Binance straciło 6 mld dolarów, prawie połowę uratował przycisk zamrożenia

O 20:20:59 UTC 29 października 2026 roku w sieci Ethereum pojawiła się transakcja z opłatą 14,46 dolara. Nie przeniosła żadnych pieniędzy, pole wartości wskazuje zero. Wcześniej tego samego dnia atakujący przećwiczył schemat na własnych portfelach, przesyłając po 2–6 dolarów. Trzy i pół minuty później z gorącego portfela Binance, znanego analitykom jako Binance 14, wyszło 167 464 ETH i 1,6 mld dolarów w stablecoinach USDT. Do rana giełda oszacowała straty na około 6,3 mld dolarów. Niezależni analitycy na razie liczą mniej: od 5,3 do 5,9 mld. Poprzedni rekord, kradzież z giełdy Bybit w lutym 2025 roku, wyniósł około 1,5 mld dolarów.

Sama skala nie jest jednak najdziwniejsza. Prawie połowę łupu, około 3 mld dolarów, zatrzymano w ciągu kilku godzin. Nie zrobiła tego policja ani „sam blockchain", tylko garstka firm, które mają przycisk zamrożenia. Kryptowaluty wymyślono właśnie po to, żeby nikt takiego przycisku nie miał.

Pełnomocnictwo za czternaście dolarów

Giełda trzyma pieniądze klientów w portfelach dwóch rodzajów. Zimne są odłączone od sieci i przechowują główną rezerwę. Gorące są stale podłączone: przechodzą przez nie codzienne wypłaty, więc zawsze leży w nich bieżące saldo. W największej giełdzie świata liczy się ono w miliardach.

Kluczem do ataku była funkcja o nazwie EIP-7702. Trafiła do Ethereum 7 maja 2025 roku wraz z aktualizacją Pectra. Najprościej mówiąc, to pełnomocnictwo: zwykły portfel upoważnia zewnętrzny program do działania w swoim imieniu. Wymyślono je dla wygody, żeby łączyć kilka czynności w jedno kliknięcie albo pozwolić komuś innemu zapłacić opłatę. Takie upoważnienie może podpisać tylko sam portfel. Obowiązuje, dopóki właściciel go nie odwoła.

Transakcja za 14,46 dolara była właśnie takim upoważnieniem. Niosła ich 50, a każde oddawało Binance 14 pod kontrolę „odkurzacza", programu, który atakujący wdrożył cztery godziny wcześniej. Zadziałało jedno z pięćdziesięciu. Wyobraź sobie książeczkę czekową, w której upoważnienie wystarcza tylko do czeku z jednym konkretnym numerem. Gorący portfel wypisuje takie „czeki" bez przerwy, więc następny numer trudno zgadnąć. Pięćdziesiąt podpisów z rzędu wygląda na sposób, żeby któryś na pewno trafił.

Odkurzacz opróżnił Binance 14 jedną operacją, zostawiając 1 ETH. W ciągu kolejnych 12 minut pieniądze z dziesięciu następnych gorących portfeli giełdy w czterech sieciach popłynęły na ten sam adres. Tak atak odtworzyła Blockaid, firma zajmująca się bezpieczeństwem blockchaina.

Jak atakujący zdobył podpis portfela, wciąż nie wiadomo. Według wstępnej relacji Binance wszystko zaczęło się od przejętego laptopa inżyniera DevOps, czyli pracownika, który zajmuje się serwerami i wdrażaniem oprogramowania. Przez ten laptop intruz dotarł do kontenera usługi i stamtąd składał nieautoryzowane wypłaty. Giełda twierdzi, że nie znalazła śladów wycieku żadnego klucza prywatnego portfela. Jeśli to prawda, złodziej nie musiał kraść klucza. Skłonił system giełdy, żeby sam podpisał upoważnienie za niego.

Przycisk, którego bitcoin nie ma

USDT i USDC to stablecoiny. To cyfrowe dolary wydawane przez dwie prywatne firmy, Tether i Circle, z których każda obiecuje wykupić swój token za dolara. Jedna z ich cech rzadko wychodzi na jaw: emitent może zablokować dowolny adres w sieci. W warunkach USDC Circle wprost zastrzega sobie prawo do blokowania przelewów na adres i z adresu. Tether ma tę samą możliwość.

Tej nocy z niej skorzystali. Prezes Tethera Paolo Ardoino napisał, że firma zamroziła ponad 1,567 mld USDT. Szef Circle Jeremy Allaire oświadczył, że ponad 800 mln USDC zablokowano w porozumieniu z organami ścigania. Ripple zatrzymało około 200 mln dolarów swojego stablecoina, World Liberty Financial około 27 mln. Nawet Arbitrum, sieć zwykle opisywana jako zdecentralizowana, zamroziła 74,56 mln tokenów ARB decyzją swojej Rady Bezpieczeństwa.

Z eterem i bitcoinem było inaczej. Brak emitenta, brak przycisku. Firma analityczna Glassnode naliczyła wśród skradzionych aktywów 17 985 bitcoinów, czyli około 1,45 mld dolarów. Eter z pierwszego przelewu również został u atakującego. Nikt na świecie nie cofnie przelewu podpisanego właściwym kluczem. Dla złodzieja to największa zaleta bitcoina. Jak atakujący dotarł do osobnych bitcoinowych portfeli giełdy, Binance jeszcze nie ujawniło. Wyjaśniałaby to teoria o kontenerze usługi, w której to sam system podpisywał wypłaty.

Wybawca z prawem weta

To właściwie absurd. Największą kradzież w historii krypto prawie w połowie zatrzymały narzędzia, których „prawdziwa" kryptowaluta mieć nie powinna. Bitcoin zachował się dokładnie tak, jak chciał jego twórca: podpisany przelew jest ostateczny. Cyfrowe dolary zachowały się jak bank.

Przycisk, który odebrał złodziejowi półtora miliarda, działa przeciwko każdemu. Naciska go firma, nie sąd. Zajmuje to minuty. Kto trzyma USDT, nie ma na koncie dolara, tylko obietnicę Tethera, że wykupi token, a ta obietnica ma zastrzeżenie. Wielu uzna taki układ za rozsądny: banki też blokują podejrzane przelewy. Po prostu stablecoin jest bliższy kontu bankowemu niż gotówce w kieszeni, a ta noc pokazała tę różnicę lepiej niż jakikolwiek wykład.

Co to znaczy dla klientów Binance

Według samej giełdy Binance ma ponad 335 mln zarejestrowanych użytkowników. W noc włamania wstrzymała wpłaty i wypłaty, a do rana 30 października nie podała, kiedy wrócą. Współzałożycielka Binance Yi He obiecała, że giełda „pokryje wszystkie straty z włamania" z funduszu ubezpieczeniowego SAFU i własnych środków. Założyciel Changpeng Zhao śledził kradzież niemal jak widz. „To wygląda na włamanie do Binance", napisał na X, zaznaczając w tym samym wpisie, że już nie zarządza giełdą, ale oczekuje pełnego pokrycia środków użytkowników.

Od lutego 2026 roku fundusz SAFU jest przechowywany w bitcoinach, jest ich 15 000. Po cenie z 30 października to około 1,2 mld dolarów. Jeśli szacunek giełdy jest trafny, niezamrożona część straty, około 3,3 mld dolarów, jest prawie trzy razy większa. Większość dziury trzeba więc będzie załatać własnymi pieniędzmi giełdy. Sam fundusz, nawiasem mówiąc, trzyma mniej bitcoinów, niż zabrał atakujący.

Rynki zareagowały od razu, choć ciążyły im też słabe wyniki spółek technologicznych. Bitcoin spadł poniżej 77 000 dolarów, do najniższego poziomu od sześciu tygodni. BNB, własny token giełdy, stracił w ciągu doby ponad 8%.

Kto za tym stoi, nie wiadomo. Badacz blockchaina ZachXBT i firma Blockaid wskazali jako prawdopodobnego sprawcę Koreę Północną, ale nikt oficjalnie nie przypisał jej ataku. Kradzież z Bybit FBI przypisało Korei Północnej. Według Blockaid atakujący sfinansował pierwsze operacje przez Tornado Cash, mikser zacierający ślady przelewów. Binance obiecuje szczegółową analizę techniczną po sprawdzeniu faktów.

Przez lata społeczność krypto spierała się, czy pieniądze potrzebują przycisku stop. W jedną noc taki przycisk uratował około 3 mld dolarów. Spór pewnie się teraz przesunie: kto decyduje i według jakich zasad, kiedy go nacisnąć?