Atak na Binance za 6,3 mld USD. Jak hakerzy wyprowadzili kryptowaluty?

W nocy z 29 na 30 października 2026 roku Binance, jedna z największych giełd kryptowalut na świecie, poinformowała o poważnym incydencie bezpieczeństwa. Według wstępnych ustaleń z kontrolowanych przez giełdę portfeli wyprowadzono aktywa o wartości około 6,3 mld USD.

To potencjalnie największa kradzież kryptowalut w historii. Skala zdarzenia jest jednak tylko częścią tej historii. Znacznie ważniejsze jest to, w jaki sposób atakujący mógł wykorzystać wewnętrzną infrastrukturę giełdy do przeprowadzenia transakcji, które były poprawnie podpisane kryptograficznie, lecz nie zostały autoryzowane przez Binance.

Giełda poinformowała o zamrożeniu około 3 mld USD aktywów i zadeklarowała pokrycie strat z funduszu SAFU oraz własnych środków. Niezależne firmy analizujące blockchain, TRM Labs i Bitquery, przedstawiły pierwszą rekonstrukcję przepływu skradzionych kryptowalut.

Co dokładnie się wydarzyło, skąd wzięła się kwota 6,3 mld USD i czy środki użytkowników Binance są bezpieczne?

Co wydarzyło się na Binance 29 października 2026 roku?

29 października 2026 roku nieuprawniony podmiot wyprowadził z portfeli Binance kryptowaluty o szacunkowej wartości około 6,3 mld USD. Według analizy Bitquery transfery zidentyfikowano pomiędzy 20:04 a 23:56 UTC, na dziewięciu blockchainach.

Binance potwierdziło poważny incydent bezpieczeństwa i poinformowało o czasowym wstrzymaniu wpłat oraz wypłat w celu przeprowadzenia kontroli systemów.

W oficjalnym komunikacie opublikowanym 30 października giełda wskazała, że wstępne dochodzenie sugeruje przejęcie laptopa pracownika zespołu DevOps. Atakujący mógł następnie uzyskać dostęp do wewnętrznego kontenera usługowego i wykorzystać system wypłat do zlecania nieautoryzowanych transakcji.

Binance podkreśliło, że dotychczas nie znalazło dowodów na wyciek kluczy prywatnych portfeli.

To ważne rozróżnienie. Atak na system odpowiedzialny za obsługę wypłat nie musi oznaczać złamania kryptografii Bitcoina czy Ethereum.

Najważniejsze ustalenia dotyczące incydentu

Wskaźnik	Wstępne ustalenia
Data ataku	29 października 2026
Szacowana wartość wyprowadzonych aktywów	Około 6,3 mld USD
Czas zidentyfikowanych transferów	20:04–23:56 UTC
Liczba portfeli źródłowych według Bitquery	17
Liczba sieci według Bitquery	9
Liczba sieci według TRM Labs	10
Aktywa zamrożone według Binance	Około 3 mld USD
Aktywa zidentyfikowane jako zamrożone przez Bitquery	Około 2,7 mld USD

Źródła: Binance, TRM Labs i Bitquery. Szacunki odzwierciedlają wczesny etap dochodzenia, stan na 30 października 2026 roku.

Różnice pomiędzy firmami analitycznymi nie muszą oznaczać błędu. Mogą wynikać z odmiennego zakresu analizowanych transferów, metod przypisywania adresów do ataku, momentu wyceny aktywów oraz czasu aktualizacji danych.

Nie należy jednak łączyć tych szacunków w jedną, pozornie dokładną liczbę.

Jak doszło do włamania na Binance?

Wstępne ustalenia Binance wskazują na możliwe przejęcie komputera pracownika i wykorzystanie uprawnień wewnętrznego systemu wypłat. Nie ma obecnie publicznego, ostatecznego raportu potwierdzającego pełny przebieg włamania.

Według komunikatu giełdy potencjalnym punktem wejścia był laptop inżyniera DevOps.

DevOps to obszar odpowiedzialny między innymi za wdrażanie, utrzymanie i automatyzację infrastruktury informatycznej. Pracownicy wykonujący takie zadania mogą korzystać z systemów posiadających szerokie uprawnienia operacyjne.

Jeśli atakujący przejmie odpowiednio uprzywilejowane środowisko, może próbować wykonywać działania przez legalne mechanizmy infrastruktury.

W analizowanym incydencie szczególnie istotny jest fakt, że wyprowadzone kryptowaluty zostały przesłane przy użyciu poprawnie podpisanych transakcji.

Czy hakerzy ukradli klucze prywatne Binance?

Binance twierdzi, że dotychczas nie znalazło dowodów na wyciek kluczy prywatnych portfeli. Analiza blockchain potwierdza poprawne podpisanie transferów, ale nie pozwala samodzielnie ustalić, kto przejął kontrolę nad procesem ich autoryzacji.

Klucz prywatny jest elementem kryptografii umożliwiającym autoryzowanie transakcji w danej sieci.

Jeżeli transakcja ma poprawny podpis, blockchain może ją zaakceptować. Sieć nie weryfikuje jednak, czy zlecenie było zgodne z wewnętrznymi procedurami giełdy ani czy zostało zatwierdzone przez odpowiednie osoby.

W praktyce oznacza to, że system może wykonać transakcję prawidłową z punktu widzenia kryptografii, ale nieuprawnioną z punktu widzenia właściciela środków.

Właśnie dlatego bezpieczeństwo giełd kryptowalut zależy nie tylko od ochrony kluczy, lecz także od uprawnień pracowników, izolacji środowisk, kontroli zleceń i mechanizmów wykrywania nietypowej aktywności.

Nie wiemy jeszcze, który z tych mechanizmów zawiódł w Binance. Ostateczną przyczynę powinien ustalić zapowiedziany raport techniczny.

Jak hakerzy wyprowadzili miliardy dolarów na wielu blockchainach?

Według Bitquery atakujący wykorzystał 17 gorących portfeli Binance, z których kryptowaluty zostały przesłane na kontrolowane przez niego adresy.

Gorący portfel, czyli hot wallet, jest portfelem podłączonym do infrastruktury online. Giełdy wykorzystują takie portfele do sprawnej realizacji wpłat i wypłat użytkowników.

Ich zaletą jest szybkość obsługi transakcji. Jednocześnie podłączenie do systemów operacyjnych zwiększa znaczenie kontroli dostępu i zabezpieczeń infrastruktury.

Które sieci zostały objęte atakiem?

Bitquery zidentyfikowało przepływy związane z incydentem między innymi w sieciach Ethereum, Bitcoin, TRON, XRP Ledger, Solana, Base, Optimism, Arbitrum i Polygon.

W analizie TRM Labs pojawia się łącznie dziesięć sieci, z uwzględnieniem dodatkowych przepływów na Avalanche.

Największą wartość aktywów Bitquery przypisało transferom w sieci Ethereum — około 3,8 mld USD.

Znaczące kwoty przesłano również w Bitcoinie, stablecoinach i innych tokenach.

Rozproszenie operacji pomiędzy wieloma blockchainami pokazuje, jak złożone może być dochodzenie prowadzone po podobnym incydencie.

Każda sieć posiada własną historię transakcji, model podpisów, sposób działania tokenów i mechanizmy zarządzania aktywami.

Czym jest EIP-7702 i jak zostało wykorzystane podczas ataku?

EIP-7702 to mechanizm Ethereum pozwalający określonym kontom korzystać z logiki inteligentnych kontraktów. Według analiz Bitquery i TRM Labs atakujący wykorzystał autoryzacje tego typu w operacjach związanych z jednym z głównych gorących portfeli Binance.

Inteligentny kontrakt, czyli smart contract, jest programem wykonywanym przez sieć blockchain zgodnie z określonymi warunkami.

Mechanizm EIP-7702 wprowadza możliwość delegowania wykonywania kodu przez konto użytkownika. Ma on legalne zastosowania, między innymi w rozwijaniu bardziej funkcjonalnych portfeli Ethereum.

Jednak podobnie jak inne zaawansowane funkcje technologiczne, może stać się elementem ataku, jeżeli nieuprawniona osoba uzyska odpowiednie możliwości autoryzacji.

Według Bitquery przygotowano 50 autoryzacji związanych z kolejnymi wartościami licznika transakcji portfela.

TRM Labs również wskazuje na wykorzystanie EIP-7702 w operacjach przeprowadzonych na Ethereum.

Nie oznacza to, że odkryto lukę pozwalającą dowolnemu użytkownikowi przejąć portfel Ethereum bez autoryzacji.

Kluczowym problemem pozostaje to, w jaki sposób atakujący uzyskał dostęp do mechanizmów pozwalających zatwierdzać działania portfeli Binance.

Bez pełnego raportu powłamaniowego nie należy przesądzać, czy zawiodła konkretna konfiguracja, kontrola uprawnień, proces zatwierdzania transakcji czy kilka zabezpieczeń jednocześnie.

Ile skradzionych kryptowalut udało się zamrozić?

Binance poinformowało 30 października o zamrożeniu około 3 mld USD aktywów powiązanych z incydentem. Bitquery zidentyfikowało w swojej wczesnej analizie około 2,7 mld USD zamrożonych lub zabezpieczonych środków.

W działaniach uczestniczyły między innymi podmioty związane ze stablecoinami oraz infrastruktura wybranych sieci blockchain.

Według Bitquery Tether zablokował około 1,76 mld USDT, a Circle około 823 mln USDC.

Analiza wskazuje również na działania innych emitentów tokenów oraz interwencję dotyczącą aktywów w sieci Arbitrum.

Jak można zamrozić kryptowaluty znajdujące się na blockchainie?

Nie wszystkie kryptowaluty działają w ten sam sposób.

Bitcoin i natywny Ether nie posiadają centralnego emitenta, który mógłby po prostu zablokować dowolny adres w taki sam sposób jak administrator konta bankowego.

Inaczej może wyglądać sytuacja w przypadku części stablecoinów.

USDT i USDC są tokenami emitowanymi przez konkretne przedsiębiorstwa. Ich inteligentne kontrakty zawierają mechanizmy umożliwiające ograniczanie transferów z wybranych adresów zgodnie z zasadami emitentów i odpowiednimi procedurami.

Dlatego Tether i Circle mogą zamrażać określone aktywa, nawet jeżeli znajdują się one w portfelach kontrolowanych przez przestępców.

W przypadku Arbitrum zabezpieczenie środków wiązało się z działaniami organu bezpieczeństwa sieci i jej mechanizmami zarządzania.

Nie oznacza to, że wszystkie kryptowaluty mogą zostać w podobny sposób odzyskane.

Czy zamrożone środki oznaczają odzyskane pieniądze?

Nie. Zamrożenie aktywów oznacza przede wszystkim ograniczenie możliwości ich dalszego przemieszczania. Nie jest automatycznie równoznaczne z przekazaniem ich z powrotem Binance lub użytkownikom.

Przywrócenie środków może wymagać dodatkowych procedur technicznych, współpracy z emitentami, działań prawnych lub innych uzgodnień.

Dlatego należy rozróżniać wartość wyprowadzonych aktywów, aktywa zamrożone, środki faktycznie odzyskane oraz ostateczną stratę finansową.

Na obecnym etapie nie znamy jeszcze końcowej wartości każdego z tych elementów.

Co stało się z pozostałymi kryptowalutami?

Według Bitquery na wczesnym etapie dochodzenia atakujący kontrolował aktywa o wartości około 3,1 mld USD, w dużej części w ETH i BTC.

Firma wskazała również, że około 729 mln USD skradzionych USDT zostało wymienionych na inne aktywa przed ich zamrożeniem.

To pokazuje znaczenie czasu reakcji po incydencie.

Gdy atakujący posiada tokeny, których emitent może zablokować transfery, próba ich szybkiej wymiany na inne aktywa może ograniczyć skuteczność późniejszego zamrożenia.

Jednocześnie wymiana kryptowalut pozostawia ślady w historii transakcji blockchain.

Czy skradzione kryptowaluty można śledzić?

Tak. Transakcje w publicznych blockchainach są rejestrowane w sposób umożliwiający analizowanie przepływów między adresami. Nie oznacza to jednak, że zawsze można łatwo ustalić tożsamość właściciela portfela.

Firmy takie jak TRM Labs i Bitquery wykorzystują dane blockchain, analizę adresów i inne źródła informacji do badania przepływów aktywów.

Mogą identyfikować powiązane transakcje, adresy kontrolujące środki oraz interakcje z giełdami i protokołami.

Ograniczeniem pozostaje między innymi przypisanie adresu do konkretnej osoby, wpływ usług zwiększających prywatność oraz możliwość przenoszenia wartości pomiędzy różnymi sieciami.

Wnioski analityczne powinny być więc przedstawiane wraz z poziomem pewności i zakresem danych, na których się opierają.

Czy za atakiem na Binance stoi Korea Północna?

TRM Labs przypisuje atak grupie TraderTraitor, powiązanej z Koreą Północną, i określa poziom pewności tej oceny jako wysoki. Jest to jednak ustalenie firmy analitycznej, a nie ostatecznie potwierdzona tożsamość sprawców.

TRM Labs wskazuje, że wykorzystało zarówno informacje widoczne na blockchainie, jak i dodatkowe dane spoza łańcucha.

Publicznie dostępna analiza nie pozwala niezależnemu czytelnikowi zweryfikować wszystkich informacji, na których oparto przypisanie sprawstwa.

Binance poinformowało o współpracy z organami ścigania i firmami analizującymi blockchain.

Do momentu zakończenia dochodzenia nie należy przedstawiać tożsamości sprawców jako bezspornego faktu.

Warto przy tym zauważyć, że podobne incydenty są coraz częściej analizowane nie tylko jako przestępczość finansowa, lecz także jako zagrożenie związane z bezpieczeństwem infrastruktury cyfrowej.

Czy Binance straciło 6,3 mld USD bezpowrotnie?

Nie można obecnie stwierdzić, że Binance bezpowrotnie utraciło 6,3 mld USD. Kwota ta oznacza szacowaną wartość aktywów objętych incydentem i wyprowadzonych z portfeli giełdy. Część aktywów została już zamrożona, a działania zmierzające do ich odzyskania trwają.

W praktyce końcowa strata może różnić się od początkowej wartości wyprowadzonych kryptowalut.

Na jej wielkość wpływa między innymi wartość aktywów faktycznie odzyskanych, możliwość ich odblokowania i przekazania z powrotem, zmiany cen kryptowalut oraz sposób pokrycia zobowiązań wobec użytkowników.

Dlatego w analizie nie należy utożsamiać trzech różnych pojęć:

• wartości skradzionych lub wyprowadzonych aktywów,
• kwoty pozostałej pod kontrolą atakującego,
• ostatecznej straty poniesionej przez giełdę.

Dopiero kolejne raporty pozwolą dokładniej ocenić finansowe konsekwencje incydentu.

Czy środki klientów Binance są bezpieczne?

Binance deklaruje, że środki użytkowników są bezpieczne oraz że pokryje wszystkie straty wynikające z incydentu za pomocą funduszu SAFU i własnych zasobów. Nie jest to jednak jeszcze równoznaczne z niezależnym potwierdzeniem pełnego rozliczenia szkód.

SAFU, czyli Secure Asset Fund for Users, jest funduszem utworzonym przez Binance z myślą o ochronie użytkowników w nadzwyczajnych sytuacjach.

Giełda zapowiedziała również opublikowanie zaktualizowanego Proof of Reserves po zakończeniu działań naprawczych.

Proof of Reserves jest mechanizmem służącym do przedstawiania informacji o posiadanych rezerwach aktywów.

Sam dowód rezerw nie musi jednak stanowić pełnego audytu wszystkich zobowiązań, systemów bezpieczeństwa i sytuacji finansowej przedsiębiorstwa.

Czy Binance wznowiło wypłaty po ataku?

W pierwszym komunikacie Binance poinformowało o czasowym wstrzymaniu wpłat i wypłat.

W późniejszej aktualizacji z 30 października giełda przekazała, że wpłaty mogą działać normalnie, natomiast wypłaty pozostają wstrzymane w związku z pracami nad zabezpieczeniem infrastruktury.

Binance przewidywało wznowienie wypłat w ciągu 48 godzin, ale był to plan, a nie potwierdzenie zakończenia procedury.

Status usług należy sprawdzać w aktualnych oficjalnych komunikatach giełdy.

Czego atak na Binance uczy o bezpieczeństwie kryptowalut?

Incydent pokazuje, że bezpieczeństwo środków przechowywanych na scentralizowanych giełdach zależy od znacznie większej liczby elementów niż sama kryptografia blockchaina.

1. Prawidłowy podpis nie zawsze oznacza prawidłową decyzję

Transakcja może być poprawna technicznie, ale nieautoryzowana przez właściciela aktywów.

Dlatego ważne są mechanizmy kontroli tego, kto i w jakich okolicznościach może inicjować oraz zatwierdzać operacje.

2. Infrastruktura wewnętrzna jest równie ważna jak portfele

Ochrona kluczy prywatnych jest fundamentalna, ale równie istotne pozostają bezpieczeństwo komputerów pracowników, dostęp do systemów, zarządzanie uprawnieniami i monitorowanie nietypowych zdarzeń.

3. Reakcja na incydent wpływa na wielkość strat

Szybka identyfikacja adresów oraz współpraca z emitentami tokenów mogą ograniczyć możliwość przemieszczania części skradzionych aktywów.

Nie każda kryptowaluta daje jednak takie same możliwości reagowania.

4. Przechowywanie aktywów na giełdzie wiąże się z ryzykiem kontrahenta

Użytkownik korzystający ze scentralizowanej giełdy powierza jej kontrolę nad aktywami przechowywanymi w systemie depozytowym platformy.

Oznacza to zależność od jej zabezpieczeń, płynności, procedur operacyjnych i zdolności do realizowania wypłat.

Samodzielne przechowywanie kryptowalut eliminuje część ryzyk związanych z pośrednikiem, ale wprowadza inne — między innymi odpowiedzialność za ochronę własnych kluczy i kopii zapasowych.

Nie istnieje jedna metoda przechowywania aktywów całkowicie pozbawiona ryzyka.

Czy atak na Binance oznacza, że Bitcoin i Ethereum nie są bezpieczne?

Nie. Incydent bezpieczeństwa scentralizowanej giełdy nie jest automatycznie dowodem na złamanie zabezpieczeń sieci Bitcoin lub Ethereum.

Na podstawie obecnych ustaleń atak dotyczył przede wszystkim infrastruktury Binance, sposobu zatwierdzania wypłat oraz wykorzystania mechanizmów obsługi portfeli.

Nie przedstawiono dowodu na złamanie kryptografii Bitcoina.

W przypadku Ethereum szczególną rolę odegrało wykorzystanie EIP-7702, ale wymagało ono odpowiednich autoryzacji.

Nie należy więc utożsamiać przejęcia systemu obsługującego kryptowaluty ze złamaniem zasad bezpieczeństwa całego blockchaina.

Podsumowanie. Co wiemy o ataku na Binance z 29 października?

Atak na Binance z 29 października 2026 roku może okazać się największą kradzieżą kryptowalut w historii.

Według giełdy wartość aktywów objętych incydentem wynosi około 6,3 mld USD. Analizy TRM Labs i Bitquery wskazują na transfery obejmujące wiele blockchainów i portfeli Binance.

Wstępne ustalenia sugerują możliwe przejęcie komputera pracownika DevOps i wykorzystanie infrastruktury wypłat do nieautoryzowanych operacji.

Nie ma obecnie dowodów potwierdzających wyciek kluczy prywatnych, choć ostateczny przebieg włamania pozostaje przedmiotem dochodzenia.

Dzięki działaniom emitentów tokenów i partnerów blockchain udało się zamrozić znaczącą część aktywów. Binance deklaruje pokrycie wszystkich strat, ale końcowy bilans finansowy zdarzenia nie jest jeszcze znany.

TRM Labs wskazuje z wysoką pewnością na północnokoreańską grupę TraderTraitor, jednak oficjalne potwierdzenie sprawstwa wymaga dalszych ustaleń.

Najważniejszy wniosek z tego incydentu dotyczy nie samej kryptografii, lecz bezpieczeństwa infrastruktury, która zarządza dostępem do miliardów dolarów w aktywach cyfrowych. Nawet poprawnie podpisana transakcja może stanowić kradzież, jeżeli została wywołana przez nieuprawnioną osobę.

To jeden z powodów, dla których bezpieczeństwo scentralizowanych giełd powinno być oceniane nie tylko na podstawie deklarowanych rezerw i technologii portfeli, lecz także jakości kontroli wewnętrznych, zarządzania uprawnieniami i procedur reagowania na incydenty.

---

Źródła

1. Binance — Security Incident Update, 30 października 2026 — oficjalne stanowisko giełdy dotyczące incydentu, możliwej przyczyny, zamrożonych aktywów i ochrony użytkowników.
2. TRM Labs — North Korea Steals USD 6.36 Billion From Binance — niezależna analiza przepływów i ocena możliwego sprawstwa.
3. Bitquery — Binance Hack: On-Chain Investigation — szczegółowa analiza transferów blockchain, adresów, autoryzacji EIP-7702 i zamrażania tokenów.
4. Binance News — aktualizacja dotycząca działania wpłat i wypłat — oficjalna aktualizacja statusu usług i deklaracji pokrycia strat.

Stan informacji: 30 października 2026 roku. Dochodzenie pozostaje w toku. Kwoty dotyczące wyprowadzonych, zamrożonych i odzyskiwanych aktywów mogą ulec zmianie. Materiał ma charakter informacyjny i edukacyjny, nie stanowi rekomendacji inwestycyjnej.