Hack Binance: 6,3 mld USD w 20 minut
— największa kradzież krypto w historii

Co się stało: 6,3 mld USD w ok. 20 minut

Atak zaczął się 29 października o 20:05 UTC (21:05 w Polsce). Większość środków wypłynęła z portfeli Binance w ciągu ok. 20 minut, równolegle na dziesięciu sieciach: Ethereum, Bitcoin, Tron, XRP Ledger, Solana, Arbitrum, Optimism, Base, Avalanche i Polygon. Druga fala, na Avalanche i Polygonie, przyszła trzy godziny później.

Szacunki różnią się w zależności od źródła i momentu wyceny. Binance podaje 6,3 mld USD, TRM Labs 6,36 mld USD po cenach z chwili przelewów (ok. 6,23 mld po cenach z nocy), Chainalysis 5,91 mld USD, a jej szef Jonathan Levin mówił później o 6,4 mld USD. Przed atakiem Binance miał według DefiLlama ok. 144 mld USD aktywów, więc skradziona kwota to ok. 4% majątku klientów na giełdzie.

Oś czasu ataku minuta po minucie

Rekonstrukcja na podstawie analizy on-chain TRM Labs i relacji na żywo Cointelegraph. Czas polski = UTC + 1 godzina (od 25 października obowiązuje czas zimowy).

Źródło: TRM Labs (analiza on-chain, stan na 30.10, 01:30 PL), Cointelegraph (relacja na żywo z komunikatami Binance). Czasy z relacji Cointelegraph przeliczone z UTC.

Co dokładnie skradziono

Najwięcej wypłynęło z sieci Ethereum, gdzie Binance trzymał ETH i większość stablecoinów. Zestawienie TRM Labs po cenach z chwili kradzieży:

Źródło: TRM Labs, „North Korea Steals USD 6.36 Billion From Binance in the Largest Hack in History” (30.10.2026).

Ponad połowę łupu, ok. 3,4 mld USD, stanowiły stablecoiny (USDT, USDC, RLUSD). To ważne, bo stablecoiny mają emitenta, który może je zamrozić. Bitcoina ani ETH nikt nie zamrozi.

Jak to zrobiono: laptop, kontener i EIP-7702

Pełnego raportu powłamaniowego (post-mortem) jeszcze nie ma. To, co wiadomo na 30 października:

• Wersja Binance, wstępna. Atakujący mógł przejąć laptop inżyniera DevOps, przez niego dostać się do kontenera usługi i zlecić z niego nieautoryzowane wypłaty. Giełda napisała: „Nie znaleźliśmy dowodów na wyciek jakiegokolwiek klucza prywatnego portfela”.
• Korekta po kilku godzinach. Współprezes Richard Teng powiedział, że był to „bardziej złożony proces ataku”, a nie jedno kliknięcie, i że „dochodzenie nie przypisało odpowiedzialności żadnej osobie”. Binance poinformował potem o „dodatkowych punktach włamania”.
• Ocena TRM Labs. Najbardziej prawdopodobne jest przejęcie infrastruktury, która podpisuje transakcje z gorących portfeli. Na dziewięciu sieciach środki wyszły zwykłymi, poprawnie podpisanymi przelewami. Firma Blockaid mówi o „niewłaściwym użyciu kluczy” przez przejęty system podpisów, a nie o ich wycieku.
• Ethereum: EIP-7702. To funkcja dodana do Ethereum w aktualizacji Pectra (maj 2025). Pozwala zwykłemu portfelowi przez jakiś czas działać jak inteligentny kontrakt. Atakujący przygotował 50 podpisanych z góry autoryzacji dla kolejnych numerów transakcji. Jedna z nich pasowała i portfel Binance zaczął wykonywać kontrakt „zamiatający” kontrolowany przez napastnika. Ido Ben-Natan z Blockaid ocenia, że EIP-7702 pomógł ominąć zabezpieczenia, ale nie był niezbędny do kradzieży.

Kto za tym stoi: Korea Północna i pranie łupu

TRM Labs z „wysoką pewnością” przypisuje atak grupie TraderTraitor, jednostce hakerskiej Korei Północnej. FBI wskazało tę samą grupę jako sprawcę ataku na Bybit. Detektyw on-chain ZachXBT wskazuje grupę Lazarus i łączy środki z wcześniejszym atakiem na Bitget przez protokół THORChain. Wspólne cechy z wcześniejszymi atakami Korei Północnej, według TRM:

• finansowanie portfela operatora małymi wypłatami z Tornado Cash dzień przed atakiem,
• przygotowania i próby na długo przed kradzieżą,
• podpisy przygotowane z góry i wykonane w jednej serii.

Pranie środków zaczęło się w ciągu kilkudziesięciu minut:

• ok. 325 mln USDT wymienione przez UniswapX i podobne kontrakty na ok. 122 300 ETH, ok. 10% poniżej ceny rynkowej,
• 60 mln USDT wpłacone jako zabezpieczenie do protokołu Aave i ok. 19 760 ETH pożyczone pod nie. Aave zamroził potem rynki,
• 300 mln USDT przesłane do protokołu pożyczkowego JustLend na Tronie,
• 18 270 BTC rozbijane łańcuchem coraz mniejszych transakcji (tzw. peel chain).

Chainalysis pisze o wzorcach prania, jakich wcześniej nie widziała: tysiące transakcji wskazujących na automatyzację, środki wielokrotnie wracające do wcześniejszych portfeli. Według TRM poza zasięgiem emitentów zostało ponad 420 tys. ETH i 18 270 BTC, łącznie ok. 2,4 mld USD.

Ile udało się zamrozić

Szybka reakcja emitentów stablecoinów sprawiła, że dużą część łupu udało się zablokować w ciągu kilku godzin.

Źródło: TRM Labs (stan na 30.10, 01:30 PL), Cointelegraph, CoinDesk. Paolo Ardoino z Tethera podawał w trakcie nocy „ponad 1,57 mld USD”, TRM doliczył późniejsze blokady. Współprezes Binance Yi He mówiła, że Ripple pomógł zatrzymać ok. 200 mln USD, TRM potwierdza on-chain 40,5 mln.

Czy klienci Binance odzyskają pieniądze?

Według deklaracji giełdy salda klientów nie zmienią się. Konkretnie:

• Pokrycie strat. Współprezes Yi He zapowiedziała, że Binance pokryje „wszystkie straty z ataku”. Źródła to fundusz SAFU (utworzony w 2018 r., ok. 1 mld USD w bitcoinie) i środki własne spółki. Założyciel Changpeng Zhao napisał, że jako akcjonariusz oczekuje pełnego pokrycia środków użytkowników.
• 6,34 mld USD odłożone. Binance podał, że wydzielił ponad 6,34 mld USD, w tym 5 mld USD w tych samych tokenach, które skradziono (przechowywane w custody, adresów nie ujawniono). Brakującą część dokupuje na rynku i w transakcjach OTC, co może potrwać. Zamrożone środki nie są w to wliczone.
• Dowód rezerw. Yi He zapowiedziała aktualizację proof of reserves po zakończeniu zakupów. Do momentu publikacji tego artykułu jej nie było.
• Wypłaty wstrzymane od wieczora 29 października. Według ostatniej aktualizacji mają ruszyć po ok. 45 godzinach, czyli mniej więcej 1 listopada. Wpłaty działają.
• Inni poszkodowani. Firmy market-makingowe Wintermute i GSR ujawniły ekspozycję na zdarzenie: Wintermute poniżej 20% kapitału własnego, GSR poniżej 5%. Kwot nie podały.

Reakcja rynku kryptowalut

W nocy z 29 na 30 października (dane Cointelegraph z 30.10, ok. 02:20 PL, zmiana w 24 godziny):

Indeks strachu i chciwości (Fear & Greed) spadł do 30, czyli strefy strachu. Mocniej od bitcoina straciły tokeny protokołów, przez które prano środki (Aave, Uniswap), i sam BNB. Geoffrey Kendrick ze Standard Chartered ocenia, że atak może przesunąć część handlu na giełdy zdecentralizowane (DEX).

Polscy użytkownicy Binance: podwójny problem

Polscy klienci Binance byli w trudnej sytuacji już przed atakiem. Binance nie uzyskał licencji MiCA (unijnego rozporządzenia o rynkach kryptoaktywów) przed końcem okresu przejściowego i od 1 lipca 2026 r. ograniczył działalność w Polsce:

• brak rejestracji nowych użytkowników,
• brak nowych zleceń spot, wyłączone boty, brak nowych pozycji i pożyczek na marginie,
• produkty Earn i staking zamknięte dla nowych zapisów, a aktywa zwracane na konta,
• użytkownicy zachowali dostęp do aktywów i możliwość ich wypłaty.

Wypłata była więc praktycznie jedyną funkcją, jaka polskim klientom została, i właśnie ona jest teraz wstrzymana. Wpis Binance Poland do polskiego rejestru działalności w zakresie walut wirtualnych nie jest licencją MiCA, a Binance nie figuruje w rejestrze dostawców usług kryptoaktywów (CASP) prowadzonym przez ESMA. Jak wybrać giełdę i przechowywać kryptowaluty, opisujemy w poradniku kryptowaluty dla początkujących.

Co zrobić, jeśli masz środki na Binance

Najczęściej zadawane pytania

Źródła: TRM Labs (analiza on-chain, 30.10.2026), Cointelegraph (relacja na żywo 29–30.10.2026), CoinDesk, TechCrunch, NBC News, The Block, CyberInsider, Crypto Briefing, Chainalysis, DefiLlama; komunikaty Binance (Yi He, Richard Teng); Money.pl i forexclub.pl (ograniczenia Binance w Polsce, czerwiec 2026). Sytuacja rozwija się, dane według stanu na 30 października 2026, ok. 14:00. Artykuł ma charakter informacyjny i nie stanowi rekomendacji inwestycyjnej.