Binance straciło 6,3 mld dolarów. Największa kradzież kryptowalut w historii

29 października 2026 roku z portfeli Binance wyprowadzono aktywa o wartości około 6,3 mld dolarów. Wstępne ustalenia wskazywały na przejęcie laptopa jednego z inżynierów odpowiedzialnego za infrastrukturę IT, jednak dalsze analizy ujawniły także inne punkty naruszenia bezpieczeństwa. O przeprowadzenie ataku podejrzewana jest północnokoreańska grupa TraderTraitor. Incydent pokazuje, jak poważne konsekwencje może mieć naruszenie zabezpieczeń infrastruktury obsługującej cyfrowe aktywa.

Według informacji przekazanych przez Binance, z portfeli giełdy wyprowadzono kryptowaluty o wartości około 6,36 mld dolarów. Jeśli skala incydentu zostanie potwierdzona, może to oznaczać największa kradzież kryptowalut w historii. Znaczna część transferów miała zostać przeprowadzona w ciągu około 20 minut. Późniejsze ustalenia przyniosły jednak nowe informacje. Binance wykryło dodatkowe punkty naruszenia bezpieczeństwa, dlatego na tym etapie nie można sprowadzać całego incydentu do przejęcia jednego urządzenia. Giełda zapowiedziała, że po zakończeniu dochodzenia opublikuje szczegóły techniczne ataku.

„Skala tego incydentu jest porażająca, ale jeszcze bardziej niepokojący jest prawdopodobny sposób przeprowadzenia ataku. Jeśli przejęcie jednego laptopa rzeczywiście umożliwiło przestępcom uzyskanie dostępu do systemów obsługujących transfery warte miliardy dolarów, oznaczałoby to poważne problemy z kontrolą uprawnień i zabezpieczeniami krytycznej infrastruktury” – komentuje Kamil Sadkowski, analityk cyberzagrożeń ESET. „W dobrze zaprojektowanym systemie bezpieczeństwa przejęcie pojedynczego urządzenia nie powinno wystarczyć do przeprowadzenia operacji o takiej skali. Konieczne są dodatkowe, niezależne mechanizmy autoryzacji, ograniczanie uprawnień i stałe monitorowanie nietypowych działań. Nawet najbardziej zaawansowane zabezpieczenia kryptograficzne nie pomogą, jeżeli cyberprzestępcy zdołają wykorzystać zaufane systemy do zatwierdzania nieuprawnionych transakcji. Ostateczna ocena tego, które mechanizmy zawiodły, będzie jednak możliwa dopiero po zakończeniu dochodzenia” – dodaje.

Po wykryciu ataku Binance tymczasowo wstrzymało wpłaty i wypłaty, cofnęło uprawnienia zainfekowanego adresu oraz rozpoczęło współpracę z organami ścigania i firmami analitycznymi. Dzięki szybkiej reakcji ekspertów udało się zamrozić około 2,7-3 mld dolarów, głównie w stablecoinach. Pozostałe środki, szacowane na około 2,4 mld dolarów w bitcoinach i etherach, pozostają w rękach napastników.

Ślad prowadzi do północnokoreańskiej grupy TraderTraitor

Firmy TRM Labs i Chainalysis wiążą atak na Binance z północnokoreańską grupą TraderTraitor. Analiza przepływu środków i podobieństwa do wcześniejszych operacji wskazują na jej udział, choć Binance nie potwierdziło ostatecznie, kto stoi za kradzieżą. Podejrzenia przypominają atak na giełdę Bybit z lutego 2025 roku, podczas którego skradziono około 1,5 mld dolarów. W przypadku Binance skala jest jednak znacznie większa. Jeśli ustalenia analityków się potwierdzą, będzie to kolejny przykład wykorzystania cyberkradzieży do pozyskiwania ogromnych środków przez grupy powiązane z Koreą Północną.

„Kryptowaluty pozostawiają ślad w publicznych rejestrach transakcji, dlatego w wielu przypadkach można ustalić, dokąd trafiły skradzione środki. Nie oznacza to jednak, że równie łatwo można je odzyskać. Przestępcy błyskawicznie przenoszą aktywa pomiędzy portfelami, wymieniają je na inne kryptowaluty i wykorzystują różne sieci blockchain, aby utrudnić identyfikację oraz zablokowanie środków” – wskazuje Kamil Sadkowski.

Czy użytkownicy mają powody do obaw?

Binance zapewnia, że pokryje straty klientów. Incydent przypomina jednak o ryzyku związanym z przechowywaniem wszystkich cyfrowych aktywów na jednej platformie. Korzystanie ze scentralizowanej giełdy oznacza powierzenie jej nie tylko środków, lecz także odpowiedzialności za bezpieczeństwo infrastruktury, która umożliwia ich przechowywanie i transfer.

„Dla zwykłych użytkowników najważniejsza lekcja jest prosta: nie warto uzależniać bezpieczeństwa wszystkich swoich cyfrowych aktywów od jednej platformy. Rozsądnym rozwiązaniem może być rozdzielenie środków pomiędzy różne sposoby przechowywania, w tym odpowiednio zabezpieczone portfele sprzętowe, które pozwalają zachować kontrolę nad kluczami prywatnymi. Trzeba jednak pamiętać, że również takie rozwiązania wymagają wiedzy i ostrożności. Należy chronić frazy odzyskiwania dostępu, korzystać z wieloskładnikowego uwierzytelniania i zachowywać szczególną czujność wobec wiadomości rzekomo pochodzących od giełdy. Tak głośny incydent może bowiem stać się pretekstem do kolejnych oszustw” – tłumaczy Kamil Sadkowski.

Przestępcy mogą bowiem podszywać się pod obsługę klienta i nakłaniać użytkowników do przeniesienia kryptowalut na fałszywe, rzekomo bezpieczne portfele. W ten sposób ofiarami mogą paść także osoby, których środki nie zostały bezpośrednio dotknięte atakiem.

Giełdy kryptowalut pod presją. Problem wykracza poza Binance

Jak zauważa Jayant Dave, ekspert Check Point, atak na Binance wpisuje się w niepokojący trend. Zaledwie pięć tygodni wcześniej, 24 września 2026 roku, giełda Bitget straciła około 388 mln dolarów. Także wtedy napastnicy nie musieli kraść kluczy prywatnych, wykorzystali słabości warstwy odpowiedzialnej za kontrolowanie portfeli.

„Dwa poważne ataki na duże giełdy w ciągu niewiele ponad miesiąca to trend, którego nie można ignorować. Przestępcy zrozumieli, że nie muszą włamywać się do samego sejfu. Wystarczy przejąć kontrolę nad procesem, który pozwala go otworzyć. Najkrótsza droga do najcenniejszych zasobów coraz częściej prowadzi przez laptop jednego pracownika i zaufaną usługę wewnętrzną” – ostrzega ekspert Check Point.

Najważniejsze pytanie dotyczy dziś nie tylko tożsamości sprawców, lecz także tego, jak uzyskali możliwość zlecania transferów na tak dużą skalę. Odpowiedź będzie miała znaczenie dla całego rynku kryptowalut. Nawet jeśli Binance pokryje straty, incydent może podważyć zaufanie do zabezpieczeń platform przechowujących aktywa warte miliardy dolarów.

Problem wykracza jednak poza rynek kryptowalut. Podobne zagrożenia dotyczą banków, operatorów płatności i dostawców usług chmurowych, wszędzie tam, gdzie przejęcie konta lub systemu z szerokimi uprawnieniami może otworzyć drogę do nieautoryzowanych operacji finansowych albo ujawnienia wrażliwych danych.

Dlatego organizacje powinny chronić urządzenia administratorów i programistów, ograniczać uprawnienia dostępu oraz wymagać niezależnego potwierdzania dużych transakcji. Ważne są również limity transferów i systemy wykrywające nietypową aktywność w czasie rzeczywistym.

„Nie możemy zakładać, że żadne urządzenie ani poświadczenie dostępu nie zostanie przejęte. Żadna pojedyncza osoba ani maszyna nie powinna mieć możliwości samodzielnego przesłania ogromnych kwot bez dodatkowej weryfikacji. Zapobieganie musi być priorytetem, ponieważ gdy pieniądze zostaną rozproszone pomiędzy różnymi blockchainami, ich odzyskanie jest raczej wyjątkiem niż regułą” – podsumowuje Jayant Dave.