Atak na Binance w 2026 r.: największy atak na kryptowaluty w historii

Binance zapewniła swoich klientów, że ich pieniądze są bezpieczne. Jednak portfele, które zostały opróżnione, pojawiły się na liście aktywów wspierających tych klientów, opublikowanej cztery tygodnie wcześniej przez giełdę. Oba stwierdzenia mogą być prawdziwe jednocześnie, a różnica między nimi jest najistotniejszą informacją na temat włamania do Binance w 2026 roku.

Najpierw fakty. Wieczorem 29 października atakujący opróżnił gorące portfele na Binance, największej na świecie giełdzie kryptowalut, w około dziesięciu blockchainach. Binance szacuje straty na około 6,3 miliarda dolarów, z czego większość przelano w ciągu około 20 minut. To największy atak na kryptowaluty w historii, około czterokrotnie większy niż kradzież Bybit z 2025 roku. Binance wstrzymała wpłaty i wypłaty oraz zobowiązała się do pokrycia wszystkich strat.

Niektóre z poniższych liczb ulegną zmianie. Historia ma już dwa dni, a Binance nie opublikowała jeszcze analizy; każdą liczbę należy traktować jako migawkę z 30 i 31 października.

Co wydarzyło się podczas włamania na Binance w 2026 roku, minuta po minucie

Szybkość była tu bronią. Ale tę szybkość okupiono cierpliwością, a cierpliwość sprawia, że operacja wygląda na profesjonalną, a nie na szczęśliwy zbieg okoliczności.

Dwadzieścia minut w dziesięciu blockchainach

Według firmy analitycznej TRM Labs, zajmującej się blockchainem, atakujący rozpoczął zasilanie portfeli za pośrednictwem Tornado Cash, usługi miksującej, która ukrywa pochodzenie monet, rankiem 28 października. To co najmniej 36 godzin przed tym, jak pierwsza moneta opuściła Binance.

Pierwsze odpływy nastąpiły o godzinie 20:05 UTC 29 października na XRP Ledger. Bitcoin pojawił się o 20:20 UTC. W tym samym momencie atakujący wysłał 50 żądań autoryzacji do gorącego portfela Binance na Ethereum. Około trzy i pół minuty później portfel został oczyszczony w jednej transakcji. Kolejne odpływy trwały do 23:56 UTC, z drugą falą na Avalanche i Polygon około 23:05 UTC.

Krótko przed północą UTC wszystko się skończyło.

Skąd wzięło się 6,3 miliarda dolarów

Pieniądze nie pochodziły z jednego źródła. Pochodziły z gorących portfeli w co najmniej dziesięciu sieciach, co sugeruje, że atakujący miał dostęp do mechanizmów wypłat Binance w kilku łańcuchach jednocześnie.

Źródło: TRM Labs, dane z dnia 30 października, godz. 00:30 UTC.

W wiadomościach zobaczysz różne sumy i to jest normalne. Binance podaje około 6,3 miliarda dolarów. TRM Labs szacuje, że w momencie kradzieży było to 6,36 miliarda dolarów . Chainalysis podaje około 6,4 miliarda dolarów, a Elliptic 6,43 miliarda dolarów w 11 sieciach. Różnica wynika z czasu wyceny i tego, które sieci obejmują poszczególne firmy; nikt nie kwestionuje tego, co się stało.

Jak EIP-7702 wykorzystał gorący portfel Binance przeciwko sobie

Aspekt Ethereum w ataku na Binance jest sprytny i przyciągnął najwięcej uwagi. Samo w sobie jest to jednak niepełne wyjaśnienie.

Gorące portfele i zimne magazyny, mówiąc wprost

Giełda przechowuje kryptowaluty w taki sam sposób, w jaki sklep przechowuje gotówkę. Większość z nich znajduje się w sejfie, który w kryptografii nazywa się „ zimnym magazynem ”: klucze są przechowywane offline i celowo powolnie przesyłane. Mniejsza część znajduje się w kasie, aby klienci mogli szybko wypłacić środki. Kasa to gorący portfel, połączony z systemami giełdy i zdolny do podpisywania transakcji na żądanie.

Portfele gorące mają przechowywać ułamek całkowitych aktywów. Jednak na giełdzie wielkości Binance ułamek ten może nadal wynosić miliardy dolarów.

Pięćdziesiąt podpisów i luka w teorii

EIP-7702 to aktualizacja Ethereum, która została udostępniona wraz z aktualizacją Pectra w maju 2025 roku. Pozwala ona zwykłemu portfelowi przekazać kontrolę nad swoimi działaniami fragmentowi kodu inteligentnego kontraktu, pod warunkiem podpisania przez portfel autoryzacji. Można to porównać do pełnomocnictwa do konta bankowego.

Atakujący wykorzystał właśnie to. TRM Labs informuje, że atakujący przygotował 50 podpisanych autoryzacji, z których każda była powiązana z innym licznikiem transakcji, tak aby jedna z nich odpowiadała aktualnemu stanowi portfela. Jedna z nich pasowała. Następnie gorący portfel uruchamiał kod „sweepera” atakującego i jednym ruchem odesłał swoje tokeny. Richard Teng, współprezes Binance, powiedział, że delegacja ominęła standardowe mechanizmy zatwierdzania giełdy.

Oto część, która mi nie pasuje. EIP-7702 występuje tylko w sieciach Ethereum i kompatybilnych. Nie potrafi wyjaśnić, w jaki sposób 18 270 BTC opuściło portfel Bitcoin ani w jaki sposób przepłynęły środki w Tron i XRP. Wymagało to zwykłych, podpisanych przelewów, co sugeruje, że atakujący włamał się do infrastruktury podpisów Binance.

Konto Binance już zostało przeniesione. Pierwsza aktualizacja – opublikowana kilka godzin po kradzieży – obwiniła jednego z zainfekowanych laptopów należących do inżyniera DevOps, który umożliwił dostęp do kontenera usług, i stwierdziła, że „nie ma dowodów na wyciek klucza prywatnego”. Dzień później giełda poinformowała o znalezieniu „dodatkowych punktów naruszenia”. Żadna z wersji nie jest błędna. Jednak historia, która zmienia się w ciągu 24 godzin, to powód, aby poczekać na analizę przed wyciągnięciem ostatecznych wniosków.

Binance zapewnia, że Twoje środki są bezpieczne. Przeczytaj drobny druk.

Dla zwykłych użytkowników atak hakerski na Binance w 2026 roku sprowadza się do jednego zdania z giełdy, powtarzanego w każdej aktualizacji. Komunikat Binance jest spójny: środki klientów są bezpieczne, a giełda pokryje wszystkie straty z funduszu awaryjnego i firmowego. Nie mam powodu, by sądzić, że giełda nie wypłaci pieniędzy. Pytanie brzmi, co to za obietnica.

Co SAFU może, a czego nie może objąć

Binance twierdzi, że zarezerwowało 6,34 miliarda dolarów na pokrycie strat z tytułu włamania, z czego około 5 miliardów dolarów jest już ulokowane w zagrożonych tokenach. Pozostałą część skupuje na rynku i za pośrednictwem punktów sprzedaży pozagiełdowej. Zamrożone aktywa nie są wliczane do tej kwoty.

Często wspomina się o Bezpiecznym Funduszu Aktywów dla Użytkowników, czyli SAFU. Jest on mniejszy, niż wielu przypuszcza. Binance szacuje jego wartość na około 1 miliard dolarów, a jego portfel Bitcoin on-chain zawiera około 15 000 BTC, co według piątkowych cen jest warte około 1,17 miliarda dolarów. Sean Farrell z Fundstrat szacuje, że SAFU mógłby pokryć około jednej trzeciej niezamrożonych strat. Reszta pochodzi z bilansu Binance.

To dobry wynik, jeśli bilans jest silny. Niemniej jednak, zasady SAFU dają Binance „pełną swobodę” w zakresie wypłat, a prawnicy cytowani przez BBC ostrzegali, że zobowiązanie może nie być prawnie wiążące. Obietnica poparta miliardami to nadal obietnica, a nie umowa.

Problem dowodu rezerw

Dowód rezerw to publiczna lista portfeli, z której giełda korzysta, aby wykazać, że posiada co najmniej tyle samo kryptowalut, ile zdeponowali jej klienci. CoinDesk sprawdził raport Binance z 1 października i odkrył, że znajdował się na niej wyczyszczony portfel Ethereum oznaczony jako Binance 14.

Około 204 500 ETH zrabowanych podczas włamania na Binance stanowiło około 5,6% etheru, który Binance deklarowała jako zabezpieczenie klientów. Do czasu zastąpienia tego etheru rezerwy ETH utrzymywały się na poziomie 94% sald klientów, a nie przekraczały 100%. Binance może szybko uzupełnić tę kwotę, a jej zabezpieczenie w USDC wynosiło 108%. Jednak stwierdzenie „środki klientów nie zostały naruszone” lepiej rozumieć jako „klienci nie poniosą straty”, co jest innym stwierdzeniem.

Szczerze mówiąc, Farrell nie widzi żadnego znaczącego ryzyka dla wypłacalności. Jego test jest prosty: jak szybko wypłaty zostaną wznowione i czy odpływy pozostaną uporządkowane.

Binance zamrożona po ataku hakerskim: dlaczego stablecoiny wróciły, a Bitcoin nie

Zamrożenie to jedyna część tej historii, która zadziałała, i zadziałało z powodu, którego puryści kryptowalut często nie lubią.

Stablecoiny, takie jak USDT i USDC, są emitowane przez firmy kontrolujące kontrakt tokenowy. Mogą one zamrażać, spalać i ponownie emitować tokeny. TRM Labs odnotowało reakcję: Tether zamroził fundusze o 21:01 UTC, Circle o 21:04, Ripple o 22:01, World Liberty Financial o 22:10, a Rada Bezpieczeństwa Arbitrum krótko po północy.

Według obliczeń Elliptic, zamrożone jest obecnie 2,84 miliarda dolarów, co stanowi około 44% skradzionych środków, a prawie cała kwota to stablecoiny. Szacunki Binance mówią o blisko 3 miliardach dolarów.

Bitcoin i ether nie mają emitenta. Nikt nie może ich wyłączyć. TRM szacuje, że około 2,4 miliarda dolarów w BTC i ETH pozostaje pod kontrolą atakującego. Śledczy mogą śledzić te monety na publicznych blockchainach i próbować przechwycić je na giełdach, ale to zajmuje czas.

Nawet zamrożone pieniądze nie są zwracane z dnia na dzień. W komentarzu dla CNBC, Ari Redbord z TRM Labs powiedział, że zamrożenie „blokuje przepływ pieniędzy”, a ich odzyskanie wymaga nakazu sądowego. Szef badań w Chainalysis, Eric Jardine, powiedział, że zwrot środków „może zająć miesiące, a nawet lata”.

Dlaczego atak hakerski na Binance zalicza się do największych w historii

Nagłówki skupiały się na wielkości rekordu. Ten wzór jeszcze bardziej niepokoi analityków z TRM Labs i Elliptic, ponieważ śledzili go już kilkakrotnie w tym roku.

Zarówno TRM Labs, jak i Chainalysis z dużym prawdopodobieństwem przypisują atak TraderTraitor, północnokoreańskiej państwowej grupie hakerskiej. Część dowodów pochodzi z łańcucha bloków: wpływy z Binance zostały zmieszane ze środkami skradzionymi z Bitget miesiąc wcześniej. Elliptic jest ostrożniejszy, a żaden rząd nie wskazał jeszcze oficjalnie sprawcy. Sama Binance nie wskazała sprawcy.

Metoda jest znana — długie przygotowania, transakcje podpisane z wyprzedzeniem, a potem jeden potężny atak, zanim ktokolwiek zdąży zareagować. Ten sam schemat pojawił się w Bybit, KelpDAO i Bitget. Według obliczeń TRM, Korea Północna ukradła 12,8 miliarda dolarów w kryptowalutach od 2017 roku, z czego 7,4 miliarda dolarów w samym 2026 roku, co stanowi około 85% wartości zhakowanej w tym roku. Branża zna ten schemat od co najmniej 20 miesięcy. Nadal działał na największej giełdzie świata.

Wiadomości rynkowe i polityczne po włamaniu na Binance

Rynki przyjęły cios spokojnie, jak na standardy kryptowalut. CNBC poinformowało w piątek, że Bitcoin spadł o 4,1% do około 77 446 dolarów, Ethereum o 4,4%, a BNB o 6% do około 701 dolarów. Według danych CoinGlass, w ciągu 24 godzin zlikwidowano ponad 1,6 miliarda dolarów pozycji lewarowanych.

Reakcja polityczna nadeszła szybko. FBI oświadczyło, że wie o incydencie, a Secret Service USA poinformowało o współpracy z Circle. Przewodniczący CFTC, Michael Selig, powiedział, że atak „dowodzi słuszności naszego stanowiska” w sprawie propozycji agencji z 5 października, aby zobowiązać zagraniczne giełdy obsługujące Amerykanów do rejestracji. Binance.US, odrębna firma, oświadczyła, że atak nie miał na nią wpływu.

Co powinni zrobić użytkownicy Binance, gdy wypłaty są wstrzymane

Po włamaniu na Binance, zagrożenie, z jakim większość użytkowników zetknie się w tym tygodniu, pochodzi od oszustów. Po każdym większym włamaniu na kryptowaluty wysyłają fałszywe wiadomości o zwrocie wypłat i formularze zwrotu, prosząc o podanie loginu lub hasła do odzyskiwania.

Binance zapowiada wznowienie wypłat w niedzielę 1 listopada i opublikowanie pełnego dowodu rezerw do poniedziałku 2 listopada. Do tego czasu należy podjąć kilka rozsądnych kroków:

• Używaj tylko oficjalnej aplikacji Binance lub strony internetowej, którą sam wpiszesz. Ignoruj linki w wiadomościach prywatnych, e-mailach i reklamach w wyszukiwarce.
• Sprawdź klucze API swojego konta, urządzenia, na których się logujesz, oraz białą listę wypłat i usuń wszystko, czego nie rozpoznajesz.
• Nigdy nie udostępniaj frazy odzyskiwania ani kodu 2FA. Żaden prawdziwy agent wsparcia o to nie poprosi.
• Gdy wypłaty zostaną wznowione, sprawdź sieć i adres dwukrotnie. Pośpieszne przelewy same w sobie powodują straty.

Jest też lekcja długoterminowa. Monety, które planujesz trzymać latami, nie muszą być przechowywane na żadnej giełdzie. Portfel sprzętowy, nad którym masz kontrolę, eliminuje całą tę kategorię ryzyka cyfrowego, choć dodaje nowe: stajesz się odpowiedzialny za swoje klucze.

Werdykt w sprawie włamania do Binance w 2026 r.: obietnica, nie gwarancja

Binance prawdopodobnie zaspokoi każdego klienta. Ma pieniądze i wszelkie powody biznesowe, żeby to zrobić. To jest pocieszające.

Niepokojące jest to, że użytkownicy liczą na gotowość Binance, a nie na zobowiązanie prawne, a relacja giełdy z tego, jak doszło do włamania, już raz się zmieniła. Analiza pokaże, czy przyczyną był jeden wadliwy laptop, czy coś poważniejszego, w sposobie, w jaki największa giełda świata podpisuje swoje transakcje.

Oto pytanie, które warto zadać każdej platformie przechowującej kryptowaluty po ataku na Binance: gdyby jutro straciła miliardy, co dokładnie by ci się należało i od kogo? Jeśli nie potrafisz odpowiedzieć na to pytanie, ten tydzień jest dobrym momentem, aby się dowiedzieć.

Marco Lucchetti

Marco Lucchetti is a senior content strategist and blockchain analyst at Plisio. With over 7 years of experience in cryptocurrency research, DeFi protocols, and payment technologies, Marco specializes in creating clear, data-driven content for a global crypto audience. His work focuses on transaction tracing, crypto compliance, and the future of blockchain infrastructure.