Włamanie do Binance za 6,3 mld USD wzmacnia obawy o bezpieczeństwo kryptowalut
Podejrzenie opróżnienia hot walletów Binance w czwartek stało się największą kradzieżą kryptowalut w historii i ponownie postawiło przed rynkiem znany zestaw pytań.
Jak bezpieczne są rezerwy giełd, co się dzieje, gdy monety wychodzą poza infrastrukturę giełdy i ile z upolowanego łupu da się jeszcze odzyskać, gdy ślad się ochładza?
Binance szacuje teraz całkowity wpływ na około 6,3 mld USD. Około 3 mld USD zostało zamrożone on-chain we współpracy z partnerami blockchainowymi, według współ-CEO Richarda Tenga.
Giełda zapewnia, że salda klientów są bezpieczne i że pokryje wszystkie straty z Funduszu Bezpiecznych Aktywów Użytkowników (Secure Asset Fund for Users) oraz środków firmowych. Wypłaty zostały tymczasowo wstrzymane, podczas gdy usługa wypłat była odbudowywana.
Laptop, nie wyciekły klucze prywatne
Pierwsze oficjalne oświadczenie Tenga wskazuje na skompromitowany laptop inżyniera DevOps. Ten dostęp, jak powiedział, pozwolił napastnikowi dotrzeć do kontenera usług i złożyć nieautoryzowane transakcje wypłat.
Atak był bardziej złożony niż uprawnienia jednego inżyniera czy pojedyncze kliknięcie, a Binance twierdzi, że jak dotąd nie znalazł dowodów na wyciek prywatnego klucza portfela.
Szczegółowe, techniczne post-mortem zostanie opublikowane po weryfikacji wszystkich faktów, wraz z zaktualizowanym dowodem rezerw po naprawie systemu.
To ujęcie ma znaczenie. Sugeruje, że awaria leżała w warstwie operacyjnej podpisującej wypłaty, a nie w zimnym magazynie (cold storage), który większość giełd prezentuje jako główną linię obrony. Hot wallety służą do realizacji wypłat klientów i z definicji są podłączone do sieci.
Przegląd dowodu rezerw Binance z 1 października przeprowadzony przez CoinDesk wykazał, że Binance 14, jeden z portfeli opróżnionych w ataku, znajdował się wśród adresów wspierających aktywa klientów. W przypadku etheru Binance utrzymywał w przybliżeniu 100% współczynnik rezerw, więc około 204 500 ETH zabranych w ataku zmniejszyłoby pokrycie ETH do około 94% aż do uzupełnienia luki.
Emitenci stablecoinów szybko zareagowali. Tether, Circle, Ripple i World Liberty Financial zamroziły duże kwoty powiązane z adresami odbiorczymi; wcześniejsze szacunki lokowały sam Tether i Circle w pobliżu 1,8–2,4 mld USD. Bitcoin i ether nie mają odpowiednika „wyłącznika”. Te monety trzeba śledzić przez miejsca, w których napastnicy próbują je wydawać.
Co hakerzy robią z pieniędzmi?
Pierwsze godziny po dużym napadzie na giełdę przebiegają według dość przewidywalnego scenariusza.
Najpierw przemieszczają, potem wyjaśniają. Badacze on-chain mówią, że środki często zaczynają się poruszać przed publicznym alertem. W 2025 r. Global Ledger ustalił, że w około 76% włamań monety były już w ruchu zanim rynek o tym dowiedział się. Pierwsze przeskoki mogą nastąpić w ciągu sekund.
Utrudnić śledzenie. Napastnicy dzielą duże salda na mniejsze części, zamieniają tokeny na zdecentralizowanych giełdach i przeskakują między łańcuchami z użyciem bridge’ów. Global Ledger doniósł, że ponad 2 mld USD skradzionych kryptowalut w 2025 r. zostało skierowanych przez bridge’e — to prawie połowa strat i około trzykrotność kwoty przesłanej przez miksery. Tornado Cash i inne miksery nadal odgrywają dużą rolę jako warstwa prywatności, zwłaszcza na Ethereum.
Zaparkować, potem spieniężyć. Część środków pozostaje niewydana. Inne trafiają do DeFi jako zabezpieczenie — CoinDesk odnotował, że w tym przypadku sprawca pożyczył wrapped ether na Aave, używając skradzionego USDT jako zabezpieczenia. Końcowym celem zwykle jest fiat: platformy peer-to-peer, brokerzy OTC i nieformalne sieci „pralnicze”, które rozliczają się off-chain. Po włamaniu na Bybit w lutym 2025 r. o wartości około 1,5 mld USD, CEO Bybit powiedział, że prawie 28% skradzionej kryptowaluty „zniknęło” przez miksery, następnie bridge’y, a potem platformy P2P i biurka OTC. TRM Labs powiązał również operatorów z Korei Północnej z profesjonalnymi pośrednikami OTC, którzy absorbuje skradzione aktywa na dużą skalę.
Stablecoiny są najłatwiejszym elementem do przerwania, ponieważ wydawcy mogą blacklistować adresy. Odzyskiwanie bitcoinów i etheru jest wolniejsze. Ari Redbord z TRM Labs powiedział CNBC, że zamrożenie zatrzymuje ruch, ale zwrot środków wymaga nakazu sądowego lub postanowienia o zajęciu oraz koordynacji z wydawcami i giełdami. Eric Jardine z Chainalysis stwierdził, że techniczne zamrożenie może być szybkie, podczas gdy zwrot pieniędzy może zająć miesiące lub lata.
Dlaczego rynek wciąż jest niespokojny?
Dla klientów Binance bezpośrednie ryzyko to nie utrata salda. Giełda zobowiązała się do wyrównania strat, a Sean Farrell z Fundstrat stwierdził, że obecnie sytuacja nie wygląda na kryzys wypłacalności, pod warunkiem że zamrożone stablecoiny wrócą, a wypłaty wznowią się w uporządkowany sposób.
SAFU ma około 1 mld USD w bitcoinie, co pokryłoby tylko część ewentualnej niezamrożonej luki; reszta pochodziłaby z rezerw Binance.
Szerszym problemem jest czynnik strukturalny. Jeśli największa na świecie giełda może stracić wielomiliardowe portfele rezerw przez skompromitowany laptop i usługę wypłat, bezpieczeństwo operacyjne każdego innego miejsca handlu znów wchodzi pod lupę.
Dwie firmy analityczne powiązały atak z jednostką TraderTraitor z Korei Północnej; Binance nie potwierdził takiej attribution.
Bitcoin spadł ponad 4% przy pierwszych alertach, a BNB zanotowało gwałtowną wyprzedaż. Kolejne testy będą praktyczne: po wznowieniu wypłat, czy odpływy pozostaną spokojne oraz czy dowód rezerw z 1 listopada pokaże uzupełnione brakujące aktywa.
Do tego czasu sprawa Binance przypomina, że w kradzieżach kryptowalut trudne nie zawsze jest samo zdobycie monet — trudniejsze bywa przekształcenie ich w pieniądze, których nie da się zamrozić, a wyścig ten zaczyna się w chwili, gdy pierwsza transakcja trafia na łańcuch.