Binance hilang $6 bilion, butang pembekuan selamatkan hampir separuh

Pada 20:20:59 UTC, 29 Oktober 2026, satu transaksi dengan yuran $14.46 mendarat di rangkaian Ethereum. Ia tidak memindahkan wang sedikit pun; medan nilainya kosong. Awal hari yang sama, penyerang telah berlatih skim itu pada dompetnya sendiri, memindahkan $2 hingga $6 pada satu masa. Tiga setengah minit kemudian, 167,464 ether dan $1.6 bilion stablecoin USDT keluar dari sebuah dompet panas Binance yang dikenali penganalisis sebagai Binance 14. Menjelang pagi, bursa itu menganggarkan kerugian kira-kira $6.3 bilion. Penganalisis luar setakat ini mengira lebih rendah, antara $5.3 bilion dan $5.9 bilion. Rekod sebelumnya, kecurian dari bursa Bybit pada Februari 2025, ialah kira-kira $1.5 bilion.

Namun saiznya bukan bahagian yang paling ganjil. Hampir separuh hasil rompakan, sekitar $3 bilion, dihentikan dalam beberapa jam. Bukan oleh polis, dan bukan oleh “rantaian blok itu sendiri”, tetapi oleh segelintir syarikat yang memiliki butang pembekuan. Mata wang kripto dicipta tepat supaya tiada sesiapa memilikinya.

Surat kuasa wakil bernilai empat belas dolar

Sebuah bursa menyimpan wang pelanggan dalam dua jenis dompet. Dompet sejuk berada di luar talian dan menyimpan rizab utama. Dompet panas sentiasa bersambung: pengeluaran harian melaluinya, jadi ia sentiasa menyimpan baki kerja. Di bursa terbesar dunia, baki itu mencecah berbilion.

Kunci serangan ini ialah satu ciri bernama EIP-7702. Ia tiba di Ethereum pada 7 Mei 2025 bersama naik taraf Pectra. Ringkasnya, ia ialah surat kuasa wakil: dompet biasa membenarkan atur cara luar bertindak bagi pihaknya. Ia direka demi kemudahan, untuk menggabungkan beberapa tindakan dalam satu klik atau membolehkan orang lain membayar yuran. Hanya dompet itu sendiri boleh menandatangani kebenaran sedemikian. Ia kekal berkuat kuasa sehingga pemiliknya membatalkannya.

Transaksi $14.46 itu tepat sekali kebenaran seperti itu. Ia membawa 50 kebenaran, setiap satu menyerahkan Binance 14 kepada atur cara “penyapu” yang dipasang penyerang empat jam sebelumnya. Satu daripada lima puluh itu berjaya. Bayangkan buku cek di mana satu kebenaran hanya sah untuk satu cek dengan nombor tertentu. Dompet panas menulis “cek” sebegitu tanpa henti, jadi nombor seterusnya sukar diteka. Lima puluh tandatangan berturut-turut kelihatan seperti cara untuk memastikan salah satunya mengena.

Penyapu itu mengosongkan Binance 14 dalam satu operasi sahaja, meninggalkan 1 ether. Dalam 12 minit berikutnya, wang dari sepuluh lagi dompet panas bursa itu merentasi empat rangkaian mengalir ke alamat yang sama. Beginilah Blockaid, syarikat keselamatan blockchain, membina semula serangan itu.

Bagaimana penyerang memperoleh tandatangan dompet itu masih belum jelas. Menurut laporan awal Binance, ia bermula dengan komputer riba seorang jurutera DevOps yang telah dikompromi, iaitu pekerja yang menguruskan pelayan dan pelancaran perisian. Melalui komputer riba itu, penceroboh sampai ke sebuah kontena perkhidmatan dan menghantar pengeluaran tanpa kebenaran dari situ. Bursa itu berkata ia tidak menemui bukti bahawa mana-mana kunci persendirian dompet bocor. Jika benar, pencuri itu tidak perlu mencuri kunci. Dia membuat sistem bursa itu sendiri menandatangani kebenaran untuknya.

Butang yang tiada pada bitcoin

USDT dan USDC dipanggil stablecoin. Ia ialah dolar digital yang diterbitkan oleh dua syarikat swasta, Tether dan Circle, yang masing-masing berjanji menebus tokennya dengan satu dolar. Ada satu ciri yang jarang dibangkitkan. Penerbit boleh menyekat mana-mana alamat di rangkaian. Dalam terma USDC, Circle secara jelas mengekalkan hak untuk menyekat pemindahan ke dan dari sesuatu alamat. Tether mempunyai keupayaan yang sama.

Malam itu, mereka menggunakannya. Ketua Eksekutif Tether, Paolo Ardoino, menulis bahawa syarikat itu telah membekukan lebih 1.567 bilion USDT. Ketua Eksekutif Circle, Jeremy Allaire, berkata lebih 800 juta USDC telah disekat dengan penyelarasan penguat kuasa undang-undang. Ripple menghentikan kira-kira $200 juta stablecoinnya, World Liberty Financial kira-kira $27 juta. Malah Arbitrum, rangkaian yang lazimnya digambarkan sebagai terdesentralisasi, membekukan 74.56 juta token ARB atas keputusan Majlis Keselamatannya.

Ether dan bitcoin satu cerita lain. Tiada penerbit, tiada butang. Firma analitik Glassnode mengira 17,985 bitcoin antara aset yang dicuri, kira-kira $1.45 bilion. Ether dari sapuan pertama juga kekal pada penyerang. Tiada sesiapa di dunia ini boleh membalikkan pemindahan yang ditandatangani dengan kunci yang betul. Bagi seorang pencuri, itulah ciri terbaik bitcoin. Bagaimana penyerang sampai ke dompet bitcoin berasingan milik bursa itu, Binance belum mendedahkannya. Teori kontena perkhidmatan, di mana sistem itu sendiri menandatangani pengeluaran, akan menjelaskannya.

Penyelamat yang memegang kuasa veto

Sebenarnya ini tidak masuk akal. Kecurian terbesar dalam sejarah kripto hampir separuhnya dihentikan oleh alat yang kononnya tidak sepatutnya ada pada kripto “tulen”. Bitcoin berfungsi tepat seperti yang dikehendaki penciptanya: pemindahan yang ditandatangani adalah muktamad. Dolar digital pula bertindak seperti sebuah bank.

Butang yang merampas satu setengah bilion daripada pencuri itu berfungsi terhadap sesiapa sahaja. Sebuah syarikat menekannya, bukan mahkamah. Ia mengambil masa beberapa minit. Pemegang USDT tidak memiliki sedolar dalam akaun, tetapi janji Tether untuk menebus token itu, dan janji itu datang dengan syarat. Ramai orang akan menganggap pertukaran ini munasabah: bank juga menyekat pemindahan yang mencurigakan. Cuma stablecoin lebih hampir dengan akaun bank berbanding wang tunai di poket anda, dan malam ini menunjukkan perbezaannya lebih baik daripada mana-mana kuliah.

Maksudnya untuk pelanggan Binance

Menurut bursa itu sendiri, Binance mempunyai lebih 335 juta pengguna berdaftar. Pada malam penggodaman, ia menghentikan deposit dan pengeluaran, dan menjelang pagi 30 Oktober ia belum menyatakan bila ia akan disambung semula. Pengasas bersama Binance, Yi He, berjanji bursa itu “akan menampung semua kerugian penggodaman” daripada dana insurans SAFU dan wangnya sendiri. Pengasas Changpeng Zhao mengikuti kecurian itu hampir seperti penonton. “Nampaknya ini memang penggodaman ke atas Binance,” tulisnya di X, sambil menyatakan dalam siaran yang sama bahawa dia tidak lagi menguruskan bursa tetapi menjangka dana pengguna dilindungi sepenuhnya.

Sejak Februari 2026 dana SAFU disimpan dalam bitcoin, sebanyak 15,000. Pada harga 30 Oktober, itu kira-kira $1.2 bilion. Jika anggaran bursa itu betul, bahagian kerugian yang tidak dibekukan, kira-kira $3.3 bilion, hampir tiga kali ganda lebih besar. Jadi sebahagian besar lubang itu terpaksa ditampal dengan wang bursa sendiri. Dana itu sendiri, kebetulan, menyimpan bitcoin yang lebih sedikit daripada yang dibawa penyerang.

Pasaran bertindak balas serta-merta, walaupun hasil lemah syarikat teknologi turut membebankannya. Bitcoin jatuh di bawah $77,000, paras terendah enam minggu. BNB, token milik bursa itu, kehilangan lebih 8% dalam sehari.

Siapa pelakunya tidak diketahui. Penyiasat blockchain ZachXBT dan syarikat Blockaid menamakan Korea Utara sebagai kemungkinan dalang, tetapi belum ada yang mengaitkan serangan ini secara rasmi. FBI memang mengaitkan kecurian Bybit dengan Korea Utara. Menurut Blockaid, penyerang membiayai operasi awal melalui Tornado Cash, pengaduk yang mengaburkan jejak pemindahan. Binance berjanji akan menerbitkan bedah siasat teknikal terperinci setelah fakta disahkan.

Selama bertahun-tahun, komuniti kripto berbalah sama ada wang memerlukan butang henti. Dalam satu malam, satu butang menyelamatkan kira-kira $3 bilion. Perbalahan itu mungkin akan beralih sekarang: siapa yang memutuskan, dan dengan peraturan apa, bila untuk menekannya?