Z Binance, największej giełdy kryptowalut na świecie, hakerzy wyprowadzili w czwartek 29 października aktywa warte około 6,3 mld dolarów, co czyni ten atak największą kradzieżą kryptowalut w historii. Giełda zamroziła dotąd około 3 mld dolarów, wstrzymała wypłaty i zapowiada pokrycie wszystkich strat z własnych pieniędzy.
- Hakerzy wyprowadzili z Binance około 6,3 mld dolarów w ciągu mniej więcej 20 minut, co jest największą kradzieżą kryptowalut w historii – poprzedni rekord należał do ataku na giełdę Bybit z lutego 2025 roku, gdzie skradziono około 1,5 mld dolarów.
- Według TRM Labs napastnik nie ukradł kluczy prywatnych, lecz zmusił systemy podpisujące Binance do autoryzowania własnych transakcji – przygotował 50 podpisanych zgód co najmniej 36 godzin przed kradzieżą, a całe saldo portfela (m.in. 167 464 ETH i 1,615 mld USDT) wyprowadził w jednej transakcji.
- Firmy TRM Labs i Chainalysis z wysoką pewnością przypisują atak północnokoreańskiej grupie TraderTraitor powiązanej z Lazarus Group, a Elliptic szacuje, że napastnik wciąż kontroluje około 3,33 mld dolarów w aktywach rozproszonych na około 43 adresach, których żaden emitent nie może zamrozić.
Dotychczasowy rekord należał do ataku na giełdę Bybit z lutego 2025 roku, z której skradziono około 1,5 mld dolarów. Firma analityczna Chainalysis, zajmująca się śledzeniem transakcji w blockchainie, ocenia, że kwota z Binance jest blisko czterokrotnie wyższa niż w drugiej największej kradzieży w historii branży. Firmy TRM Labs i Chainalysis z wysoką pewnością przypisują atak północnokoreańskiej grupie TraderTraitor.
Chcesz czytać więcej treści związanych z AI?
Dodaj AIPORT.pl do preferowanych źródeł Google
Binance: atak mógł zacząć się od laptopa inżyniera DevOps
Według wstępnych ustaleń Binance włamanie zaczęło się od przejętego laptopa jednego z inżynierów DevOps, czyli osób utrzymujących serwery i oprogramowanie giełdy. Z tego komputera napastnik dostał się do kontenera usługowego (wydzielonego fragmentu infrastruktury, który obsługuje konkretne zadanie) i zlecił z niego nieautoryzowane wypłaty.
Binance podkreśla, że nie znalazła dowodów na wyciek klucza prywatnego żadnego portfela. Później giełda poinformowała, że śledztwo wykryło dodatkowe punkty naruszenia zabezpieczeń. Nie podała, gdzie dokładnie. Współprezes Binance Richard Teng napisał, że winy nie można zrzucić na jednego pracownika:
„Napastnik nie posłużył się po prostu uprawnieniami jednego inżyniera” / „the attacker did not simply use one engineer’s permissions”
Investigation update: Our initial investigation suggested that the security incident may have involved a compromised laptop, however our subsequent investigation has uncovered additional points of breach.
This was a complex attack, and we are doing all we can in coordination… pic.twitter.com/FQQ3vKT6GU
— Binance (@binance) October 30, 2026
Teng dodał, że atak był procesem złożonym, nie pojedynczą operacją. Zaatakowany został gorący portfel giełdy, czyli portfel podłączony do internetu i obsługujący bieżące wpłaty oraz wypłaty. Według Binance środki klientów przechowywane są w osobnym systemie i nie zostały naruszone.
I want to speak to you directly about what happened.
Bottom line – your money is safe, and we're covering every loss.
Our initial investigation suggests this security incident may have started with a compromised DevOps engineer's laptop. That gave an attacker access to a…
— Richard Teng (@_RichardTeng) October 30, 2026
TRM Labs: hakerzy przygotowali 50 podpisanych zgód przed kradzieżą
Firma TRM Labs ustaliła, że napastnik przeniósł z portfeli Binance około 6,36 mld dolarów na dziesięciu blockchainach, z czego większość w ciągu mniej więcej 20 minut. Przygotowania trwały co najmniej 36 godzin przed kradzieżą.
Mechanizm opisany przez TRM Labs wyglądał tak:
- o 20:20 UTC operator wysłał jedną transakcję zawierającą 50 autoryzacji podpisanych przez gorący portfel Binance,
- autoryzacje przekazywały kontrolę nad portfelem kontraktowi, który słuchał wyłącznie poleceń napastnika,
- 50 podpisów przygotowano dla kolejnych numerów transakcji portfela, bo portfel stale obsługiwał wypłaty i wystarczyło, żeby jeden numer pasował w chwili wykonania,
- 3 minuty i 24 sekundy później napastnik kazał portfelowi przelać całe saldo na swój adres, w jednej transakcji wyszło 167 464 ETH i 63 tokeny, w tym 1,615 mld USDT.
TRM Labs uważa za najbardziej prawdopodobne, że atakujący zyskał możliwość zmuszenia systemu podpisującego Binance do podpisywania wybranych przez siebie transakcji. Podobną ocenę przedstawia firma Elliptic: napastnik nie ukradł kluczy, tylko sprawił, że systemy giełdy same podpisały mu przelewy.
Szacunki skradzionej kwoty różnią się w zależności od źródła i momentu wyceny:
| Źródło | Szacunek |
|---|---|
| Binance | ok. 6,3 mld dolarów |
| TRM Labs | ok. 6,36 mld dolarów |
| Elliptic | 6,43 mld dolarów |
| Chainalysis | 5,912 mld dolarów (wartość w chwili kradzieży) |
Wypełnij formularz, a my skontaktujemy się z Tobą, aby upewnić się czego potrzebujesz.
TRM Labs i Chainalysis wskazują na Koreę Północną, Elliptic zaleca ostrożność
TRM Labs przypisuje atak grupie TraderTraitor, którą opisuje jako elitarną północnokoreańską jednostkę hakerską powiązaną z Lazarus Group. Ta sama grupa stała za kradzieżą z Bybit, którą FBI przypisało Korei Północnej. Według TRM Labs atak na Binance ma wspólne cechy z wcześniejszymi operacjami, w tym z kwietniowym atakiem na KelpDAO: zasilenie portfela operatora niewielkimi wypłatami z miksera Tornado Cash, przygotowania rozpoczęte z wyprzedzeniem i wcześniej zebrane podpisy wykonane w jednej serii.
Chainalysis potwierdza ocenę TRM Labs. Firma zauważyła, że środki z Binance zostały wymieszane ze środkami skradzionymi przez Koreę Północną w zeszłomiesięcznym ataku na giełdę Bitget. Chainalysis opisuje też nietypowy sposób prania pieniędzy: tysiące transakcji w krótkim czasie i wielokrotne krążenie środków między tymi samymi adresami, co wskazuje na zautomatyzowany proces.
Elliptic również widzi ślady prowadzące do Korei Północnej. Dr Tom Robinson, założyciel i główny naukowiec firmy, zwraca jednak uwagę na odstępstwa od znanego schematu. Napastnik trzymał skradzione USDT przez 37 minut w sieci Ethereum i 46 minut w sieci Tron bez wymiany większości środków. Grupy powiązane z Pjongjangiem robią to zwykle szybciej. Robinson tłumaczy w rozmowie z The Hacker News, dlaczego takie ataki się udają:
„Wystarczy jeden przejęty laptop” / „it only takes one compromised laptop”
Według Robinsona hakerzy z tej grupy wybierają na cel ludzi zamiast technologii, posługując się fałszywymi ofertami pracy i złośliwym oprogramowaniem. Elliptic wskazuje, że podobną metodę, czyli nakłanianie pracowników do uruchomienia złośliwego kodu pod pozorem zadania rekrutacyjnego, stosowano przy atakach na DMM Bitcoin i Bybit.
Śledzę ten temat od czwartkowej nocy i najbardziej uderza mnie to, jak banalny mógł być pierwszy krok. Kryptografia zadziałała. Klucze nie wyciekły. Zawiódł komputer człowieka, który miał dostęp do systemów produkcyjnych. Jeśli hipoteza o fałszywym zadaniu rekrutacyjnym się potwierdzi, to każda firma technologiczna powinna przyjrzeć się temu, co jej inżynierowie uruchamiają na służbowych laptopach.
Druga sprawa jest mniej wygodna dla zwolenników kryptowalut. Połowę łupu udało się odzyskać tylko dlatego, że Tether, Circle i inni emitenci mogą jednym ruchem zamrozić środki. Z perspektywy poszkodowanych to świetna wiadomość. Z perspektywy ideologii odporności na cenzurę to przyznanie, że duża część rynku działa jak scentralizowany system płatniczy.
Otwarte pytanie brzmi: co z pozostałymi ponad 3 mld dolarów, których nikt nie może zamrozić? Jeśli trafią do Pjongjangu, będzie to jedna z najbardziej dochodowych operacji wywiadowczych dekady.
Piotr Wolniewicz, Redaktor Naczelny AIPORT.pl
Binance obiecuje pokryć straty z własnych pieniędzy i wznowić wypłaty do niedzieli
Binance zapowiada pokrycie wszystkich strat z funduszu SAFU (Secure Asset Fund for Users) oraz środków firmy. SAFU to fundusz awaryjny utworzony w 2018 roku i przechowywany w bitcoinach. Według The Verge jego ostatnia wycena wynosiła około 1,3 mld dolarów, czyli znacznie mniej niż skala kradzieży. Dlatego giełda zabezpieczyła ponad 6,34 mld dolarów z własnych środków, z czego 5 mld dolarów jest już w tych samych tokenach, które zostały skradzione, m.in. w USDC, USDT, bitcoinie i etherze. Pozostałą część Binance dokupuje na rynku.
Do zamrożenia skradzionych środków przyłączyły się inne firmy z branży:
- Tether zamroził ponad 1,567 mld USDT,
- Circle zablokował 800 mln USDC,
- Rada Bezpieczeństwa sieci Arbitrum zamroziła około 30,5 mln dolarów,
- swoje działania podjęły też Ripple i World Liberty Financial.
Elliptic szacuje, że napastnik wciąż kontroluje około 3,33 mld dolarów w aktywach, których nie da się zamrozić przez emitenta. Środki są rozproszone na około 43 adresach i obejmują m.in. 511 861 ETH oraz 18 270 BTC.
Wpłaty na Binance działają normalnie. Wypłaty pozostają wstrzymane, bo giełda przebudowuje system ich obsługi. Współzałożycielka i współprezeska Yi He zapowiedziała ich wznowienie do niedzieli. Według ostatniego komunikatu wypłaty mają wracać etapami po zakończeniu kontroli bezpieczeństwa. Do 2 listopada Binance ma opublikować pełny raport dowodu rezerw (proof of reserves), który ma pokazać, że giełda ma pokrycie dla wszystkich środków klientów. Pełnego raportu technicznego z przebiegu ataku jeszcze nie ma.
Bitcoin spadł poniżej 78 tys. dolarów, analitycy nie widzą zagrożenia dla wypłacalności Binance
Informacja o włamaniu uderzyła w cały rynek kryptowalut. Według CNBC bitcoin stracił w piątek ponad 4 proc. i spadł do 77 994,96 dolara. Token BNB, używany m.in. do opłacania prowizji na Binance, potaniał w ciągu doby o 5 proc., do 709,70 dolara (dane CoinGecko). Protokół pożyczkowy Aave zamroził na pewien czas swoje rynki, gdy okazało się, że osoba odpowiedzialna za atak pożyczyła w nim 44,6 mln dolarów.
Skala kradzieży robi wrażenie. Binance miała jednak pod opieką około 162,8 mld dolarów aktywów według raportu rocznego za 2025 rok, na który powołuje się Seeking Alpha. Skradziona kwota to więc niecałe 4 proc. tej sumy. Sean Farrell, szef działu aktywów cyfrowych w Fundstrat Global Advisors, ocenia, że incydent nie zagraża stabilności giełdy:
„Obecnie nie wygląda to na zdarzenie zagrażające wypłacalności Binance” / „it does not currently appear to be a solvency event for Binance”
Atak dotyczy platformy Binance.com. Binance.US, osobna platforma dla klientów ze Stanów Zjednoczonych, poinformowała, że nie została nim objęta.
Za każdą polską firmą AI stoi konkretny człowiek z imieniem i nazwiskiem, często ten sam w kilku miejscach naraz, i to właśnie ludzie, nie tabelki finansowania, są prawdziwym bohaterem tego artykułu.
Polscy klienci Binance mogli już tylko wypłacać środki. Teraz nie mogą nawet tego
Dla użytkowników z Polski blokada wypłat jest szczególnie dotkliwa. Od 1 lipca 2026 roku Binance Poland nie przyjmuje nowych klientów i ograniczyła usługi dla dotychczasowych, bo ani polska spółka, ani żaden inny podmiot z grupy nie uzyskał licencji wymaganej przez unijne rozporządzenie MiCA (Markets in Crypto-Assets). 24 czerwca Binance wycofała wniosek o licencję złożony w Grecji i zapowiedziała starania w innym państwie Unii.
Od lipca polscy klienci nie mogą zawierać nowych transakcji spot, z dźwignią ani P2P. Mogą zamykać pozycje i wypłacać środki w kryptowalutach, euro i złotych. Po czwartkowym ataku zablokowana została właśnie ta ostatnia funkcja. Blokada obejmuje Polaków tak samo jak klientów z innych krajów.
Wcześniejszy wpis Binance Poland do polskiego rejestru działalności w zakresie walut wirtualnych nigdy nie oznaczał nadzoru Komisji Nadzoru Finansowego nad giełdą. KNF nie licencjonowała ani nie nadzorowała giełd kryptowalut w poprzednim modelu prawnym. Polscy klienci mogą więc liczyć głównie na deklaracje samej Binance, że straty pokryje z własnych pieniędzy.
Źródła i metodologia
Artykuł powstał na podstawie analizy redakcji AIPORT.pl oraz dodatkowych źródeł, w tym oficjalnego komunikatu Binance z dnia 29.10.2026 oraz TRM Labs, Elliptic. Dane i informacje weryfikowano także w materiałach The Verge, The Hacker News, CNBC, Bloomberg, Chainalysis i Al Jazeery. Polski kontekst regulacyjny: tvn24.pl.
Cytaty Richarda Tenga (współprezesa Binance), dr. Toma Robinsona (założyciela i głównego naukowca Elliptic) oraz Seana Farrella (szefa działu aktywów cyfrowych Fundstrat Global Advisors) zostały zweryfikowane z oryginalnym anglojęzycznym materiałem źródłowym.
Komentarz redakcyjny i ocena kontekstu branżowego: Piotr Wolniewicz, Redaktor Naczelny AIPORT.pl.
Artykuł będzie aktualizowany w miarę pojawiania się nowych informacji o śledztwie w sprawie ataku na Binance i wznowieniu wypłat.
