया है।

सिक्योर एसेट फंड फॉर यूजर्स (SAFU) का जिक्र अक्सर होता है। यह जितना लोग सोचते हैं, उससे कहीं छोटा है। बाइनेंस इसे लगभग 1 बिलियन डॉलर का बताता है, और इसके ऑन-चेन बिटकॉइन वॉलेट में लगभग 15,000 बीटीसी हैं, जिनकी कीमत शुक्रवार के भाव के अनुसार लगभग 1.17 बिलियन डॉलर है। फंडस्ट्रैट के शॉन फैरेल का अनुमान है कि SAFU अनफ्रीज किए गए नुकसान का लगभग एक तिहाई हिस्सा कवर कर सकता है। बाकी रकम बाइनेंस की अपनी बैलेंस शीट से आएगी।

अगर बैलेंस शीट मजबूत है तो यह एक अच्छा नतीजा है। फिर भी, SAFU के अपने नियम Binance को भुगतान के मामले में "पूर्ण विवेकाधिकार" देते हैं, और BBC द्वारा उद्धृत वकीलों ने चेतावनी दी है कि यह प्रतिज्ञा कानूनी रूप से बाध्यकारी नहीं हो सकती है। अरबों डॉलर से समर्थित वादा, आखिर वादा ही होता है, अनुबंध नहीं।

भंडार के प्रमाण की समस्या

रिज़र्व का प्रमाण एक सार्वजनिक सूची है जिसमें एक्सचेंज द्वारा उन वॉलेट्स का विवरण होता है जिनसे यह पता चलता है कि उनके पास कम से कम उतनी क्रिप्टो करेंसी है जितनी उनके ग्राहकों ने जमा की है। कॉइनडेस्क ने बाइनेंस की 1 अक्टूबर की रिपोर्ट की जाँच की और पाया कि बाइनेंस 14 नाम का खाली हुआ एथेरियम वॉलेट इस सूची में शामिल था।

Binance पर हुए हैक में लगभग 204,500 ETH चोरी हो गए, जो Binance द्वारा ग्राहक समर्थन के रूप में सूचीबद्ध ईथर का लगभग 5.6% था। जब तक उस ईथर की भरपाई नहीं हुई, ETH भंडार ग्राहक शेष राशि के 100% से ऊपर होने के बजाय लगभग 94% पर बना रहा। Binance इसे जल्दी से पूरा कर सकता है, और इसका USDC समर्थन 108% था। लेकिन "ग्राहक निधि प्रभावित नहीं हुई" को "ग्राहकों को नुकसान नहीं उठाना पड़ेगा" के रूप में पढ़ना बेहतर होगा, जो एक अलग दावा है।

सच कहें तो, फैरेल को दिवालियापन का कोई खास खतरा नजर नहीं आता। उनका परीक्षण सरल है: निकासी कितनी तेजी से दोबारा शुरू होती है, और क्या बहिर्वाह व्यवस्थित रहता है।

बाइनेंस हैक के कारण फ्रीज़: स्टेबलकॉइन वापस क्यों आए और बिटकॉइन क्यों नहीं

इस कहानी का एकमात्र हिस्सा जो कारगर साबित हुआ, वह है फ्रीजिंग, और इसके कारगर होने का कारण वह है जिसे क्रिप्टो के कट्टरपंथी अक्सर नापसंद करते हैं।

USDT और USDC जैसे स्टेबलकॉइन उन कंपनियों द्वारा जारी किए जाते हैं जो टोकन अनुबंध को नियंत्रित करती हैं। वे टोकन को फ्रीज, बर्न और पुनः जारी कर सकती हैं। TRM लैब्स ने इस प्रतिक्रिया को रिकॉर्ड किया: टेथर ने 21:01 UTC पर, सर्कल ने 21:04 पर, रिपल ने 22:01 पर, वर्ल्ड लिबर्टी फाइनेंशियल ने 22:10 पर और आर्बिट्रम की सुरक्षा परिषद ने आधी रात के कुछ समय बाद फंड फ्रीज कर दिए।

एलिप्टिक के अनुमान के अनुसार, अब तक 2.84 बिलियन डॉलर की राशि फ्रीज हो चुकी है, जो चोरी की कुल राशि का लगभग 44% है और इसमें से लगभग पूरी राशि स्टेबलकॉइन्स में है। बाइनेंस का अपना अनुमान लगभग 3 बिलियन डॉलर है।

बिटकॉइन और ईथर का कोई जारीकर्ता नहीं है। कोई भी इन्हें बंद नहीं कर सकता। टीआरएम का अनुमान है कि लगभग 2.4 बिलियन डॉलर मूल्य के बिटकॉइन और ईथर अभी भी हमलावर के नियंत्रण में हैं। जांचकर्ता सार्वजनिक ब्लॉकचेन पर इन सिक्कों का पता लगा सकते हैं और एक्सचेंजों पर इन्हें रोकने की कोशिश कर सकते हैं, लेकिन इसमें समय लगता है।

यहां तक कि फ्रीज किया गया पैसा भी रातोंरात वापस नहीं मिलता। सीएनबीसी से बातचीत में टीआरएम लैब्स के एरी रेडबोर्ड ने कहा कि फ्रीज करने से "पैसा इधर-उधर नहीं जा पाता", जबकि वसूली के लिए अदालत के आदेश की आवश्यकता होती है। चेनैलिसिस के अनुसंधान प्रमुख एरिक जार्डिन ने कहा कि धनराशि वापस करने में "महीनों या वर्षों लग सकते हैं"।

बाइनेंस हैक इतिहास के सबसे बड़े हैकों में से एक क्यों हैक हुआ?

खबरों में रिकॉर्ड के आकार पर ही ध्यान केंद्रित किया गया है। लेकिन इसके पीछे का पैटर्न टीआरएम लैब्स और एलिप्टिक के विश्लेषकों को अधिक चिंतित करता है, क्योंकि उन्होंने इस वर्ष कई बार इसका विश्लेषण किया है।

TRM लैब्स और चेनैलिसिस दोनों ने पूरी विश्वसनीयता के साथ इस हमले का आरोप ट्रेडरट्रेटर पर लगाया है, जो उत्तर कोरिया समर्थित हैकिंग यूनिट है। सबूतों का एक हिस्सा ऑन-चेन है: बाइनेंस से प्राप्त धनराशि को एक महीने पहले बिटगेट से चुराई गई धनराशि के साथ मिलाया गया था। एलिप्टिक अधिक सतर्क है, और अभी तक किसी भी सरकार ने औपचारिक रूप से इसका आरोप नहीं लगाया है। बाइनेंस ने स्वयं भी किसी अपराधी का नाम नहीं बताया है।

यह तरीका जाना-पहचाना है — लंबी तैयारी, लेन-देन पर पहले से हस्ताक्षर, फिर अचानक एक बड़ा धमाका, इससे पहले कि कोई प्रतिक्रिया कर सके। यही पैटर्न बायबिट, केल्पडीएओ और बिटगेट पर भी देखने को मिला। टीआरएम के आंकड़ों के अनुसार, उत्तर कोरिया ने 2017 से अब तक 12.8 बिलियन डॉलर की क्रिप्टोकरेंसी चुराई है, और इसमें से 7.4 बिलियन डॉलर अकेले 2026 में चुराए गए, जो इस साल हैकिंग में चुराई गई कुल राशि का लगभग 85% है। उद्योग को इस रणनीति की कम से कम 20 महीनों से जानकारी है। फिर भी यह दुनिया के सबसे बड़े एक्सचेंज पर कारगर साबित हुई।

बाइनेंस हैक के बाद बाजार और राजनीतिक समाचार

क्रिप्टो बाजार के मानकों के हिसाब से देखा जाए तो बाजार पर इसका असर कम ही पड़ा। सीएनबीसी की रिपोर्ट के अनुसार, शुक्रवार को बिटकॉइन 4.1% गिरकर लगभग 77,446 डॉलर पर आ गया, जबकि ईथर 4.4% और बीएनबी 6% गिरकर लगभग 701 डॉलर पर आ गया। कॉइनग्लास के आंकड़ों के मुताबिक, 24 घंटों में 1.6 अरब डॉलर से अधिक के लीवरेज्ड निवेश को समाप्त कर दिया गया।

राजनीतिक प्रतिक्रिया तुरंत आई। एफबीआई ने कहा कि उसे घटना की जानकारी है, और अमेरिकी गुप्त सेवा ने कहा कि वह सर्कल के साथ मिलकर काम कर रही है। सीएफटीसी के अध्यक्ष माइकल सेलिग ने कहा कि यह हैकिंग एजेंसी के 5 अक्टूबर के उस प्रस्ताव को "पूरी तरह से साबित करती है" जिसमें अमेरिकियों को सेवा देने वाले विदेशी एक्सचेंजों को पंजीकरण कराना अनिवार्य करने की बात कही गई थी। एक अलग कंपनी, बिनेंस.यूएस ने कहा कि वह इससे प्रभावित नहीं हुई है।

निकासी प्रक्रिया रुकने के दौरान बाइनेंस उपयोगकर्ताओं को क्या करना चाहिए

बाइनेंस हैक के बाद, इस सप्ताह उपयोगकर्ताओं को सबसे बड़ा खतरा स्कैमर्स से होगा। वे हर बड़े क्रिप्टो हैक के बाद फर्जी "निकासी फिर से शुरू हो गई है" संदेश और "रिफंड" फॉर्म भेजते हैं जिनमें आपका लॉगिन या रिकवरी वाक्यांश मांगा जाता है।

बाइनेंस का कहना है कि उसका लक्ष्य रविवार, 1 नवंबर से निकासी फिर से शुरू करना और सोमवार, 2 नवंबर तक भंडार का पूरा प्रमाण प्रकाशित करना है। तब तक, कुछ समझदारी भरे कदम:

• केवल आधिकारिक बाइनेंस ऐप या आपके द्वारा स्वयं टाइप की गई वेबसाइट का ही उपयोग करें। डीएम, ईमेल और सर्च विज्ञापनों में दिए गए लिंक को अनदेखा करें।
• अपने खाते की एपीआई कुंजी, लॉग-इन किए गए डिवाइस और निकासी श्वेतसूची की समीक्षा करें, और जो कुछ भी आपको नहीं दिखता उसे हटा दें।
• कभी भी रिकवरी वाक्यांश या 2FA कोड साझा न करें। कोई भी वास्तविक सहायता एजेंट ऐसा नहीं पूछेगा।
• जब निकासी दोबारा शुरू हो, तो नेटवर्क और पते की दोबारा जांच कर लें। जल्दबाजी में किए गए ट्रांसफर से नुकसान हो सकता है।

इससे एक दीर्घकालिक सबक भी मिलता है। जिन सिक्कों को आप वर्षों तक अपने पास रखना चाहते हैं, उन्हें किसी एक्सचेंज पर रखने की आवश्यकता नहीं है। आपके नियंत्रण वाला हार्डवेयर वॉलेट डिजिटल जोखिम की इस पूरी श्रेणी को समाप्त कर देता है, हालांकि यह एक नया जोखिम भी जोड़ता है: आप अपनी चाबियों के लिए स्वयं जिम्मेदार हो जाते हैं।

बाइनेंस हैक पर 2026 का फैसला: एक वादा, गारंटी नहीं

संभवतः बाइनेंस अपने सभी ग्राहकों को पूरा मुआवजा देगा। उसके पास पैसा है और ऐसा करने के लिए उसके पास हर तरह का व्यावसायिक कारण है। यही बात तसल्ली देने वाली है।

सबसे चिंताजनक बात यह है कि उपयोगकर्ता कानूनी बाध्यता के बजाय बाइनेंस की स्वेच्छा पर निर्भर हैं, और एक्सचेंज द्वारा सुरक्षा उल्लंघन के बारे में दिए गए विवरण में पहले ही एक बार बदलाव हो चुका है। जांच से पता चलेगा कि क्या यह सिर्फ एक खराब लैपटॉप की वजह से हुआ था या दुनिया के सबसे बड़े एक्सचेंज द्वारा लेनदेन पर हस्ताक्षर करने के तरीके में कोई गंभीर गड़बड़ी थी।

इसलिए, बाइनेंस हैक के बाद, आपके क्रिप्टो को रखने वाले किसी भी प्लेटफॉर्म से यह सवाल पूछना ज़रूरी है: अगर कल उसे अरबों का नुकसान हो जाता है, तो आपको वास्तव में कितना पैसा मिलेगा और कौन देगा? अगर आप इसका जवाब नहीं दे सकते, तो यह सप्ताह पता लगाने का अच्छा समय है।

Marco Lucchetti

Marco Lucchetti is a senior content strategist and blockchain analyst at Plisio. With over 7 years of experience in cryptocurrency research, DeFi protocols, and payment technologies, Marco specializes in creating clear, data-driven content for a global crypto audience. His work focuses on transaction tracing, crypto compliance, and the future of blockchain infrastructure.