Włamanie do Binance: 6,3 mld dolarów i co oficjalnie wiemy

W czwartek wieczorem, 29 października 2026 roku, z portfeli Binance – największej giełdy kryptowalut na świecie – w kilkadziesiąt minut wypłynęło ponad 6 miliardów dolarów. To największa kradzież w historii kryptowalut. Dla porównania: rekordowe dotąd włamanie do Bybit z lutego 2025 roku kosztowało około 1,5 mld dolarów, czyli mniej więcej czterokrotnie mniej.

Piszę ten tekst w piątek rano, dzień po ataku. Opieram się przede wszystkim na oficjalnych komunikatach Binance publikowanych na koncie giełdy na X oraz na wpisach współzałożycielki giełdy Yi He i założyciela Changpenga Zhao (CZ). Tam, gdzie korzystam z analiz firm śledzących blockchain, wyraźnie to zaznaczam – bo w pierwszych godzinach po takim incydencie internet zalewa masa liczb i teorii, a tylko część z nich pochodzi od samej giełdy.

Najważniejsze w skrócie

• Binance szacuje łączną skalę incydentu na około 6,3 mld dolarów.
• Według wstępnego dochodzenia giełdy punktem wejścia był prawdopodobnie zainfekowany laptop inżyniera DevOps, przez który atakujący dostał się do wewnętrznego kontenera usługowego i zlecił nieautoryzowane wypłaty.
• Binance twierdzi, że nie znalazło dowodów na wyciek kluczy prywatnych do portfeli.
• Około 3 mld dolarów zamrożono on-chain we współpracy z emitentami stablecoinów i partnerami blockchain.
• Giełda zapowiada, że pokryje wszystkie straty z funduszu SAFU i własnych środków firmy, a środki użytkowników są bezpieczne.
• Wypłaty są wstrzymane. Binance zapowiada ich wznowienie w ciągu 48 godzin od piątkowego poranka, a wpłaty według najnowszego komunikatu działają normalnie.

Oś czasu: jak przebiegał atak (czas polski)

Wszystkie godziny podaję w czasie polskim (od 25 października obowiązuje już czas zimowy, UTC+1). Godziny komunikatów Binance pochodzą z oficjalnych wpisów na X, a przebieg samej kradzieży z analiz on-chain.

• 28 października – według firmy analitycznej TRM Labs portfel operacyjny atakującego dostaje kilka niewielkich wpłat z Tornado Cash, czyli miksera zacierającego pochodzenie środków. Przygotowania trwały więc co najmniej dobę.
• 29 października, ok. 21:05 – z portfeli Binance zaczynają odpływać ogromne kwoty. Większość środków wyprowadzono w około 20 minut, na dziesięciu blockchainach, m.in. Ethereum, Bitcoinie, Tronie, Solanie, XRP Ledger i sieciach warstwy drugiej.
• ok. 21:24 – jedną transakcją zostaje opróżniony jeden z największych gorących portfeli giełdy (oznaczany jako Binance 14): około 167 tys. ETH, ponad 1,6 mld USDT i kilkadziesiąt innych tokenów.
• 22:15 – jako pierwszy odzywa się Changpeng Zhao (CZ), założyciel Binance. Pisze, że to wygląda na atak hakerski na giełdę, a środki użytkowników są bezpieczne. Dziękuje Tetherowi i Circle za szybkie zamrożenie (wtedy ok. 971 mln i 823 mln dolarów). Zaznacza, że nie zarządza już Binance, ale jako akcjonariusz oczekuje pełnego pokrycia środków użytkowników.
• 22:17 – Yi He, współzałożycielka Binance, potwierdza, że giełda wie o doniesieniach o potencjalnym problemie z bezpieczeństwem i prowadzi dochodzenie.
• 22:29 – pierwszy komunikat oficjalnego konta Binance: zespoły badają doniesienia o potencjalnym problemie z bezpieczeństwem, a środki użytkowników są całkowicie bezpieczne.
• 23:15 – Binance wstrzymuje wypłaty. Mają wrócić dopiero wtedy, gdy problem zostanie w pełni rozwiązany. Niemal identyczny wpis giełda publikuje ponownie o 23:33.
• 30 października, 0:06 – zawieszony zostaje także handel w Binance Alpha.
• 0:22 – Binance dementuje krążące w sieci liczby (m.in. 1,8 mld) i podaje zweryfikowaną kwotę zamrożonych środków: 2,54 mld dolarów.
• 1:04 – Yi He pisze wprost, że Binance pokryje wszystkie straty wynikające z włamania, a wpłaty i wypłaty są tymczasowo wstrzymane.
• 1:13 – kluczowy komunikat: Binance pokryje wszystkie straty, a wszystkie wpłaty i wypłaty są tymczasowo wstrzymane na czas kontroli bezpieczeństwa, zamrażania środków i współpracy z organami ścigania. Giełda dziękuje partnerom z branży za szybką pomoc w zamrażaniu środków.
• 1:52 – aktualizacja: zweryfikowana kwota zamrożonych środków to około 3 mld dolarów. Binance zapowiada, że będzie podawać wyłącznie potwierdzone liczby.
• 2:36 – giełda powtarza deklarację pokrycia wszystkich strat i wstrzymania wpłat oraz wypłat.
• 3:25 – wstępne wyniki dochodzenia: zainfekowany laptop inżyniera DevOps, szacunek strat 6,3 mld dolarów, około 3 mld zamrożone.
• 5:17 – Yi He publikuje aktualizację usług: wpłaty działają normalnie, a wypłaty mają zacząć wracać w ciągu najbliższych 48 godzin.
• 5:36 – tę samą aktualizację publikuje oficjalne konto Binance. Dodaje, że incydent miał wiele przyczyn, zespół bezpieczeństwa odtwarza pełną ścieżkę ataku przez przejęty komputer, a raport z przyczyną źródłową zostanie opublikowany później.

Co Binance oficjalnie potwierdziło

Najważniejszy jest komunikat z piątkowej nocy, w którym giełda po raz pierwszy podała zarówno skalę, jak i prawdopodobną przyczynę. Oto co z niego wynika, w moim przekładzie i streszczeniu.

Przyczyna: laptop jednego inżyniera

Wstępne dochodzenie wskazuje, że atakujący przejął laptop inżyniera DevOps. Przez ten komputer dostał się do kontenera usługowego, czyli fragmentu wewnętrznej infrastruktury, który ma prawo zlecać transakcje wypłat. Innymi słowy: hakerzy nie musieli łamać kryptografii ani kraść kluczy. Wystarczyło, że dostali się do systemu, który sam podpisywał wypłaty, i kazali mu wysłać pieniądze tam, gdzie chcieli.

Binance podkreśla, że nie ma dowodów na wyciek kluczy prywatnych do portfeli. Firma Blockaid, która analizowała atak on-chain, opisała z kolei mechanizm od strony blockchaina: w transakcji z 29 października znalazło się 50 autoryzacji w standardzie EIP-7702 (pozwala on zwykłemu adresowi Ethereum delegować wykonanie do kodu kontraktu), z których jedna przejęła kontrolę nad portfelem Binance 14. To analiza zewnętrzna, nie oficjalne stanowisko giełdy – pełny techniczny raport Binance obiecuje opublikować dopiero po zakończeniu dochodzenia.

Skala i zamrożone środki

Według Binance łączny wpływ incydentu to około 6,3 mld dolarów. Razem z partnerami giełda zamroziła on-chain około 3 mld. Szacunki firm zewnętrznych są zbliżone: Chainalysis mówił o około 5,9 mld dolarów w chwili kradzieży, a TRM Labs w swoim raporcie o 6,36 mld. Różnice wynikają głównie z tego, po jakich cenach liczy się skradzione tokeny i które transfery zalicza się do ataku.

Co giełda zrobiła

• tymczasowo wstrzymała wpłaty i wypłaty na czas kontroli bezpieczeństwa,
• cofnęła autoryzację dla zaatakowanego adresu,
• zaangażowała organy ścigania i firmy analizujące blockchain, żeby namierzyć i odzyskać środki,
• zapowiedziała szczegółowy raport techniczny (post-mortem) po zweryfikowaniu wszystkich faktów,
• zapowiedziała zaktualizowany Proof of Reserves po zakończeniu naprawy.

Kto zapłaci

Binance deklaruje, że pokryje wszystkie straty z funduszu SAFU (Secure Asset Fund for Users) oraz ze środków własnych firmy. Klienci giełdy, przynajmniej według oficjalnych zapewnień, nie mają ponieść żadnych strat.

Sprzeczności w komunikacji, na które warto zwrócić uwagę

Nie będę udawał, że pierwsze godziny po ataku wyglądały wzorowo. Komunikaty Binance były miejscami niespójne i warto to wiedzieć, zanim uwierzysz w każde zdanie:

• Na początku giełda zapewniała, że środki użytkowników są całkowicie bezpieczne i mówiła jedynie o „potencjalnym problemie z bezpieczeństwem”. Kilka godzin później ta sama giełda deklarowała, że pokryje wszystkie straty. Jedno nie wyklucza drugiego – środki klientów mogą być bezpieczne właśnie dlatego, że stratę bierze na siebie firma. Ciekawe jest jednak, że oficjalne konto Binance do teraz pisze wyłącznie o „incydencie bezpieczeństwa”. O włamaniu wprost mówili tylko CZ i Yi He na swoich prywatnych profilach.
• W komunikatach z 1:13, 2:36 i 3:25 Binance pisało, że wstrzymane są wszystkie wpłaty i wypłaty. O 5:36 to samo oficjalne konto napisało, że wpłaty nie zostały dotknięte i działają normalnie. Przed wysłaniem czegokolwiek na giełdę sprawdź aktualny status w aplikacji, a nie w starym wpisie.
• Liczby zamrożonych środków rosły z godziny na godzinę: od 2,54 mld o północy do około 3 mld nad ranem. Binance samo zastrzegło, że podaje tylko zweryfikowane kwoty, więc kolejne aktualizacje mogą je jeszcze zmienić.

Moim zdaniem to typowy chaos pierwszej nocy kryzysu, a nie dowód złej woli. Ale to też dobra lekcja: w takich sytuacjach czytaj komunikaty dokładnie, patrz na godzinę publikacji i nie wyciągaj wniosków z pojedynczego zdania.

Czego Binance nie powiedziało: kto za tym stoi

Binance oficjalnie nie wskazało sprawców. Mówi jedynie o współpracy z organami ścigania w celu ich identyfikacji. Firma TRM Labs przypisuje jednak atak północnokoreańskiej grupie TraderTraitor, a znany detektyw on-chain ZachXBT wskazał na Lazarus Group, czyli parasolową nazwę dla północnokoreańskich hakerów. To ci sami ludzie, którym przypisuje się włamanie do Bybit w 2025 roku.

Schemat jest zresztą podobny: nie atakuje się samej kryptografii, tylko ludzi i infrastrukturę wokół portfeli. W przypadku Bybit przejęto dane uwierzytelniające dewelopera dostawcy portfeli, tu – laptop inżyniera. Najsłabszym ogniwem znów okazał się człowiek z dostępem.

Kto zamroził pieniądze

Ogromna część zamrożonych środków to stablecoiny, które – w przeciwieństwie do bitcoina – mają scentralizowanych emitentów zdolnych blokować tokeny na konkretnych adresach:

• Tether zamroził ponad 1,56 mld USDT powiązanych z atakiem (potwierdził to prezes Paolo Ardoino),
• Circle zamroził około 823 mln USDC we współpracy z organami ścigania,
• Ripple szybko zablokował około 200 mln dolarów (Yi He podziękowała za to publicznie),
• World Liberty Financial zamroził 27 mln USD1 i 48 mln tokenów WLFI,
• Rada Bezpieczeństwa Arbitrum przeprowadziła awaryjną interwencję i zamroziła środki z adresu atakującego – według ZachXBT około 30,5 mln dolarów.

Pomoc zadeklarowały też inne giełdy. Prezes Coinbase Brian Armstrong napisał, że jego firma blokuje wysyłki na przejęte adresy i zaoferowała Binance wsparcie.

Tym razem centralizacja stablecoinów zadziałała na korzyść poszkodowanych. Pamiętaj jednak, że to ten sam mechanizm, który w innych okolicznościach może zablokować Twoje USDT czy USDC. To nie jest zarzut, tylko cecha tych aktywów, którą każdy trader powinien rozumieć.

Czy SAFU wystarczy?

Według CoinDeska fundusz SAFU to około 1 mld dolarów w bitcoinie. Jeśli z 6,3 mld odjąć około 3 mld zamrożone, niezabezpieczona pozostaje kwota rzędu 3,3 mld dolarów. SAFU pokrywa więc mniej niż jedną trzecią tej sumy, dlatego Binance w komunikacie wymienia obok niego środki własne firmy.

Dla skali: według danych DefiLlama przed atakiem na Binance było około 144 mld dolarów aktywów. Strata, nawet bez odzyskania zamrożonych środków, to kilka procent tej kwoty. Bolesne, ale – jeśli liczby się potwierdzą – do udźwignięcia dla giełdy tej wielkości. Trzeba też pamiętać, że „zamrożone” nie znaczy „odzyskane”. Powrót tych pieniędzy do Binance może potrwać.

CZ podsumował noc na X krótko: środki użytkowników są bezpieczne, to boli, ale giełda przetrwa. Wspomniał też, że pomocy udzielili nawet konkurenci.

Deklaracje to jednak za mało. Kluczowy będzie zapowiedziany zaktualizowany Proof of Reserves. Dopiero on pokaże, czy po pokryciu strat rezerwy nadal w pełni odpowiadają depozytom klientów.

Reakcja rynku

Rynek zareagował szybko. Bitcoin stracił w czwartek wieczorem ponad 3 procent i zszedł w okolice 77–78 tys. dolarów. BNB, token powiązany z Binance, spadł o około 7 procent. W ciągu jednej godziny zlikwidowano pozycje lewarowane o wartości około 628 mln dolarów.

I tu chcę się na chwilę zatrzymać, bo to dotyczy każdego, kto gra na kontraktach. Większość tych likwidacji nie miała nic wspólnego z samym atakiem. Ludzie stracili pieniądze nie dlatego, że ktoś ukradł im środki, tylko dlatego, że mieli za wysoką dźwignię w chwili, gdy rynek nerwowo zareagował na newsa. Ja zwykle gram na dźwigni 1:5, maksymalnie 1:20, i właśnie na takie wieczory trzymam ten margines bezpieczeństwa. Jeśli nie wiesz, jak dobrać wielkość pozycji do ryzyka, policz to w moim kalkulatorze wielkości pozycji, zanim następny taki news zrobi to za Ciebie.

Binance nie pierwszy raz

To nie jest pierwsze włamanie do Binance. W maju 2019 roku hakerzy ukradli z gorącego portfela giełdy około 7000 BTC, warte wtedy ponad 40 mln dolarów. Binance pokryło całą stratę z SAFU, a wpłaty i wypłaty były wstrzymane przez mniej więcej tydzień. Skala obecnego ataku jest jednak nieporównywalna – to ponad sto razy więcej pieniędzy.

Lista największych kradzieży w krypto wygląda teraz tak, że na samej górze są dwa ataki na scentralizowane giełdy przeprowadzone w bardzo podobny sposób. To pokazuje, że problemem nie jest technologia blockchain, tylko procesy wokół niej: dostępy pracowników, wewnętrzne systemy, ludzie.

Co ja z tego wyciągam

Binance nie jest moją główną giełdą – od ponad roku kontrakty gram głównie na MEXC. Ale to niczego nie zmienia. To samo może spotkać każdą scentralizowaną giełdę, łącznie z tą, na której sam trzymam depozyt. Oto moje wnioski:

1. Giełda to nie sejf

Na giełdzie trzymam tylko tyle, ile potrzebuję do bieżącego tradingu. Reszta leży w portfelu, do którego klucze mam ja. Zasada „nie Twoje klucze, nie Twoje kryptowaluty” brzmi jak banał, dopóki giełda nie wstrzyma wypłat na kilka dni. Wtedy przestaje być banałem.

2. Więcej niż jedna giełda

Jeśli cały Twój kapitał tradingowy siedzi na jednej platformie, a ona właśnie zamknęła wypłaty, nie możesz nic zrobić – ani przenieść środków, ani zabezpieczyć się gdzie indziej. Konto na drugiej giełdzie to tania polisa.

3. Twoje 2FA nic tu nie zmieniało

Warto to podkreślić: ten atak nie dotyczył kont klientów. Najlepsze hasło i klucz sprzętowy nie chroniły przed tym, że ktoś przejął wewnętrzny system giełdy. Ryzyko kontrahenta, czyli ryzyko samej giełdy, jest osobnym ryzykiem i trzeba je ograniczać inaczej – głównie tym, ile tam trzymasz.

4. Jeśli profesjonaliści dają się złapać, Ty też możesz

Całe zamieszanie zaczęło się podobno od laptopa jednego inżyniera. Ludzie, którzy zawodowo zajmują się bezpieczeństwem infrastruktury, też padają ofiarą phishingu i złośliwego oprogramowania. Nie zakładaj, że Ciebie to nie dotyczy.

5. Uważaj na „zwroty” i fałszywe komunikaty

Po każdym takim ataku pojawiają się oszuści: fałszywe strony z „rekompensatą”, maile o konieczności „weryfikacji konta”, fałszywe profile wsparcia. Binance samo prosi, żeby informacji szukać wyłącznie w oficjalnych kanałach. Nikt z giełdy nie będzie od Ciebie chciał seed phrase’a ani przelewu, żeby „odblokować” środki.

6. Spokój zamiast paniki

Panika na rynku to moment, w którym wysoka dźwignia zabija konta. Jeśli nie masz planu na taki wieczór, to znaczy, że Twoja pozycja jest za duża.

Na co patrzę w najbliższych dniach

• Wznowienie wypłat – jeśli zapowiedź Binance się sprawdzi, przywracanie wypłat powinno ruszyć najpóźniej w niedzielę rano. Patrzę, czy giełda dotrzyma terminu i czy po otwarciu nie zobaczymy masowego odpływu środków.
• Raport techniczny – czy potwierdzi wersję z laptopem i jak dokładnie atakujący ominął zabezpieczenia wypłat.
• Proof of Reserves – czy po pokryciu strat rezerwy wciąż w pełni pokrywają depozyty.
• Odzysk zamrożonych środków – ile z tych 3 mld faktycznie wróci i jak szybko.
• BNB – zachowanie tokena giełdy to dobry barometr zaufania rynku do Binance.
• Atrybucja – czy organy ścigania lub sama giełda oficjalnie potwierdzą udział Korei Północnej.

Więcej o samej reakcji rynku i o tym, jak się zachowywał bitcoin, przeczytasz na CoinDesk. A ja wrócę do tematu, gdy Binance opublikuje pełny raport.

FAQ

Czy moje środki na Binance są bezpieczne?

Według oficjalnych komunikatów tak – Binance deklaruje, że pokryje wszystkie straty z funduszu SAFU i własnych środków, a atak nie dotyczył kont klientów. Ostateczne potwierdzenie da dopiero zaktualizowany Proof of Reserves.

Kiedy Binance przywróci wypłaty?

Binance i jego współzałożycielka Yi He napisali w piątek rano, że wypłaty mają wrócić w ciągu 48 godzin. To zapowiedź, a nie gwarancja – sprawdzaj komunikaty w aplikacji i na oficjalnych kontach giełdy.

Czy mogę wpłacać środki na Binance?

Według najnowszego komunikatu Binance (piątek, 5:36) wpłaty działają normalnie, choć wcześniejsze komunikaty mówiły o wstrzymaniu wpłat i wypłat. Dopóki wypłaty nie wrócą, nie widzę powodu, żeby dosyłać tam nowe środki.

Kto stoi za atakiem?

Binance oficjalnie nie wskazało sprawców. Firmy analizujące blockchain, m.in. TRM Labs, oraz detektyw ZachXBT łączą atak z północnokoreańskimi hakerami z grupy TraderTraitor / Lazarus.

Czy hakerzy ukradli klucze prywatne Binance?

Według Binance nie ma na to dowodów. Wstępne dochodzenie wskazuje, że atakujący przez zainfekowany laptop inżyniera dostał się do wewnętrznego systemu, który zlecał wypłaty.

Czy Binance.US też zostało zaatakowane?

Binance.US poinformowało, że jego użytkownicy nie zostali dotknięci, bo przechowywanie aktywów obu firm jest całkowicie rozdzielone.