Napad na Binance: FBI łączy północnokoreański TraderTraitor z największą kradzieżą kryptowalut w historii
Wieczorem 29 października 2026 r. nieuprawnione wypłaty zaczęły opróżniać gorące portfele Binance na jedenastu blockchainach w ciągu kilku godzin. Szacunki strat wahają się od około 6,3 mld dolarów — liczby podanej przez samą giełdę — do 6,43 mld, na której po dniach liczenia zatrzymała się rachuba on-chain Elliptic; firma analityczna nazywa to niemal na pewno największą pojedynczą kradzieżą jakiegokolwiek rodzaju w historii. Wypłaty zatrzymano tej samej nocy, a największa giełda kryptowalut na świecie kolejne dni spędzała na uspokajaniu swoich około 335 milionów zarejestrowanych użytkowników: ich pieniądze nigdy nie opuściły giełdy.
Liczby za rekordową kradzieżą
Niewiele jest precedensów, na których można się oprzeć. Łup jest ponad czterokrotnie większy niż 1,46 mld dolarów skradzionych z Bybita w lutym 2025 r. — wtedy także rekord — i ponad sześciokrotnie większy niż około 1 mld dolarów, które Saddam Hussein wyjął z irackiego banku centralnego w 2003 r., jak podkreśla porównanie Elliptic. Na podstawie wyliczeń FBI The Hacker News zlicza jedenaście dotkniętych blockchainów, przy czym 82 procent wartości przypadło na Ethereum i Bitcoin. Największa część leżała na Ethereum: około 3,8 mld dolarów w 186 tokenach, plus 18 270 BTC o wartości około 1,48 mld dolarów.Korea Północna — z dużą pewnością
31 października FBI formalnie przypisało kradzież TraderTraitorowi — klastrowi sprzyjającemu Korei Północnej, śledzonemu też jako Jade Sleet i Slow Pisces — działając wraz z amerykańską Secret Service i IRS Criminal Investigation. Ci sami aktorzy są łączeni z napadami na Bybita i DMM Bitcoin oraz mniejszymi incydentami w KelpDAO i Bitget. Prywatni analitycy wskazali ten sam kierunek w ciągu pierwszych godzin: śledczy ZachXBT nazwał atakującego „prawdopodobnie Lazarus", a TRM Labs opublikowała ocenę z „dużą pewnością", że za kradzieżą stoi TraderTraitor — jednostkę, którą CoinDesk opisuje jako podklaster grupy Lazarus.„Uzupełniliśmy już 90% skradzionych aktywów i zobowiązujemy się pokryć pozostałe 10%". — współdyrektor generalny Binance Richard Teng, 31 października 2026 r.Binance wstrzymała wypłaty, a następnie zobowiązała się pokryć wszystkie straty klientów w całości. Spółka odłożyła około 6,34 mld dolarów środków własnych — z miliardowego funduszu zabezpieczającego Secure Asset Fund for Users, funduszu ubezpieczeniowego futures i kasy korporacyjnej, podaje NBC News — pozostałe dziesięć procent to głównie mniej płynne tokeny, których wykup zajmie więcej czasu. Wypłaty wróciły etapami od 06:00 UTC 1 listopada, a obawiany run na giełdę pozostał opanowany. The Block zliczył około 3,64 mld dolarów netto odpływu w pierwsze dziewięć i pół godziny — około 2 procent aktywów pod zarządzaniem — i cytuje giełdę: wolumeny „stabilizowały się zgodnie z oczekiwaniami" po początkowym skoku, a wpłaty pozostały istotne. Bitcoin już wcześniej usiadł o 5 procent, do sześciotygodniowego dołka na 77 380 dolarach, w godzinach po wiadomości, pokazuje relacja Guardiana.
Jak opróżniano portfele
Pierwsze publiczne wyjaśnienie Binance wskazywało na skompromitowany laptop inżyniera DevOps jako punkt wejścia; później firma mówiła o złożonym ataku z dodatkowymi punktami włamu i malware wymazującym ślady. Rekonstrukcja Elliptic pokazuje nadużycie delegacji EIP-7702 — funkcji wprowadzonej w aktualizacji Ethereum Pectra w 2025 r.: pojedyncza transakcja z pięćdziesięcioma ważnie podpisanymi autoryzacjami delegowała kontrolę nad portfelem oznaczonym „Binance 14" kontraktowi-sweeperowi, który trzy i pół minuty później opróżnił go z 167 464 ETH i 63 tokenów. Środki popłynęły przez własną infrastrukturę podpisującą Binance, a nie przez wykradzione klucze prywatne — słowami Elliptic, skompromitowana została infrastruktura i ludzie wokół portfeli, a nie kryptografia.Szlak prania pieniędzy
FBI zawczasu rozrysowało swoje oczekiwania. Obserwując, jak atakujący konwertował skradzione aktywa przede wszystkim na Ethereum, biuro przewiduje dalsze pranie przez DeFi i usługi natychmiastowej wymiany i już opublikowało adresy portfeli, z którymi usługi mają się zestawiać. Obraz on-chain dotąd trzyma się znanego scenariusza: stablecoiny wymieniane na ETH i TRX ze stratą 12–26 procent — szybkość ponad wartość; 59,9 mln USDT zaparkowane w Aave, by pożyczyć pod nie ETH; TRX przemycany przez co najmniej sześć różnych mostów.- Około 2,85 mld dolarów zamrożono lub skonfiskowano on-chain w ciągu kilku dni — 44 procent kradzieży, niemal wszystko stablecoiny, według Elliptic; sama Binance szacuje około 3 mld.
- Na Bitcoinie, XRP Ledger, Solanie i NEAR nie zamrożono niczego — atakującemu zostaje około 3,25 mld dolarów aktywów odpornych na zamrożenie, rozrzuconych na ponad 800 adresach.
- Elliptic opublikowała darmowy blocklist z ponad 8 000 powiązanych adresów dla giełd i dostawców portfeli.
- Aktorzy związani z Koreą Północną mieli w ostatnich latach ukraść kryptowalut łącznie za ponad 6,5 mld dolarów, a Elliptic zauważa, że ten incydent niemal podwaja tę sumę.