Binance prišla o 6 miliárd dolárov, takmer polovicu zachránilo tlačidlo na zmrazenie

Dňa 29. októbra 2026 o 20:20:59 UTC pristála v sieti Ethereum transakcia s poplatkom 14,46 dolára. Nepresunula žiadne peniaze, pole hodnoty ukazuje nulu. Útočník si schému ešte v ten deň vyskúšal na vlastných peňaženkách a presúval sumy od 2 do 6 dolárov. O tri a pol minúty neskôr opustilo horúcu peňaženku Binance, ktorú analytici poznajú ako Binance 14, 167 464 etherov a 1,6 miliardy dolárov v stablecoinoch USDT. Do rána burza vyčíslila škodu na približne 6,3 miliardy dolárov. Nezávislí analytici zatiaľ počítajú menej, od 5,3 do 5,9 miliardy. Predchádzajúci rekord, krádež z burzy Bybit vo februári 2025, mal okolo 1,5 miliardy dolárov.

Veľkosť však nie je to najpodivnejšie. Takmer polovicu koristi, asi 3 miliardy dolárov, sa podarilo zastaviť v priebehu hodín. Nezastavila ju polícia ani „samotný blockchain“, ale hŕstka firiem, ktoré majú tlačidlo na zmrazenie. Kryptomeny pritom vznikli presne preto, aby ho nemal nikto.

Plnomocenstvo za štrnásť dolárov

Burza drží peniaze klientov v dvoch druhoch peňaženiek. Studené sú odpojené od siete a držia hlavnú rezervu. Horúce sú stále online: prechádzajú nimi každodenné výbery, a preto v nich leží pracovný zostatok. Pri najväčšej burze sveta ide o miliardy.

Kľúčom k útoku bola funkcia EIP-7702. Na Ethereum sa dostala 7. mája 2025 s aktualizáciou Pectra. Zjednodušene ide o plnomocenstvo: bežná peňaženka splnomocní cudzí program, aby konal v jej mene. Vymysleli ju pre pohodlie, aby sa dalo viac krokov zbaliť do jedného kliknutia alebo aby poplatok mohol zaplatiť niekto iný. Takéto splnomocnenie môže podpísať len samotná peňaženka. Platí, kým ho majiteľ neodvolá.

Transakcia za 14,46 dolára bola presne takým splnomocnením. Niesla ich 50 a každé odovzdávalo Binance 14 programu typu „zametač“, ktorý útočník nasadil o štyri hodiny skôr. Zafungovalo jedno z päťdesiatich. Predstavte si šekovú knižku, v ktorej splnomocnenie platí iba pre šek s jedným konkrétnym číslom. Horúca peňaženka také „šeky“ vypisuje neustále, takže ďalšie číslo sa len ťažko hádá. Päťdesiat podpisov za sebou vyzerá ako spôsob, ako zaručiť, že jeden zaberie.

Zametač vyprázdnil Binance 14 jedinou operáciou a nechal v nej 1 ether. Počas ďalších 12 minút tiekli peniaze na tú istú adresu z desiatich ďalších horúcich peňaženiek burzy v štyroch sieťach. Takto útok zrekonštruovala firma Blockaid, ktorá sa venuje bezpečnosti blockchainu.

Ako útočník získal podpis peňaženky, nie je stále jasné. Podľa predbežnej správy Binance všetko začalo napadnutým notebookom DevOps inžiniera, teda zamestnanca, ktorý spravuje servery a nasadzovanie softvéru. Cez ten notebook sa votrelec dostal k servisnému kontajneru a odtiaľ posielal neoprávnené výbery. Burza tvrdí, že nenašla dôkaz o úniku súkromného kľúča žiadnej peňaženky. Ak to platí, zlodej nikdy nepotreboval kľúč ukradnúť. Podpis splnomocnenia za neho dal vlastný systém burzy.

Tlačidlo, ktoré bitcoin nemá

USDT a USDC sa nazývajú stablecoiny. Sú to digitálne doláre od dvoch súkromných firiem, Tether a Circle, a každá sľubuje vymeniť svoj token za dolár. Jedna ich vlastnosť sa spomína zriedka: emitent môže zablokovať ľubovoľnú adresu v sieti. V podmienkach USDC si Circle výslovne vyhradzuje právo blokovať prevody na adresu aj z nej. Rovnakú schopnosť má Tether.

Tej noci ju použili. Generálny riaditeľ Tetheru Paolo Ardoino napísal, že firma zmrazila vyše 1,567 miliardy USDT. Šéf Circle Jeremy Allaire uviedol, že vyše 800 miliónov USDC sa zablokovalo v spolupráci s orgánmi činnými v trestnom konaní. Ripple zastavil asi 200 miliónov dolárov svojho stablecoinu, World Liberty Financial asi 27 miliónov. Dokonca aj Arbitrum, sieť, ktorú zvyčajne označujú za decentralizovanú, zmrazil 74,56 milióna tokenov ARB rozhodnutím svojej bezpečnostnej rady.

Etherom a bitcoinom sa darilo horšie, pre ne neexistuje ani emitent, ani tlačidlo. Analytická firma Glassnode medzi ukradnutými aktívami napočítala 17 985 bitcoinov, asi 1,45 miliardy dolárov. Aj ether z prvého zametania zostal útočníkovi. Prevod podpísaný správnym kľúčom nedokáže zvrátiť nikto na svete. Pre zlodeja je to najlepšia vlastnosť bitcoinu. Ako sa útočník dostal k samostatným bitcoinovým peňaženkám burzy, Binance zatiaľ nezverejnil. Vysvetľovala by to teória servisného kontajnera, v ktorej výbery podpisoval sám systém.

Záchranca s právom veta

Je to vlastne absurdné. Najväčšiu krádež v dejinách kryptomien takmer z polovice zastavili nástroje, ktoré by „skutočná“ kryptomena mať nemala. Bitcoin sa zachoval presne tak, ako zamýšľal jeho tvorca: podpísaný prevod je konečný. Digitálne doláre sa správali ako banka.

Tlačidlo, ktoré zlodejovi vzalo miliardu a pol, funguje proti komukoľvek. Stláča ho firma, nie súd. Trvá to minúty. Kto drží USDT, nevlastní dolár na účte, ale sľub Tetheru vymeniť token, a ten sľub má háčik. Mnohým príde takýto obchod rozumný: aj banky blokujú podozrivé prevody. Stablecoin je však bližšie k bankovému účtu než k hotovosti vo vrecku a táto noc to ukázala lepšie než ktorákoľvek prednáška.

Čo to znamená pre klientov Binance

Podľa samotnej burzy má Binance viac ako 335 miliónov registrovaných používateľov. V noci po útoku zastavila vklady aj výbery a ráno 30. októbra neoznámila, kedy sa obnovia. Spoluzakladateľka Binance Yi He sľúbila, že burza „pokryje všetky straty z hacku“ z poistného fondu SAFU a z vlastných peňazí. Zakladateľ Changpeng Zhao sledoval krádež takmer ako divák. „Vyzerá to ako hack na Binance,“ napísal na X a v tom istom príspevku dodal, že burzu už neriadi, ale očakáva, že prostriedky používateľov budú plne kryté.

Fond SAFU sa od februára 2026 drží v bitcoinoch, je ich 15 000. Pri cene z 30. októbra je to zhruba 1,2 miliardy dolárov. Ak je odhad burzy správny, nezmrazená časť straty, asi 3,3 miliardy, je takmer trikrát väčšia. Väčšinu diery teda bude musieť burza zaplátať vlastnými peniazmi. Samotný fond mimochodom drží menej bitcoinov, než ich útočník odniesol.

Trhy zareagovali okamžite, hoci ich ťažili aj slabé výsledky technologických firiem. Bitcoin klesol pod 77 000 dolárov, na šesťtýždňové minimum. BNB, token samotnej burzy, stratil za deň viac ako 8 %.

Kto za tým stojí, nie je známe. Blockchainový vyšetrovateľ ZachXBT a firma Blockaid označili za pravdepodobného páchateľa Severnú Kóreu, no oficiálne útok zatiaľ nikto nepripísal. Krádež Bybitu FBI Severnej Kórei pripísala. Podľa Blockaid financoval útočník prvé operácie cez Tornado Cash, miešač, ktorý zahmlieva stopu prevodov. Binance sľubuje podrobnú technickú analýzu, keď budú fakty overené.

Roky sa krypto komunita háda, či peniaze potrebujú núdzové tlačidlo. Za jednu noc jedno zachránilo asi 3 miliardy dolárov. Spor sa teraz pravdepodobne posunie inam: kto rozhoduje o tom, kedy ho stlačiť, a podľa akých pravidiel?