Binance z rekordowym incydentem bezpieczeństwa. 6,3 mld dolarów wyprowadzonych z giełdy. Czy to największy hack w historii kryptowalut?
29 października 2026 roku doszło do jednego z najpoważniejszych incydentów bezpieczeństwa w historii rynku kryptowalut. Z 17 gorących portfeli Binance wyprowadzono aktywa o szacowanej wartości około 6,3 mld dolarów. Operacja objęła wiele blockchainów i trwała niespełna cztery godziny. Binance oficjalnie potwierdziło incydent, zadeklarowało pokrycie wszystkich strat z funduszu SAFU oraz własnych środków, a także rozpoczęło współpracę z firmami analitycznymi i emitentami stablecoinów w celu odzyskania aktywów.
Skala zdarzenia jest bezprecedensowa. Dla porównania, rekordowy dotychczas atak na giełdę Bybit z lutego 2025 roku wiązał się z utratą około 1,5 mld dolarów. W przypadku Binance mówimy o wartości ponad czterokrotnie większej. Nie oznacza to jednak, że całe 6,3 mld dolarów zostało bezpowrotnie utracone. Około 3 mld dolarów udało się zamrozić, a część pozostałych aktywów nadal znajduje się pod kontrolą atakującego.
Najbardziej niepokojące jest jednak to, w jaki sposób przeprowadzono operację. Według wstępnych ustaleń Binance atakujący mógł uzyskać dostęp do wewnętrznej infrastruktury giełdy poprzez przejęty laptop inżyniera DevOps. Nie ma obecnie dowodów na wyciek kluczy prywatnych portfeli. Problem dotyczył więc prawdopodobnie systemu, który umożliwiał autoryzowanie wypłat, a nie złamania zabezpieczeń samego blockchaina.
Binance: co dokładnie wydarzyło się 29 października?
Pierwsze odpływy z portfeli Binance odnotowano około 20:04 UTC. W kolejnych minutach aktywa zaczęły trafiać na adresy kontrolowane przez atakującego. Według rekonstrukcji Bitquery operacja objęła 17 gorących portfeli Binance i dziewięć sieci blockchain. TRM Labs raportuje przepływy przez dziesięć blockchainów.
Wśród sieci objętych incydentem znalazły się między innymi Bitcoin, Ethereum, Tron, Solana, XRP Ledger, Arbitrum, Avalanche, Optimism, Base i Polygon. Łączna wartość aktywów, które opuściły portfele giełdy, została oszacowana na około 6,3-6,36 mld dolarów.
Szczególnie istotne są dwa zdarzenia, które miały miejsce niemal równocześnie, ale nie należy ich ze sobą utożsamiać. O 20:20:06 UTC na adres kontrolowany przez atakującego trafiło około 18 270 BTC. Z kolei o 20:20:59 UTC odnotowano 50 autoryzacji EIP-7702 powiązanych z portfelem Binance 14. Były to dwa osobne zdarzenia, a różnica między nimi wyniosła niespełna minutę.
Główna seria transferów ETH i tokenów ERC-20 nastąpiła około 20:24 UTC. Kolejne transfery z portfeli Binance trwały aż do 23:56 UTC. Oznacza to, że odpływy analizowane przez Bitquery obejmowały niemal cztery godziny.
Najważniejsze momenty incydentu:
20:04 UTC - początek odnotowanych odpływów z portfeli Binance.
20:20:06 UTC - około 18 270 BTC trafia na adres atakującego.
20:20:59 UTC - odnotowano 50 autoryzacji EIP-7702 powiązanych z Binance 14.
20:24 UTC - rozpoczyna się główna seria transferów ETH i tokenów ERC-20.
20:26 UTC - kolejne transfery ETH z portfeli Binance.
20:40-20:41 UTC - dalsze przenoszenie ETH i USDC.
23:56 UTC - koniec okna odpływów analizowanego przez Bitquery.
02:23 UTC, 30 października - Binance publikuje oficjalny komunikat o incydencie i szacowanym wpływie 6,3 mld USD.
Źródła: rekonstrukcja on-chain Bitquery oraz oficjalny komunikat Binance.
Jakie kryptowaluty zostały skradzione z Binance?
Incydent nie ograniczył się do jednego aktywa ani jednej sieci. Atakujący wyprowadził między innymi ogromne ilości stablecoinów, ETH, BTC oraz wielu popularnych tokenów. Szczegółowe zestawienia transferów na Ethereum pokazują, jak duża była skala operacji.
Wśród najważniejszych pozycji znalazły się:
USDT: 1 615 409 499 tokenów o wartości około 1,615 mld USD.
USDC: 780 177 060 tokenów o wartości około 780 mln USD.
ETH: około 195 470 ETH o wartości około 442 mln USD.
wBETH: 29 934 tokeny o wartości około 74,6 mln USD.
RLUSD: 62 597 240 tokenów o wartości około 62,6 mln USD.
XAUt: 11 372 tokeny o wartości około 45,6 mln USD.
UNI: 6 189 796 tokenów o wartości około 41,2 mln USD.
ENA: 198 369 717 tokenów o wartości około 37 mln USD.
PEPE: około 7,18 bln tokenów o wartości około 35,3 mln USD.
USD1: 27 760 802 tokeny o wartości około 27,7 mln USD.
LINK: 2 263 172 tokeny o wartości około 25 mln USD.
AAVE: 127 853 tokeny o wartości około 16,2 mln USD.
To zestawienie dotyczy wcześniejszej analizy transferów na Ethereum. Nie przedstawia pełnego bilansu wszystkich aktywów wyprowadzonych w incydencie wielołańcuchowym. Nie należy również dodawać tych kwot do późniejszych szacunków 6,3 mld dolarów jako osobnej straty.
18 270 BTC, czyli około 1,4 mld dolarów. Atakujący podzielił Bitcoiny na 19 portfeli
Jednym z najbardziej interesujących elementów incydentu jest sposób, w jaki rozdzielono przejęte Bitcoiny. Około 18 270,2 BTC, wycenianych w momencie raportowania na około 1,4 mld dolarów, trafiło na adres atakującego w 11 transakcjach. Następnie środki zostały podzielone na 19 portfeli.
Struktura podziału wyglądała następująco:
17 portfeli otrzymało dokładnie po 1000 BTC.
Jeden portfel otrzymał około 832,5 BTC.
Ostatni portfel otrzymał około 437,7 BTC.
Według danych CoinDesk, do godziny 04:23 UTC 30 października żaden z tych 19 portfeli nie przesłał dalej otrzymanych Bitcoinów.
To szczególnie ważne ze względu na różnicę między Bitcoinem a stablecoinami. Emitenci USDT czy USDC mogą zamrozić środki na poziomie kontraktów tokenów. Bitcoin nie ma centralnego emitenta, który mógłby zablokować konkretne monety. W praktyce odzyskanie kontroli nad BTC wymaga współpracy z giełdami, brokerami OTC lub innymi pośrednikami, którzy mogą odmówić obsługi środków powiązanych z atakiem.
Atakujący zamienił część stablecoinów na ETH i TRX. Co udało się uratować?
Zamrożenie stablecoinów nie oznacza, że atakujący nie zdążył wcześniej zamienić części środków na inne aktywa. Z rekonstrukcji Bitquery wynika, że około 729 mln dolarów skradzionych stablecoinów zostało wymienionych na ETH i TRX jeszcze przed zamrożeniem części adresów.
W rezultacie atakujący zgromadził około 490 361 ETH. To około 2,4 razy więcej niż początkowe 200 630 ETH pozyskane w analizowanych odpływach. Pozostała część tej pozycji została zbudowana poprzez zamianę innych skradzionych aktywów na Ether.
Według pomiaru Bitquery z godziny 03:54 UTC 30 października około 3,1 mld dolarów nadal znajdowało się w portfelach kontrolowanych przez atakującego. Bitquery nie odnotowało w tym momencie transferów tych środków na giełdy ani miksery.
TRM Labs przedstawia nieco inny obraz, oparty na wcześniejszym pomiarze i własnej metodologii. Według jego analizy atakujący nadal kontrolował ponad 420 000 ETH oraz 18 270 BTC, których łączna wartość wynosiła około 2,4 mld dolarów. Różnice między tymi szacunkami wynikają między innymi z czasu pomiaru, zakresu śledzonych aktywów i zmian w przepływach on-chain.
Jak atakujący przejął kontrolę nad portfelami Binance?
Wstępne ustalenia Binance wskazują, że punktem wejścia mógł być przejęty laptop inżyniera DevOps. Atakujący miał dzięki temu uzyskać dostęp do kontenera usługowego w wewnętrznej infrastrukturze giełdy, a następnie wykorzystać go do wysyłania nieautoryzowanych transakcji wypłat.
Binance poinformowało, że nie znalazło dowodów na wyciek kluczy prywatnych portfeli. To bardzo istotne rozróżnienie. Transakcje zostały podpisane przez system Binance, ale nie oznacza to, że ktoś złamał kryptografię Bitcoina czy Ethereum. Problem miał dotyczyć dostępu do infrastruktury, która mogła autoryzować wypłaty.
Szczególnie ciekawy jest mechanizm wykorzystany na Ethereum, związany z EIP-7702. To funkcjonalność pozwalająca zwykłemu portfelowi delegować wykonywanie operacji do kodu smart kontraktu, przy zachowaniu własnego adresu i salda.
Według analizy on-chain atakujący wykorzystał 50 autoryzacji podpisanych przez portfel Binance 14. Przygotował je dla kolejnych wartości licznika transakcji, czyli nonce. Dzięki temu jedna z autoryzacji mogła zostać zaakceptowana w odpowiednim momencie, a portfel zaczął wykonywać kod kontrolowany przez atakującego. W efekcie możliwe stało się automatyczne przekazywanie aktywów na zewnętrzny adres.
Nie oznacza to, że EIP-7702 samo w sobie jest luką bezpieczeństwa. Jest to funkcjonalność protokołu Ethereum, która w tym przypadku miała zostać wykorzystana w ramach przejęcia infrastruktury autoryzującej transakcje.
Binance zapowiedziało publikację szczegółowego raportu technicznego po zakończeniu dochodzenia. Na obecnym etapie opis przyczyny ataku należy więc traktować jako wstępne ustalenia, a nie ostateczny raport powłamaniowy.
Kto stoi za atakiem na Binance? Wskazania prowadzą do Korei Północnej
TRM Labs przypisało incydent północnokoreańskiej grupie TraderTraitor z wysokim poziomem pewności. Również Chainalysis wskazuje na powiązania z Koreą Północną. W analizach pojawiają się podobieństwa do ataku na Bybit z lutego 2025 roku, za który odpowiadała grupa powiązana z północnokoreańskim aparatem państwowym.
TraderTraitor jest nazwą używaną wobec grupy cyberprzestępczej powiązanej z Koreą Północną. Jej działalność obejmuje między innymi ataki na firmy z sektora kryptowalut i próby pozyskiwania środków finansujących działalność państwa.
Warto jednak zachować ostrożność w formułowaniu ostatecznych wniosków. Atrybucja przedstawiona przez firmy analityczne nie jest równoznaczna z oficjalnym potwierdzeniem tożsamości sprawców przez organy ścigania. Binance poinformowało, że współpracuje z odpowiednimi służbami i partnerami branżowymi, aby ustalić, kto stoi za incydentem.
Ile środków udało się zamrozić? Binance deklaruje około 3 mld dolarów
Jednym z najważniejszych elementów reakcji na atak była współpraca z emitentami stablecoinów i operatorami infrastruktury blockchain. Tether, Circle, Ripple, World Liberty Financial oraz inni partnerzy podjęli działania mające na celu zablokowanie aktywów powiązanych z atakiem. Dodatkowo Arbitrum Security Council zamroziła środki znajdujące się w sieci Arbitrum.
Najnowszy komunikat Binance z 30 października wskazuje, że zamrożono około 3 mld dolarów. Niezależna analiza Bitquery wykazywała około 2,7 mld dolarów, a TRM Labs szacowało wartość zablokowanych stablecoinów i aktywów w sieciach na około 2,7 mld dolarów.
Różnice między tymi szacunkami wynikają z czasu pomiaru, zakresu analizowanych sieci i metodologii poszczególnych firm. Nie należy traktować ich jako jednego, zamkniętego bilansu. Co więcej, zamrożenie aktywów nie zawsze oznacza ich natychmiastowy zwrot do Binance.
Jak zareagowało Binance? SAFU, pokrycie strat i zawieszone wypłaty
Binance oficjalnie potwierdziło incydent 30 października o 02:23 UTC. Giełda poinformowała, że jej wstępne dochodzenie wskazuje na możliwe przejęcie laptopa inżyniera DevOps, które mogło umożliwić atakującemu dostęp do kontenera usługowego i wysyłanie nieautoryzowanych transakcji.
Najważniejsza deklaracja dotyczy jednak odpowiedzialności finansowej. Binance zapowiedziało, że pokryje wszystkie straty z funduszu SAFU oraz własnych środków. Giełda zapewniła, że środki użytkowników są bezpieczne.
SAFU, czyli Secure Asset Fund for Users, to fundusz awaryjny Binance przeznaczony do ochrony użytkowników w przypadku nadzwyczajnych zdarzeń związanych z bezpieczeństwem. Binance zapowiedziało wykorzystanie zarówno jego zasobów, jak i środków własnych spółki.
W ramach działań zabezpieczających giełda:
tymczasowo zawiesiła wpłaty i wypłaty na czas kontroli bezpieczeństwa;
cofnęła autoryzację objętych incydentem adresów;
rozpoczęła współpracę z organami ścigania i firmami analitycznymi;
zadeklarowała pokrycie wszystkich strat z SAFU i środków własnych;
zapowiedziała publikację zaktualizowanego Proof of Reserves po zakończeniu działań naprawczych.
W kolejnym komunikacie Binance doprecyzowało, że wpłaty pozostają dostępne, natomiast wypłaty nadal są wstrzymane na czas przebudowy i kontroli systemu wypłat. Giełda oczekiwała ich wznowienia w ciągu około 48 godzin.
Proof of Reserves Binance pod lupą. Czy rezerwy nadal pokrywają 100% sald klientów?
Jednym z najważniejszych tematów, które pojawiły się po incydencie, jest Proof of Reserves, czyli zestawienie rezerw giełdy i zobowiązań wobec klientów.
CoinDesk zwrócił uwagę, że portfele, z których wyprowadzono aktywa, znajdowały się w październikowym zestawieniu rezerw Binance. Oznacza to, że część środków objętych incydentem była wykazywana jako aktywa zabezpieczające salda użytkowników.
Według analizy CoinDesk, przed incydentem Binance wykazywało pokrycie zobowiązań w ETH na poziomie 100%. Wyprowadzenie około 204 500 ETH mogło obniżyć ten wskaźnik do około 94%, o ile brakujące aktywa nie zostały jeszcze uzupełnione. Podobne niedobory mogły dotyczyć USDC i części altcoinów.
To ważna informacja, ale nie jest dowodem niewypłacalności Binance. Giełda zadeklarowała, że pokryje wszystkie straty, a więc zobowiązania wobec klientów mają zostać zachowane. Kluczowe będzie jednak to, czy Binance rzeczywiście uzupełni brakujące aktywa i pokaże to w kolejnym zestawieniu rezerw.
Dlatego szczególnie istotny będzie zapowiedziany zaktualizowany Proof of Reserves. Pozwoli on sprawdzić, czy giełda odbudowała poziom zabezpieczenia zobowiązań w poszczególnych kryptowalutach.
Jak zareagował rynek kryptowalut? Bitcoin spadł poniżej 77 000 dolarów
Informacja o incydencie na Binance wywołała silną reakcję na rynku. Bitcoin spadł do około 76 400-76 500 dolarów, osiągając najniższy poziom od sześciu tygodni. Ethereum chwilowo zniżkowało w okolice 2 170-2 200 dolarów, a BNB traciło ponad 8% w ujęciu 24-godzinnym.
Według danych rynkowych przytaczanych przez CoinDesk, łączna wartość likwidacji pozycji na rynku kontraktów terminowych wzrosła do około 1,57 mld dolarów. Szczególnie mocno ucierpieli inwestorzy utrzymujący pozycje długie. Sama likwidacja pozycji BTC odpowiadała za około 522 mln dolarów, a ETH za około 361 mln dolarów.
Nie można przypisać całego spadku wyłącznie incydentowi na Binance. Na rynek oddziaływały również inne czynniki, w tym słabość amerykańskich akcji technologicznych. Nie ma jednak wątpliwości, że informacja o wyprowadzeniu aktywów o wartości 6,3 mld dolarów znacząco pogorszyła sentyment i zwiększyła presję sprzedażową.
Warto również zwrócić uwagę na BNB. Token ekosystemu Binance zanotował jedne z mocniejszych spadków wśród największych kryptowalut. Rynek wyceniał nie tylko ryzyko związane z samym incydentem, ale również potencjalne konsekwencje dla zaufania do największej giełdy kryptowalut.
Największy hack w historii kryptowalut? Binance wyprzedza Bybit i Ronin
Przy szacowanym wpływie na poziomie 6,3 mld dolarów incydent Binance zdecydowanie zmienia historyczny ranking największych kradzieży w branży kryptowalut.
Dotychczas jednym z największych przypadków był incydent LuBian. Z chińskiego mining poola Bitcoina w grudniu 2020 roku miało zostać wyprowadzonych około 127 426 BTC. Sprawę ujawnił Arkham dopiero w sierpniu 2025 roku, szacując wartość skradzionych środków w momencie transferu na około 3,5 mld dolarów. Nie był to jednak klasyczny, jednoznacznie wyjaśniony atak na giełdę, a sam incydent nie został publicznie potwierdzony przez LuBian.
Kolejnym głośnym przypadkiem był atak na Bybit z 2025 roku, którego wartość oszacowano na około 1,5 mld dolarów. Wcześniej na liście największych kradzieży znajdowały się między innymi Ronin Network z 2022 roku, Poly Network z 2021 roku, Binance Bridge z 2022 roku, Coincheck z 2018 roku oraz Mt. Gox z 2014 roku.
Wartości historyczne nie są w pełni porównywalne, ponieważ część incydentów wyceniano w momencie kradzieży, a inne dopiero po ich ujawnieniu. Binance jest jednak obecnie rekordzistą według deklarowanego wpływu finansowego. Nie oznacza to, że całe 6,3 mld dolarów pozostaje bezpowrotnie utracone.
Czy europejskie giełdy z licencją MiCA są bezpieczniejszym wyborem?
Incydent na Binance przypomina, że nawet największe platformy kryptowalutowe nie są wolne od ryzyka operacyjnego i cyberataków. Sama skala działalności, rozpoznawalność marki czy wielkość rezerw nie gwarantują pełnego bezpieczeństwa środków.
Warto przy tej okazji zwrócić uwagę na europejskie ramy regulacyjne. Giełdy działające na podstawie zezwolenia MiCA podlegają określonym wymogom organizacyjnym, nadzorczym i dotyczącym ochrony klientów. Regulacje te nie eliminują ryzyka ataku hakerskiego, ale wprowadzają dodatkowe obowiązki po stronie dostawców usług związanych z kryptoaktywami.
Wybór platformy posiadającej wymagane zezwolenia i działającej na rynku europejskim może więc oznaczać dodatkowy poziom formalnej ochrony oraz większą przejrzystość w zakresie odpowiedzialności dostawcy usług. Nie należy jednak traktować licencji MiCA jako gwarancji bezpieczeństwa ani utożsamiać jej z ochroną depozytów bankowych.
Co incydent na Binance oznacza dla bezpieczeństwa rynku kryptowalut?
Najważniejsza lekcja z tego zdarzenia dotyczy różnicy między bezpieczeństwem blockchaina a bezpieczeństwem infrastruktury, która z niego korzysta.
Sieci takie jak Bitcoin i Ethereum mogą działać prawidłowo, a mimo to środki użytkowników mogą zostać wyprowadzone z giełdy, jeśli atakujący przejmie kontrolę nad systemami autoryzującymi transakcje. W tym przypadku nie trzeba było łamać kryptografii ani przejmować kontroli nad całym blockchainem. Wystarczyło uzyskać dostęp do infrastruktury, która pozwalała wykonywać wypłaty.
Incydent pokazuje również ograniczenia Proof of Reserves. Samo publikowanie zestawienia portfeli i sald nie eliminuje ryzyka operacyjnego. Rezerwy mogą być wykazywane jako wystarczające w określonym dniu, ale ich bezpieczeństwo zależy także od kontroli dostępu, procedur autoryzacji i odporności wewnętrznych systemów giełdy.
Wreszcie, wydarzenie pokazuje dwie różne strony rynku kryptowalut. Z jednej strony emitenci stablecoinów mogą zamrażać środki, co pomaga ograniczać skutki ataków. Z drugiej strony Bitcoin pozostaje aktywem, którego nie można zablokować decyzją centralnego emitenta. W praktyce odzyskanie BTC wymaga współpracy z podmiotami, które mogą kontrolować dalszy przepływ tych środków.
Binance znalazło się w centrum największego znanego incydentu tego typu, ale ostateczna ocena jego skali będzie zależała od tego, ile aktywów uda się odzyskać, czy giełda uzupełni rezerwy i jakie wnioski przyniesie pełny raport techniczny.
Jeśli szukasz giełdy kryptowalut działającej w europejskich ramach regulacyjnych, sprawdź ranking platform posiadających licencję MiCA na micaintelligence.com. Znajdziesz tam zestawienie giełd z wymaganymi zezwoleniami i działającymi platformami handlowymi dostępnymi dla europejskich użytkowników.