Kradzież 6,3 mld $ z Binance – jak doszło do ataku?

29 października 2026 roku z portfeli Binance – największej giełdy kryptowalut na świecie – wyprowadzono kryptowaluty warte około 6,3 mld dolarów. Główna faza ataku trwała mniej więcej 20 minut. To największa znana kradzież kryptowalut w historii – ponad czterokrotnie większa niż rekordowe dotąd włamanie do giełdy Bybit z 2025 roku (ok. 1,5 mld dolarów).

Najciekawsze jest to, jak do niej doszło. Nikt nie złamał szyfrowania ani blockchaina. Według Binance wszystko zaczęło się od przejętego laptopa jednego inżyniera. Poniżej zebraliśmy, co wiadomo na dziś – i co z tej historii wynika dla zwykłej firmy, która z kryptowalutami nie ma nic wspólnego.

Najważniejsze w skrócie

Kiedy: 29 października 2026, pierwsze transakcje ok. 21:05 czasu polskiego.
Ile: ok. 6,3 mld dolarów (szacunki firm analitycznych: 6,3–6,4 mld), w tym ok. 18 270 BTC.
Jak: przejęty laptop inżyniera dał dostęp do wewnętrznego systemu, który zatwierdza wypłaty. Kluczy do portfeli – według Binance – nie skradziono.
Kto: firmy analityczne wskazują północnokoreańską grupę TraderTraitor. Żaden rząd oficjalnie tego nie potwierdził.
Co odzyskano: ok. 3 mld dolarów zamrożono, głównie w stablecoinach. Bitcoinów i etheru za ok. 2,4 mld dolarów nie da się zablokować.
Klienci: Binance zapowiedziało, że pokryje straty z własnych środków. 1 listopada zaczęło wznawiać wypłaty.

Ile to jest? 50 miliardów butelek

6,3 mld dolarów to liczba, której trudno sobie wyobrazić. Po średnim kursie NBP z 30 października 2026 (3,9251 zł za dolara) daje to ok. 24,7 mld zł.

Za tyle pieniędzy można by odebrać kaucję za prawie 50 miliardów plastikowych butelek – po 50 groszy każda (dokładnie ok. 49,5 mld).

Przebieg ataku – godzina po godzinie

Godziny podajemy w czasie polskim, na podstawie zestawienia z danych TRM Labs, Chainalysis i komunikatów Binance.

Kiedy	Co się stało
29.10, ok. 21:05	pierwsza transakcja – na blockchainie XRP Ledger (wg TRM Labs; Chainalysis wskazuje start ok. 21:20 na Ethereum i Bitcoinie)
29.10, 21:24	główna transakcja na Ethereum – 64 transfery naraz
29.10, ok. 21:25	koniec głównej fazy: w ok. 20 minut środki wypłynęły z 10 blockchainów
29.10, 22:01	Tether zamraża portfele powiązane z atakiem, trzy minuty później to samo robi Circle
30.10, ok. 00:05	kolejna fala – ataki na sieci Avalanche i Polygon
30.10, ok. 00:56	ostatnia transakcja na Ethereum
30.10, ok. 01:10	Binance odbiera napastnikom uprawnienia do gorącego portfela
31.10	Binance zapowiada pokrycie wszystkich strat i informuje, że uzupełniło 90% skradzionych aktywów
1.11	wznowienie wypłat – na początek ETH, USDT, USDC i część tokenów

Co dokładnie zniknęło

Atak objął dziesięć sieci jednocześnie. Według zestawień firm analitycznych straty rozkładały się mniej więcej tak:

Blockchain	Wartość
Ethereum	ok. 3,8 mld $
Bitcoin	ok. 1,5 mld $ (ok. 18 270 BTC)
Tron	ok. 628 mln $
XRP Ledger	ok. 296 mln $
Solana	ok. 96 mln $
Arbitrum, Optimism, Base	ok. 39 mln $
Avalanche	ok. 28 mln $
Polygon	ok. 10 mln $

Jedna transakcja przekroczyła 2,5 mld dolarów. Bitcoiny trafiły na adres napastników w 11 transakcjach – każda z nich wyglądała dla systemu jak zwykła wypłata klienta.

Jak do tego doszło? Jeden laptop

Binance początkowo podało, że punktem wejścia był przejęty laptop inżyniera. Przez niego napastnicy dostali się do wewnętrznej usługi, z której można zlecać wypłaty. Później giełda przyznała, że dalsze dochodzenie ujawniło kolejne miejsca, w których naruszono zabezpieczenia.

Według TRM Labs napastnicy przejęli infrastrukturę autoryzacji – czyli system, który zatwierdza transakcje. Nie musieli więc kraść kluczy do portfeli: wystarczyło, że to system giełdy sam „podpisywał” ich polecenia. Prezes Binance Richard Teng mówił, że w ataku na gorący portfel wykorzystano mechanizm EIP-7702 z sieci Ethereum. Z analiz wynika też, że atak przygotowywano co najmniej 36 godzin wcześniej.

Nie wszyscy podzielają wersję o nienaruszonych kluczach. Mark Karpelès, były szef upadłej giełdy Mt. Gox, ocenił w rozmowie z Reutersem, że napastnicy prawdopodobnie mieli dostęp do kluczy co najmniej dwóch portfeli Binance. Śledztwo trwa, więc część szczegółów może się jeszcze zmienić.

Gorący portfel – o co chodzi?

Giełdy trzymają większość środków w tzw. zimnych portfelach, odciętych od internetu. Do bieżących wypłat służą gorące portfele (hot wallets) – podłączone do sieci i obsługiwane automatycznie. To wygoda, która ma swoją cenę: kto przejmie system zatwierdzający wypłaty, ten może wyprowadzić pieniądze tak, jakby był zwykłym klientem.

Kto za tym stoi?

Firmy analityczne TRM Labs i Chainalysis łączą atak z grupą TraderTraitor, uznawaną za część północnokoreańskiej grupy Lazarus. TRM Labs wskazuje podobieństwa do ataku na Bybit z 2025 roku, który FBI przypisało Korei Północnej. Chainalysis powiązało też środki z włamaniem do giełdy Bitget z 24 września 2026, z której wyprowadzono ok. 388 mln dolarów.

Trzeba jednak podkreślić: to ocena firm analitycznych, a nie oficjalne ustalenie. Binance nie wskazało sprawców, żaden rząd nie potwierdził udziału Korei Północnej, a sama Korea Północna zwykle zaprzecza związkom z cyberatakami.

Czy da się odzyskać pieniądze?

Częściowo. Około połowę skradzionych aktywów stanowiły stablecoiny, czyli tokeny powiązane z dolarem, takie jak USDT czy USDC. Mają one wydawców (Tether, Circle), którzy mogą zablokować tokeny na konkretnych adresach. Tak się stało: Binance podaje, że zamrożono ok. 3 mld dolarów (Chainalysis szacuje 2,8 mld, TRM Labs 2,7 mld).

Z bitcoinem i etherem tak się nie da. Nie ma firmy, która je wydaje, więc nie ma też nikogo, kto mógłby je zamrozić jednym poleceniem. Można je zablokować dopiero wtedy, gdy trafią na giełdę albo do pośrednika, który zechce współpracować, albo gdy organy ścigania przejmą klucze. Dlatego aktywa warte ok. 2,4 mld dolarów pozostają poza zasięgiem. Skradzione bitcoiny na razie leżą w kilkunastu portfelach – wymiana tak dużej kwoty na gotówkę może trwać tygodnie albo lata.

Warto też pamiętać, że zamrożenie środków nie oznacza ich automatycznego zwrotu – utrudnia jedynie napastnikom wypłatę.

Co z klientami Binance?

Binance zapewnia, że środki klientów są bezpieczne. „Binance pokryje finansowe skutki kradzieży, nie nasi użytkownicy” – przekazała giełda 31 października. Straty mają zostać pokryte z funduszu SAFU (Secure Asset Fund for Users), funduszu ubezpieczeniowego kontraktów terminowych, rezerwy bitcoinów i środków własnych firmy. Na czas dochodzenia giełda wstrzymała wpłaty i wypłaty, a 1 listopada zaczęła je stopniowo przywracać.

Rynek zareagował spadkami: kurs bitcoina spadł o ok. 5%, poniżej 80 tys. dolarów, a w dół poszły też notowania m.in. Coinbase i Robinhood.

Czego uczy to zwykłą firmę?

Można by pomyśleć, że to historia tylko dla świata kryptowalut. Nie do końca. Specjaliści od bezpieczeństwa z Check Point i ESET zwracają uwagę, że ten sam schemat grozi bankom, firmom płatniczym i dostawcom usług w chmurze. A w mniejszej skali – każdej firmie, w której ktoś ma dostęp do pieniędzy, danych klientów albo panelu strony.

Morał jest prosty: najsłabszym punktem rzadko jest sam system. Częściej jeden komputer jednego pracownika. Co z tego wynika w praktyce:

Chroń komputery osób z dostępami. Laptop księgowej, administratora czy osoby, która zarządza stroną, to klucz do firmy. Aktualny system, program antywirusowy i brak „przypadkowych” programów z internetu to podstawa.
Dawaj tylko takie uprawnienia, jakie są potrzebne. Nie każdy musi mieć konto administratora w panelu strony, w banku czy w systemie fakturowym.
Potwierdzaj duże przelewy drugim kanałem. Zmiana numeru konta kontrahenta w mailu? Zadzwoń i sprawdź. To samo dotyczy nietypowych poleceń „od szefa”.
Ustaw limity. Dzienne limity przelewów w banku ograniczają straty, nawet jeśli ktoś przejmie dostęp.
Włącz weryfikację dwuetapową wszędzie, gdzie się da: poczta, bank, panel hostingu, panel strony, media społecznościowe.
Patrz na nietypowe zachowania. Logowanie w środku nocy, nowe konto administratora, nagłe zmiany na stronie – to sygnały, których nie warto ignorować.

Potrzebujesz pomocy?

Nie wiesz, czy Twoja strona i panel administracyjny są dobrze zabezpieczone? Napisz do nas – sprawdzimy aktualizacje, uprawnienia i kopie zapasowe. Przeczytaj też nasz artykuł o lukach PHP2Shell, które w październiku zagroziły ogromnej części stron firmowych.

Źródła

Stan na 1 listopada 2026. Śledztwo trwa, a część liczb różni się między źródłami – podajemy wartości przybliżone.

Kradzież 6,3 mld dolarów z Binance – jak do niej doszło i czego uczy każdą firmę