Hakerzy, którzy 29 października wyprowadzili z Binance kryptoaktywa warte 6,34 mld dolarów, przygotowywali atak od czerwca, korzystając ze spreparowanego instalatora narzędzia AI do programowania, fałszywych rozmów o pracę i wewnętrznego narzędzia AI giełdy. Tak wynika z raportu, który największa giełda kryptowalut na świecie opublikowała 3 listopada 2026 roku, kilka dni po tym, jak FBI przypisało atak północnokoreańskiej grupie TraderTraitor.
- 29 października hakerzy z grupy TraderTraitor wyprowadzili z Binance kryptoaktywa warte 6,34 mld dolarów – według FBI to atak przypisany Korei Północnej, a większość środków przeniesiono w około 20 minut za pomocą skradzionych danych logowania i mechanizmu EIP-7702 Ethereum.
- Atak był poprzedzony kilkumiesięcznym przygotowaniem: w czerwcu zainfekowano komputer inżyniera przez podrobiony instalator narzędzia AI, a we wrześniu drugi inżynier pobrał malware podczas fałszywego procesu rekrutacyjnego prowadzonego przez podstawionych „rekruterów" na legalnej platformie z ofertami pracy.
- Atakujący wykorzystali wewnętrzne narzędzie AI Binance do przejęcia komputerów dwóch kolejnych inżynierów z zespołu portfeli; Binance nie ujawniła, do czego służyło to narzędzie ani w jaki sposób zostało użyte przez hakerów.
To prawdopodobnie największa kradzież kryptowalut w historii, około cztery razy większa od dotychczasowego rekordu, czyli ataku na Bybit z lutego 2025 roku. Według Binance zamrożono lub przechwycono około 2,85 mld dolarów, z zastrzeżeniem rozliczeń i zmian cen rynkowych.
Współprezes Binance Richard Teng skomentował raport we wpisie na X: https://twitter.com/_RichardTeng/status/2117626871445921884
On 29 October, Binance was the target of one of the most sophisticated attacks the digital asset industry has ever seen. ~$6.34B in assets were impacted. We take full responsibility and we're making it right.
No user bears the loss. We set aside more than the full amount… https://t.co/BDmr3wLzOP
— Richard Teng (@_RichardTeng) November 3, 2026
Chcesz czytać więcej treści związanych z AI?
Dodaj AIPORT.pl do preferowanych źródeł Google
Pierwszy krok: inżynier szukał narzędzia AI i trafił na podrobiony instalator
Atak zaczął się w czerwcu od zainfekowanego oprogramowania pobranego przez inżyniera z zespołu portfeli. Inżynier DevOps odpowiedzialny za portfele Binance pobrał zmodyfikowaną instalację Homebrew, menedżera pakietów dla macOS i Linuksa, gdy chciał zainstalować popularne narzędzie AI do programowania znalezione przez wyszukiwarkę. Binance nie podała, o jakie narzędzie AI i jaką wyszukiwarkę chodziło.
Firma wykryła infekcję. Binance wymieniła urządzenie i zmieniła dane logowania. Atakujący zdążyli jednak ustalić, kto pracuje w zespole odpowiedzialnym za portfele. Ta wiedza wystarczyła, żeby wybrać kolejny cel.
Drugi krok: fałszywy dyrektor, fałszywy HR i fałszywy prezes
We wrześniu hakerzy wzięli na cel innego inżyniera z tego samego zespołu. Osoba podająca się za rekrutera skontaktowała się z nim przez legalną platformę z ofertami pracy. Według relacji The Guardian schemat wyglądał tak:
- pierwszy kontakt nawiązał rzekomy dyrektor projektu,
- pierwszą rozmowę wideo przeprowadziła podstawiona osoba z działu kadr, która udostępniała informacje z mediów społecznościowych, żeby zdobyć zaufanie programisty,
- drugi etap odbył się w komunikatorze z rzekomym prezesem nieistniejącej firmy,
- inżynier dostał zadanie rekrutacyjne i pobrał plik ze złośliwym oprogramowaniem.
Malware był dopracowany. Podmieniał element legalnego narzędzia programistycznego, pozwalał wykonywać polecenia i łączyć się z zewnętrznym serwerem. Binance twierdzi, że wcześniej nieznane złośliwe oprogramowanie ominęło jej zabezpieczenia i próbowało zacierać ślady.
Teng opisał to w rozmowie z CNBC wprost: atakujący „stworzyli fałszywą wersję narzędzia dla programistów” / „set up a fake version of a developer tool”, a we wrześniu podawali się za rekruterów.
Wypełnij formularz, a my skontaktujemy się z Tobą, aby upewnić się czego potrzebujesz.
Wewnętrzne narzędzie AI posłużyło do przejęcia kolejnych komputerów
Najbardziej niepokojący element raportu dotyczy samej Binance. 20 października atakujący użyli laptopa zwerbowanego inżyniera i wewnętrznego narzędzia AI Binance, żeby przejąć komputery dwóch inżynierów z zespołu portfeli. Binance nie wyjaśniła, do czego służy to narzędzie ani jak zostało wykorzystane.
29 października hakerzy użyli skradzionych danych logowania, uruchomili kontener i skrypt, który przeniósł środki z gorących portfeli Binance, czyli portfeli podłączonych do internetu i obsługujących wypłaty klientów. Analizy on-chain pokazały, że portfel Binance 14 podpisał delegację EIP-7702 wskazującą na kod kontrolowany przez atakującego, po czym jedna transakcja zgarnęła ETH i dziesiątki tokenów. EIP-7702 to mechanizm Ethereum, który pozwala zwykłemu portfelowi czasowo wykonywać kod inteligentnego kontraktu.
Tempo było ogromne. Według TRM Labs z portfeli Binance w dziesięciu blockchainach wypłynęło około 6,36 mld dolarów, a większość tej kwoty przeniesiono w około 20 minut.
Binance w raporcie przyznała się do błędu: „To nie powinno było się wydarzyć” / „This should not have happened”. Firma przeprosiła użytkowników, partnerów i całą branżę.
Czytam ten raport jako dziennikarz zajmujący się AI i widzę w nim coś więcej niż kolejną kradzież kryptowalut. Oba wejścia do firmy prowadziły przez rzeczy, które programiści robią dziś codziennie: szybką instalację nowego asystenta AI i odpowiadanie na oferty pracy. Trzeci etap jest jeszcze ciekawszy. Wewnętrzne narzędzie AI, które miało przyspieszać pracę zespołu, stało się dla hakerów mostem do kolejnych maszyn.
Nie wiemy, co dokładnie robiło to narzędzie. Binance tego nie ujawniła i uważam, że powinna. Jeśli firmy dają agentom AI szeroki dostęp do systemów, to każdy taki agent jest kolejnym kontem z uprawnieniami, które da się przejąć. Pytanie, które zadałbym dziś każdemu działowi IT: kto u was sprawdza, do czego ma dostęp firmowy asystent AI i co się stanie, gdy ktoś przejmie laptopa osoby, która go używa?
Piotr Wolniewicz, Redaktor Naczelny AIPORT.pl
FBI wskazuje TraderTraitor. Korea Północna zaprzecza
FBI przypisało atak Pjongjangowi w komunikacie z 31 października. Biuro poinformowało, że Koreańska Republika Ludowo-Demokratyczna odpowiada za kradzież ponad 6 mld dolarów w aktywach wirtualnych z giełdy Binance. FBI powiązało atak z TraderTraitor, tą samą północnokoreańską grupą, którą wskazało przy ataku na Bybit za 1,5 mld dolarów w lutym 2025 roku.
Sama Binance jest ostrożniejsza. Teng nie przypisał ataku Korei Północnej. Przyznał jedynie, że FBI powiązało go z hakerami z grupy TraderTraitor.
Pjongjang odrzuca oskarżenia. Kim Yo-jong, siostra przywódcy Kim Dzong Una, nazwała je w komunikacie agencji KCNA „absurdalną retoryką i niczym nowym” / „absurd rhetoric and nothing new”.
Fałszywe rekrutacje to dobrze znane narzędzie północnokoreańskich grup. Kampania nazywana przez badaczy Contagious Interview polega na nakłanianiu kandydatów do nieświadomego pobrania malware podczas technicznego zadania rekrutacyjnego. Zwykle Korea Północna działa jednak od drugiej strony: jej informatycy podszywają się pod kandydatów i zatrudniają się w zachodnich firmach, żeby przekazywać pensje do kraju.
Binance pokrywa straty z własnych pieniędzy. Rynek zareagował krótko
Binance zapewnia, że klienci nie stracą środków. Według Tenga do 3 listopada giełda uzupełniła 98 proc. z 6,34 mld dolarów aktywów objętych atakiem i nadal skupuje mniej płynne tokeny. Wcześniej firma informowała, że odtworzyła 90 proc. skradzionej kwoty, kupując nowe tokeny za pieniądze firmy.
Pieniądze z ubezpieczenia nie pomogą. Według Bloomberg Law, który powołuje się na osobę znającą sprawę, Binance nie miała ubezpieczenia od ryzyk cybernetycznych.
Pierwszą linią obrony okazali się emitenci stablecoinów. Tether zamroził 971,1 mln USDT, a Circle 823 mln USDC w głównym portfelu odbiorczym jeszcze wieczorem 29 października. Bitcoin i ether nie mają emitenta, więc tych aktywów nie dało się zablokować w ten sam sposób.
Reakcja rynku była gwałtowna i krótka:
- bitcoin spadł poniżej 77 tys. dolarów,
- ether stracił 2,9 proc., do 2200 dolarów, a BNB ponad 5 proc., do 717 dolarów,
- likwidacje na rynku aktywów cyfrowych przekroczyły w ciągu doby 1,5 mld dolarów.
Dla porównania skali: Binance ma 335 mln zarejestrowanych użytkowników, a według sprawozdania za 2025 rok wartość powierzonych jej aktywów sięgała 162,8 mld dolarów. Według Elliptic do początku października 2025 roku Korea Północna ukradła w tamtym roku ponad 2 mld dolarów w kryptowalutach, głównie z Bybit. Jeden atak na Binance przewyższa ten wynik ponad trzykrotnie.
Po ataku Binance odbudowała system portfeli i wewnętrzne narzędzie AI, wymieniła zainfekowane urządzenia, unieważniła dane logowania i tokeny powiązane z zaatakowanymi inżynierami oraz rozszerzyła skanowanie komputerów pracowników. Teng zapowiedział też niezależny audyt działań firmy.
Za każdą polską firmą AI stoi konkretny człowiek z imieniem i nazwiskiem, często ten sam w kilku miejscach naraz, i to właśnie ludzie, nie tabelki finansowania, są prawdziwym bohaterem tego artykułu.
Polscy klienci Binance od lipca mogą głównie wypłacać środki
Polscy użytkownicy obserwują atak z nietypowej pozycji. Binance nie uzyskała licencji MiCA przed 30 czerwca 2026 roku i od 1 lipca nie może przyjmować nowych użytkowników w Polsce. Obecni klienci zachowali dostęp do aktywów, jednak zakres usług znacząco ograniczono. MiCA to unijne rozporządzenie o rynkach kryptoaktywów, które po okresie przejściowym wymaga od giełd zezwolenia na działalność w UE.
Od 1 lipca klienci nie mogą składać nowych zleceń na rynku spot, a boty tradingowe zostały wyłączone. W praktyce polskie konta Binance służą dziś głównie do wypłat. Binance nie podała, czy atak dotknął środków polskich klientów, a raport nie wspomina o podziale strat według krajów.
Drugi polski wątek dotyczy rynku pracy. Schemat z fałszywym rekruterem na legalnej platformie i zadaniem do pobrania nie wymaga obecności w żadnym konkretnym kraju. Polscy programiści często pracują zdalnie dla zagranicznych firm, także z branży kryptowalut, więc ten sam mechanizm może trafić do skrzynki każdego z nich. To moja ocena redakcyjna, nie ustalenie z raportu Binance.
Źródła i metodologia
Artykuł powstał na podstawie analizy redakcji AIPORT.pl oraz dodatkowych źródeł, w tym raportu bezpieczeństwa Binance z dnia 03.11.2026, publikacji The Guardian z dnia 03.11.2026 oraz CNBC i Help Net Security. Wykorzystano także dane TRM Labs, Elliptic, Bloomberg Law, The National, Insurance Business i Forklog. Kontekst polski: money.pl.
Cytaty Richarda Tenga, współprezesa Binance, oświadczenia Binance oraz wypowiedź Kim Yo-jong zostały zweryfikowane z oryginalnym anglojęzycznym materiałem źródłowym.
Komentarz redakcyjny i ocena kontekstu branżowego: Piotr Wolniewicz, Redaktor Naczelny AIPORT.pl.
Artykuł będzie aktualizowany w miarę pojawiania się nowych informacji o śledztwie w sprawie ataku na Binance.
