Atak na Binance: fałszywa rekrutacja, 6,3 mld USD i co zrobiło Aave

Co się stało 29 października[11][9][10][8]

Binance to giełda scentralizowana (CEX): przechowuje środki klientów za nich. Taka giełda trzyma większość środków w zimnych portfelach, odciętych od internetu, a część w gorących portfelach (hot wallet), z których na bieżąco obsługuje wypłaty. Wieczorem 29 października 2026 to właśnie gorące portfele Binance zaczęły wysyłać ogromne kwoty na adres hakera.

Według TRM Labs odpływy ruszyły o 20:05 UTC, a większość środków przeszła w około 20 minut przez dziesięć sieci, m.in. Ethereum, Bitcoin, Tron, Solanę i XRP Ledger. Według LlamaRisk o 20:24 UTC jedna transakcja na Ethereum przeniosła 167 464 ETH i 63 inne tokeny. Druga fala uderzyła w portfele na Avalanche i Polygon około 23:05 UTC, czyli prawie trzy godziny później.

Binance szacuje łączne straty na około 6,3 mld USD, TRM Labs na 6,36 mld USD, a Chainalysis na 5,912 mld USD według cen z chwili kradzieży. Poprzedni rekord należał do Bybit: 1,5 mld USD w 2025 roku. Współprezes Binance Richard Teng mówi, że okradziony gorący portfel trzymał środki samej giełdy, a większość aktywów klientów leży w zimnych portfelach.

Jak haker się dostał: od fałszywej rekrutacji do podpisu[1][2]

3 listopada Binance opublikowało wstępny raport. Nazywa atak wieloetapową kampanią i opisuje go krok po kroku. Poniższy przebieg pochodzi z tego raportu, w relacji The Register i The Hacker News.

Czerwiec 2026: inżynier z zespołu Wallet DevOps szukał popularnego narzędzia AI i zainstalował podrobioną wersję Homebrew, programu do instalowania narzędzi deweloperskich. Ochrona Binance wykryła malware, komputer wymieniono, a hasła zmieniono. Według Binance hakerzy dowiedzieli się jednak, kto pracuje przy infrastrukturze portfeli.

Wrzesień 2026: innego inżyniera zaczepił na legalnym portalu z ofertami pracy ktoś podający się za Project Directora. Pierwsza rozmowa była na wideo z fałszywą osobą z HR, która dla uwiarygodnienia pokazała konto w social mediach ze zdjęciami i filmami. Drugą prowadził rzekomy CEO nieistniejącej firmy na popularnym komunikatorze. Na koniec inżynier dostał do pobrania zadanie rekrutacyjne: repozytorium kodu, które zainfekowało jego służbowy komputer już przy instalacji. Malware podmienił element narzędzia deweloperskiego (pyenv z Homebrew), łączył się z serwerem hakerów i zacierał ślady. Zabezpieczenia Binance od razu go nie wykryły.

20 października: z zainfekowanego komputera hakerzy nadużyli wewnętrznego narzędzia AI Binance i przejęli komputery dwóch kolejnych osób, inżyniera Wallet DevOps i programisty od portfeli. Jak dokładnie, raport nie podaje. Na komputerze inżyniera DevOps leżał token z uprawnieniem do wdrażania kontenerów.

29 października, między 17:15 a 19:56 UTC: haker zalogował się na komputer programisty, użył skradzionego tokenu, wdrożył kontener i uruchomił skrypt. Ten dobrał się do wewnętrznej usługi podpisującej transakcje portfeli i zlecał przelewy z pominięciem normalnego procesu wypłat. Nikt nie ukradł klucza prywatnego. Haker sprawił, że system Binance sam podpisywał jego zlecenia.

Jak opróżnił portfel na Ethereum: EIP-7702[3]

Na Ethereum haker użył EIP-7702. To funkcja, w której zwykły portfel jednym podpisem pozwala wykonywać na sobie kod wybranego kontraktu. Według Protos o 20:20:59 UTC haker wysłał jedną transakcję z 50 autoryzacjami podpisanymi kluczem gorącego portfela Binance 14, każdą z innym numerem nonce, bo licznik portfela ciągle rósł od wypłat klientów. Sieć przyjęła tę jedną, która pasowała.

Od tej chwili Binance 14 wykonywał kod sweepera hakera, czyli kontraktu, który wysysa wszystko z portfela. Od 20:24:23 UTC wyszło z niego 167 464 ETH i 1,62 mld USDT, a osobną funkcją 823 mln USDC przez inny portfel Binance. Z portfela Binance 16 i z innych sieci haker wyprowadził środki zwykłymi podpisanymi przelewami. Binance cofnęło delegację z portfela Binance 14 dopiero 30 października o 00:10:35 UTC.

Kto za tym stoi[4][11][2]

Już 30 października TRM Labs i Chainalysis przypisały atak północnokoreańskiej grupie TraderTraitor, części tzw. Lazarus Group. 31 października FBI wydało komunikat, w którym też wskazuje Koreę Północną i operację TraderTraitor. FBI opublikowało adresy portfeli hakera i zaapelowało do giełd i firm analitycznych, żeby blokowały powiązane z nimi transakcje.

Według FBI hakerzy zamieniają skradzione środki głównie na ETH i mogą je dalej przepuszczać przez DeFi i serwisy do szybkiej wymiany. Tej samej grupie FBI przypisało kradzież z Bybit w 2025 roku. Binance podaje, że od początku roku udaremniło 57 prób ataku powiązanych z Koreą Północną.

Zamrożenia: co dało się zatrzymać[11][10][5][8]

Stablecoiny takie jak USDT czy USDC mają wydawcę, który może zablokować tokeny na konkretnym adresie. Tether zamroził 971,1 mln USDT o 21:01 UTC, a Circle 823 mln USDC trzy minuty później. Później szef Tethera Paolo Ardoino mówił już o ponad 1,567 mld USDT.

Swoje części zablokowali też Ripple (RLUSD), World Liberty Financial (27 mln USD w USD1 i 2 mln USD w WLFI), First Digital (FDUSD), USDT0 oraz Security Council sieci Arbitrum, który przeniósł 30,5 mln USD w ARB i ETH na zamrożony adres. Według CoinDesk unieruchomione jest około 3 mld USD, głównie w USDT i USDC. Zamrożone tokeny nadal leżą na adresach hakera, tylko nie da się ich przelać.

ETH i BTC nie mają wydawcy, więc nikt ich nie zamrozi. Według TRM haker wciąż ma ponad 420 000 ETH i 18 270 BTC, czyli około 2,4 mld USD. Dlatego w pierwszych minutach sprzedał około 325 mln USDT na ETH, godząc się na ponad 10% straty na kursie.

Po co haker poszedł na Aave[9][11]

Aave to protokół pożyczkowy: wpłacasz jeden token jako zabezpieczenie (collateral) i pożyczasz pod niego inny. Między 20:58 a 21:01 UTC jeden z portfeli hakera wpłacił 60 mln USDT na Aave V3 na Ethereum i pożyczył 19 762 WETH, wartych wtedy około 44,6 mln USD.

Cel był prosty: zamienić tokeny, które wydawca może zamrozić, na ETH, którego nikt nie zamrozi, i to szybciej, niż zdąży zareagować Tether. Haker nie zamierzał spłacać pożyczki. Zostawił na Aave USDT i odszedł z ETH.

Według LlamaRisk to była jedyna pozycja hakera na Aave i po 21:01 UTC żaden jego portfel już z Aave nie korzystał. Pozycja ma 59,9 mln USD zabezpieczenia przy 43,8 mln USD długu, więc jest nadmiarowo zabezpieczona i nie zagraża osobom, które wpłaciły środki na Aave.

Jak zareagowało Aave i co z 14 mln USD[9][7][12][13]

W ciągu 10 minut od pierwszych doniesień Aave Labs, TokenLogic i Certora zebrali się w jednym zespole kryzysowym. Między 21:42 a 23:04 UTC multisigi Guardian zamroziły 175 rynków Aave V3 w 16 sieciach i 117 rynków Aave V4 w czterech. Zamrożony rynek nie przyjmuje nowych wpłat ani pożyczek, ale nadal można spłacać, wypłacać i likwidować pozycje. Celem było odcięcie hakera od kolejnych pożyczek.

30 października Aave odmroziło wszystkie rynki V3 i V4. Dziewięć aktywów, w tym USDT i USDC, ma tymczasowo LTV równe 0, więc nie da się pod nie wziąć nowej pożyczki: USDT, USDC, USDT0, POL, WAVAX, sAVAX, XAUT, PAXG i OP. Aave podaje, że jego kontrakty nie zostały naruszone, a wszystkie pozycje są w pełni zabezpieczone.

Odzyskanie środków to na razie zapowiedź. Według Yi He, współzałożycielki Binance, zabezpieczenie na Aave nie jest objęte pełnym zamrożeniem, a haker pożyczył pod nie tylko około 46 mln USD w ETH. Po odblokowaniu tych środków przez organy ścigania można odzyskać dodatkowe 14 mln USD. Do 4 listopada nie znaleźliśmy doniesień, że coś z tego odzyskano.

Co to znaczy dla klientów Binance[5][6][8][1]

Binance zapowiada, że pokryje wszystkie straty z własnych środków, w tym z funduszu SAFU (Secure Asset Fund for Users), i nie przerzuci ich na klientów. Zarezerwowało na to ponad 6,34 mld USD. Do 1 listopada uzupełniło około 95% skradzionych aktywów. Brakujące 5% to mniej płynne tokeny spoza pierwszej dziesiątki, które trudniej szybko odkupić. Binance obiecuje też odbudować SAFU do około 1 mld USD.

Wypłaty wracają etapami. 1 listopada od 06:00 UTC ruszyły BTC, ETH, USDT, USDC, BNB i XRP, a 3 listopada od 04:00 UTC kolejne 51 tokenów na Ethereum i Solanie. Na wznowienie czekają jeszcze m.in. BNB Smart Chain, XRP Ledger, Sui, Arbitrum, Optimism, Tron i Base. Binance.US to osobna firma i nie zostało dotknięte.

Po ataku Binance przebudowało system portfeli i wewnętrzne narzędzie AI w nowym środowisku, wymieniło zainfekowane urządzenia, unieważniło tokeny i hasła tych inżynierów i przeskanowało komputery wszystkich pracowników. Zapowiada nowy Proof of Reserves obejmujący więcej aktywów.

• Ignoruj wiadomości o zwrotach, rekompensatach i airdropach po ataku. Binance ogłasza takie rzeczy tylko na swoich oficjalnych kanałach
• Nie podawaj nikomu seed phrase ani kodów 2FA, nawet osobie, która podaje się za support
• Trzymaj na giełdzie tylko to, czym handlujesz. Resztę przenieś do self-custody, najlepiej na portfel sprzętowy
• Rozkładaj środki między kilka miejsc, żeby przerwa na jednej giełdzie nie blokowała wszystkiego

Lekcja dla każdego: fałszywa rekrutacja[1][2]

Ta sama sztuczka działa na zwykłych ludzi z krypto, nie tylko na inżynierów giełd. Ktoś proponuje pracę, rozmowy wyglądają profesjonalnie, a na koniec prosi o pobranie i uruchomienie kodu, aplikacji do spotkań albo pliku z zadaniem. Jeśli na tym komputerze masz portfel albo zalogowaną giełdę, możesz stracić wszystko.

• Nie uruchamiaj kodu ani programów od rekruterów na komputerze, na którym masz portfel, giełdę albo pracę
• Zadanie rekrutacyjne otwieraj tylko w osobnym środowisku, na przykład na maszynie wirtualnej albo osobnym komputerze
• Sprawdź firmę niezależnie: stronę, rejestr firm, ludzi na LinkedIn. Konto w social mediach z prywatnymi zdjęciami niczego nie dowodzi
• Uważaj, gdy rozmowa przenosi się z portalu z ofertami na komunikator i nagle robi się pośpiech
• Instaluj narzędzia tylko z oficjalnych stron, nie z linków z wyszukiwarki ani reklam