Binanceu ukradeno 6 milijardi dolara, gotovo polovicu spasio gumb za zamrzavanje

U 20:20:59 UTC 29. listopada 2026. na Ethereum mreži pojavila se transakcija s naknadom od 14,46 dolara. Nije prenijela nimalo novca, polje vrijednosti pokazuje nulu. Ranije istog dana napadač je shemu uvježbavao na vlastitim novčanicima, premještajući po 2 do 6 dolara. Tri i pol minute kasnije iz Binanceova vrućeg novčanika, koji analitičari znaju kao Binance 14, otišlo je 167.464 etera i 1,6 milijardi dolara u stablecoinu USDT. Do jutra je burza procijenila štetu na otprilike 6,3 milijarde dolara. Vanjski analitičari za sada broje manje, između 5,3 i 5,9 milijardi. Prethodni rekord, krađa s burze Bybit u veljači 2025., iznosio je oko 1,5 milijardi dolara.

No veličina nije najčudniji dio. Gotovo polovicu plijena, oko 3 milijarde dolara, zaustavilo se u nekoliko sati. Ne policija i ne »sam blockchain«, nego šačica tvrtki koje imaju gumb za zamrzavanje. Kriptovalute su izmišljene upravo zato da ga nitko nema.

Punomoć od četrnaest dolara

Burza čuva novac klijenata u dvije vrste novčanika. Hladni novčanici nisu spojeni na internet i drže glavnu pričuvu. Vrući su stalno online: kroz njih idu svakodnevne isplate, pa uvijek drže radni saldo. Na najvećoj burzi na svijetu taj saldo ide u milijarde.

Ključ napada bila je funkcija zvana EIP-7702. Na Ethereum je stigla 7. svibnja 2025. s nadogradnjom Pectra. Pojednostavljeno, to je punomoć: običan novčanik ovlašćuje vanjski program da djeluje u njegovo ime. Zamišljena je radi praktičnosti, da se više radnji spoji u jedan klik ili da netko drugi plati naknadu. Takvu ovlast može potpisati samo sam novčanik. Vrijedi dok je vlasnik ne opozove.

Transakcija od 14,46 dolara bila je upravo takva ovlast. Nosila ih je 50, a svaka je Binance 14 predavala »sweeper« programu koji je napadač postavio četiri sata ranije. Jedna od pedeset je upalila. Zamislite čekovnu knjižicu u kojoj ovlast vrijedi samo za ček s jednim određenim brojem. Vrući novčanik te »čekove« ispisuje bez prestanka, pa je sljedeći broj teško pogoditi. Pedeset potpisa zaredom izgleda kao način da jedan sigurno pogodi.

Sweeper je ispraznio Binance 14 jednom operacijom, ostavivši 1 eter. U sljedećih 12 minuta novac iz još deset vrućih novčanika burze na četiri mreže potekao je na istu adresu. Tako je napad rekonstruirao Blockaid, tvrtka za sigurnost blockchaina.

Kako je napadač došao do potpisa novčanika, još nije jasno. Prema preliminarnom izvješću Binancea, sve je počelo kompromitiranim prijenosnim računalom DevOps inženjera, zaposlenika koji vodi poslužitelje i uvođenje softvera. Preko tog laptopa uljez je stigao do servisnog spremnika i odande slao neovlaštene isplate. Burza kaže da nije pronašla dokaze o curenju privatnog ključa ijednog novčanika. Ako je tako, lopov nikad nije trebao krasti ključ. Natjerao je sam sustav burze da potpiše ovlast umjesto njega.

Gumb kojeg bitcoin nema

USDT i USDC zovu se stablecoini. To su digitalni dolari koje izdaju dvije privatne tvrtke, Tether i Circle, a svaka obećava da će svoj token otkupiti za dolar. Jedno njihovo svojstvo rijetko dolazi na red: izdavatelj može blokirati bilo koju adresu u mreži. U uvjetima za USDC Circle izričito zadržava pravo blokirati prijenose na adresu i s nje. Tether to može isto.

Te su noći to i učinili. Izvršni direktor Tethera Paolo Ardoino napisao je da je tvrtka zamrznula više od 1,567 milijardi USDT-a. Izvršni direktor Circlea Jeremy Allaire rekao je da je više od 800 milijuna USDC-a blokirano u suradnji s tijelima za provedbu zakona. Ripple je zaustavio oko 200 milijuna dolara svog stablecoina, World Liberty Financial oko 27 milijuna. Čak je i Arbitrum, mreža koju obično opisuju kao decentraliziranu, odlukom svog Sigurnosnog vijeća zamrznuo 74,56 milijuna ARB tokena.

S eterom i bitcoinom bila je druga priča. Nema izdavatelja, nema gumba. Analitička tvrtka Glassnode izbrojila je 17.985 bitcoina među ukradenom imovinom, oko 1,45 milijardi dolara. Eter iz prvog pražnjenja također je ostao kod napadača. Nitko na svijetu ne može poništiti prijenos potpisan ispravnim ključem. Za lopova je to najbolja bitcoinova osobina. Kako je napadač stigao do zasebnih bitcoin novčanika burze, Binance još nije otkrio. Objasnila bi to teorija o servisnom spremniku, u kojoj je isplate potpisivao sam sustav.

Spasitelj s pravom veta

Zapravo je apsurdno. Najveću krađu u povijesti kriptovaluta gotovo je upola zaustavilo oruđe kakvo »prave« kriptovalute ne bi smjele imati. Bitcoin se ponio točno onako kako je njegov tvorac zamislio: potpisani prijenos je konačan. Digitalni dolari ponašali su se kao banka.

Gumb koji je lopovu oduzeo milijardu i pol djeluje protiv svakoga. Pritišće ga tvrtka, ne sud. Traje minute. Tko drži USDT, ne posjeduje dolar na računu, nego Tetherovo obećanje da će token otkupiti, a to obećanje dolazi s napomenom. Mnogima će taj dogovor djelovati razumno: i banke blokiraju sumnjive prijenose. Samo je stablecoin bliži bankovnom računu nego gotovini u džepu, a ta je noć razliku pokazala bolje od svakog predavanja.

Što to znači za Binanceove klijente

Prema podacima same burze, Binance ima više od 335 milijuna registriranih korisnika. U noći hakiranja obustavio je uplate i isplate, a do jutra 30. listopada nije rekao kada će se nastaviti. Suosnivačica Binancea Yi He obećala je da će burza »pokriti sve gubitke od hakiranja« iz svog osiguravajućeg fonda SAFU i vlastitih sredstava. Osnivač Changpeng Zhao krađu je pratio gotovo kao promatrač. »Izgleda kao hakiranje Binancea«, napisao je na X-u, u istom postu napomenuvši da burzom više ne upravlja, ali očekuje da će sredstva korisnika biti u potpunosti pokrivena.

Od veljače 2026. fond SAFU drži se u bitcoinima, njih 15.000. Po cijeni od 30. listopada to je otprilike 1,2 milijarde dolara. Ako je procjena same burze točna, nezamrznuti dio gubitka, oko 3,3 milijarde, gotovo je tri puta veći. Većinu rupe stoga će morati popuniti vlastitim novcem. Sam fond, usput, drži manje bitcoina nego što je napadač odnio.

Tržišta su reagirala odmah, iako su ih opterećivale i slabe zarade tehnoloških tvrtki. Bitcoin je pao ispod 77.000 dolara, na šesttjedni minimum. BNB, token same burze, u danu je izgubio više od 8%.

Tko je to učinio, nije poznato. Istraživač blockchaina ZachXBT i tvrtka Blockaid kao vjerojatnog krivca naveli su Sjevernu Koreju, no nitko službeno nije pripisao napad. FBI je Sjevernoj Koreji pripisao krađu s Bybita. Prema Blockaidu, napadač je prve operacije financirao preko Tornado Casha, miksera koji zamagljuje trag prijenosa. Binance obećava detaljnu tehničku analizu nakon provjere činjenica.

Godinama se kriptozajednica prepire treba li novcu gumb za zaustavljanje. U jednoj noći on je spasio oko 3 milijarde dolara. Rasprava će se sad vjerojatno pomaknuti: tko odlučuje i po kojim pravilima kad ga pritisnuti?