Włamanie na Binance: jak zniknęło 6,3 mld USD i kto za tym stoi

Włamanie na Binance z 29 października 2026 r. to największa kradzież w historii kryptowalut: według giełdy hakerzy wyprowadzili z jej gorących portfeli ok. 6,3 mld USD, ponad cztery razy więcej niż przy ataku na Bybit w 2025 r. FBI przypisało kradzież północnokoreańskiej grupie TraderTraitor. Zamrożono lub przejęto 2,85–3 mld USD, głównie w stablecoinach, a Binance obiecuje pokryć całą stratę z własnych pieniędzy i od 1 listopada etapami przywraca wypłaty.

Czwartek, 21:05 czasu polskiego

O 20:05 UTC, czyli o 21:05 w Polsce, pięć portfeli Binance w sieci XRP Ledger zaczęło wysyłać tokeny pod jeden adres. W cztery minuty wyszło z nich 233,46 mln XRP. Według TRM Labs każdy portfel został z minimalnym saldem, którego sieć nie pozwala wydać.

Chwilę po 20:10 UTC ruszyły portfele giełdy w Solanie i Optimism. O 20:20 UTC (21:20 w Polsce) gorący portfel bitcoinowy Binance wysłał 18 270 BTC, warte ok. 1,47 mld USD. Napastnik jeszcze w tym samym bloku zaczął dzielić je na porcje po 1000 i 100 BTC. W ciągu dwóch kolejnych minut portfel giełdy w sieci Tron oddał 612,7 mln USDT i 46,4 mln TRX.

W tej samej minucie do sieci Ethereum trafiła transakcja, którą później opisały wszystkie firmy analityczne. Niosła 50 autoryzacji podpisanych kluczem gorącego portfela, który Etherscan oznacza jako „Binance 14”. Każda wskazywała ten sam niewielki program na blockchainie, kontrolowany przez napastnika.

O 20:24 UTC (21:24 w Polsce), 3 minuty i 24 sekundy później, Binance 14 został opróżniony: 167 464 ETH i 63 rodzaje tokenów, w tym 1,615 mld USDT. Elliptic wycenia tę jedną transakcję na ok. 2,53 mld USD. Według portalu Odaily 24 sekundy później drugi portfel, „Binance 16”, wysłał pod ten sam adres ok. 28 tys. ETH. O 20:41 i 20:59 UTC doszły dwa przelewy na łącznie 823 mln USDC z osobnego konta giełdy, nad którym Binance 14 miał uprawnienia.

Pierwsza przeciwakcja przyszła 37 minut po głównym przelewie. O 21:01 UTC (22:01 w Polsce) Tether zamroził 971,1 mln USDT w głównym portfelu odbiorczym napastnika, a o 21:04 UTC Circle zablokował 823 mln USDC. Szef Circle Jeremy Allaire napisał na X, że firma działała w koordynacji z organami ścigania.

Binance odezwał się mniej więcej w tym samym czasie (zestawienia podają godziny od 21:15 do 21:29 UTC). Krótki wpis mówił o „potencjalnym problemie z bezpieczeństwem” i o tym, że giełda nie potwierdziła wpływu na środki użytkowników. Współzałożyciel giełdy Changpeng Zhao był bardziej bezpośredni: napisał na X, jak cytuje NPR, że „wygląda to na hack na Binance”.

To nie był koniec. Około 23:00 UTC przyszła druga fala, tym razem w sieciach Avalanche i Polygon. Ostatni transfer nowych wpłat z Binance 14 do napastnika Elliptic odnotował o 23:56 UTC – w Polsce było już 0:56 w piątek. Większość pieniędzy wyszła jednak w pierwszych ok. 20 minutach. Na pytanie, jak to było możliwe, odpowiedzi szukają dziś FBI, firmy analityczne i sam Binance.

W skrócie

Skala. Binance szacuje stratę na ok. 6,3 mld USD. TRM Labs liczy 6,36 mld USD w 10 sieciach, Elliptic 6,43 mld USD w 11, Chainalysis ok. 6,4 mld USD. To ponad cztery razy więcej niż przy ataku na Bybit (ok. 1,5 mld USD w lutym 2025 r.).
Mechanizm. Według wstępnych ustaleń Binance wejściem mógł być przejęty laptop inżyniera DevOps, a potem znaleziono „dodatkowe punkty naruszenia”. Giełda twierdzi, że nie ma dowodów wycieku kluczy prywatnych. Analitycy oceniają, że napastnik zmusił system podpisujący giełdy do podpisania jego transakcji.
Sprawca. FBI 31 października wskazało Koreę Północną i grupę TraderTraitor. Wcześniej to samo oceniły TRM Labs, Chainalysis i Elliptic.
Pieniądze. Zamrożono 2,85 mld USD według Elliptic, ok. 3 mld USD według Binance, w 94% w stablecoinach (według Elliptic). Ok. 3,25 mld USD, głównie w ETH, BTC i XRP na ponad 800 adresach, jest poza zasięgiem emitentów (Elliptic).
Reakcja Binance. Giełda zarezerwowała ponad 6,34 mld USD własnych środków, 1 listopada podała, że uzupełniła ok. 95% skradzionych aktywów, i od 06:00 UTC tego dnia etapami przywraca wypłaty. Pełny dowód rezerw zapowiada teraz na wtorek 3 listopada, dzień później, niż obiecywał.
Co to znaczy dla Ciebie. Klienci z Polski od 1 lipca 2026 r. mogą na Binance głównie zamykać pozycje i wypłacać środki, bo giełda nie ma zezwolenia MiCA. Na pytanie, czy Binance jest bezpieczny, nie ma prostej odpowiedzi: obietnica pokrycia strat to deklaracja firmy, nie gwarancja prawna. Saldo sprawdzaj tylko w oficjalnej aplikacji, zrób zrzuty historii i nie odpowiadaj na wiadomości o „zwrocie środków po hacku”.

Oś czasu: od Tornado Cash do wznowienia wypłat

Czas polski (PL) to UTC+1: od 25 października obowiązuje czas zimowy. Godziny bez dopisku dotyczą UTC.

Data i godzina (UTC / PL)	Zdarzenie	Źródło
28.10, rano	Portfel operacyjny napastnika dostaje trzy małe wypłaty z miksera Tornado Cash (po 0,1 ETH)	TRM Labs, Elliptic
29.10, wczesne godziny	Pierwsza wersja kodu ataku zostaje wdrożona i przetestowana na dwóch portfelach	TRM Labs
29.10, 15:59 / 16:59	Wdrożenie kontraktu typu „sweeper”	Elliptic
29.10, ok. 4 godz. przed atakiem	Próba generalna na trzecim portfelu, środki testowe wracają do operatora	TRM Labs, Elliptic
29.10, 20:05–20:09 / 21:05–21:09	Pięć portfeli Binance w XRP Ledger wysyła 233,46 mln XRP; chwilę później wypływy w Solanie i Optimism	TRM Labs
29.10, 20:20 / 21:20	18 270 BTC z gorącego portfela bitcoinowego; transakcja z 50 autoryzacjami EIP-7702 dla Binance 14; do ok. 20:22 Tron oddaje 612,7 mln USDT i 46,4 mln TRX	TRM Labs, Elliptic
29.10, 20:24 / 21:24	Binance 14 opróżniony: 167 464 ETH i 63 tokeny, w tym 1,615 mld USDT	TRM Labs, Decrypt
29.10, 20:41 i 20:59 / 21:41 i 21:59	Dwa przelewy na łącznie 823 mln USDC z osobnego konta Binance	TRM Labs, Odaily
29.10, 21:01 / 22:01	Tether zamraża 971,1 mln USDT w głównym portfelu napastnika	TRM Labs
29.10, 21:04 / 22:04	Circle zamraża 823 mln USDC	TRM Labs, Decrypt
29.10, 21:15–21:29 / 22:15–22:29	Pierwszy komunikat Binance o „potencjalnym problemie z bezpieczeństwem”	Crypto Times; chronologia Range za OERLive
29.10, 22:01 / 23:01	Ripple zamraża portfel z RLUSD (40,5 mln)	TRM Labs
29.10, ok. 23:00 / ok. 0:00	Druga fala: portfele w Avalanche i Polygon	TRM Labs, Elliptic
29.10, 23:56 / 0:56 (30.10)	Ostatnie przekierowanie nowych wpłat z Binance 14 do napastnika	Elliptic
30.10, 00:08 / 01:08	Rada Bezpieczeństwa Arbitrum przenosi z portfela napastnika 8426 ETH i 74,6 mln ARB	TRM Labs
30.10, 02:23 / 03:23	Binance: strata ok. 6,3 mld USD, ok. 3 mld USD zamrożone, wstępnie: prawdopodobnie przejęty laptop inżyniera DevOps	TokenPost, Yahoo Finance
30.10, 04:30 / 05:30	Chainalysis wskazuje TraderTraitor	Chainalysis
30.10	Binance: „dodatkowe punkty naruszenia”; wpłaty działają, wypłaty wstrzymane; aktualizacja nr 2 z rezerwą ponad 6,34 mld USD	Decrypt, Binance (X), crypto.news
31.10	Aktualizacja nr 3: uzupełniono 90% aktywów (wcześniej 80%); migawka dowodu rezerw z północy UTC	CoinDesk
31.10, ok. 22:37 / ok. 23:37	FBI: za kradzieżą stoi Korea Północna (TraderTraitor); 628 adresów do blokowania	FBI za CoinDesk, Hackread, Securities.io
1.11, rano	Aktualizacja nr 4: uzupełniono ok. 95%, 15 sieci w pierwszej fazie wypłat	Crypto Times
1.11, 06:00 / 07:00	Start wypłat, najpierw sieć Bitcoin	Elliptic, crypto.news
1.11, 12:36 / 13:36	Wypłaty działają we wszystkich 15 sieciach pierwszej fazy	Binance za Bitcoin.com, The Block
1.11, 06:00–15:30 / 07:00–16:30	4,65 mld USD wypłat, 1,01 mld USD wpłat, odpływ netto ok. 3,64 mld USD	Binance za The Block
1.11, 08:00 / 09:00	Elliptic: część łupu z Binance jest prana razem ze środkami z ataku na Bitget; ok. 3,25 mld USD poza zasięgiem emitentów na ponad 800 adresach	Elliptic
2.11	Binance przesuwa pełny dowód rezerw na „wtorek 3.11 (UTC)”, bo jego obliczenie trwa 40–50 godzin; uzupełnienie strat nadal ok. 95%	Binance za Bitcoin.com, Brad Feld, Help Net Security
2.11	Wypłaty w kolejnych walutach tradycyjnych, m.in. w dolarach amerykańskich; łącznie 28 walut, w tym euro	Binance za Help Net Security
3.11 (zapowiedź)	Pełny dowód rezerw oparty na dowodach z wiedzą zerową	Binance za Bitcoin.com

Anatomia ataku: jak przebiegło włamanie na Binance

Gorący portfel, zimny portfel i maszyna do podpisów

Giełda trzyma kryptowaluty klientów w dwóch rodzajach portfeli. Zimny portfel jest odcięty od internetu i służy do długiego przechowywania. Gorący portfel jest podłączony do sieci, bo z niego idą bieżące wypłaty. Dlatego trzyma się w nim tylko część zapasów. Przy włamaniu z 2019 r. gorący portfel Binance miał ok. 2% bitcoinów giełdy. Tym razem skradziona kwota to ok. 3,7% z 171 mld USD aktywów, które Binance wykazywał w dowodzie rezerw z 28 października (wyliczenie redakcji na podstawie danych giełdy podanych przez The Block).

Przy takiej liczbie wypłat nikt nie podpisuje ich ręcznie. Robi to system podpisywania transakcji: oprogramowanie, które przyjmuje zlecenie, sprawdza je i składa podpis kluczem prywatnym portfela. W typowych rozwiązaniach klucz nigdy nie opuszcza zabezpieczonego modułu. Moduł podpisze jednak to, o co poprosi system, któremu ufa. Binance nie opisał publicznie budowy swojej infrastruktury.

Laptop, kontener i „dodatkowe punkty naruszenia”

Pierwsza wersja Binance, ogłoszona w nocy z czwartku na piątek, była prosta. Według wstępnych ustaleń giełdy prawdopodobnie przejęty laptop inżyniera DevOps, czyli osoby utrzymującej infrastrukturę serwerową, mógł dać napastnikowi dostęp do kontenera usługi (wydzielonego środowiska, w którym na serwerze działa konkretny program), skąd zlecono nieautoryzowane wypłaty. Giełda podkreśliła, że nie ma dowodów na wyciek kluczy prywatnych.

W piątek Binance poszedł dalej. Napisał, że dochodzenie wykryło „dodatkowe punkty naruszenia”, i nie wyjaśnił, gdzie. Współ-CEO Richard Teng zaznaczył, że nie było to działanie „jednym kliknięciem” ani wina uprawnień jednego pracownika, a dochodzenie nie przypisało odpowiedzialności żadnej osobie. Według NBC News Teng opisał też złośliwe oprogramowanie, które miało kasować ślady swojej działalności. Elliptic, powołując się na giełdę, pisze o mechanizmie samozniszczenia narzędzi napastnika.

Kradzież kluczy czy podpis na zlecenie

To rozróżnienie jest sednem sprawy. Kto ukradnie klucz prywatny, może podpisać dowolny przelew z własnego komputera, kiedy chce. Kto przejmie system podpisujący, używa maszyny giełdy, która sama składa podpisy pod jego zleceniami. To różnica między kradzieżą pieczątki a przekonaniem urzędnika, by sam przybił ją na podsuniętym dokumencie.

Analitycy wskazują na drugi scenariusz. TRM Labs zauważa, że w ciągu pół godziny płynęły zwykłe, poprawnie podpisane przelewy w sieciach o różnych typach kluczy i schematach podpisów. Najbardziej prawdopodobne wyjaśnienie to według firmy dostęp do systemu, który podpisywał transakcje wybrane przez napastnika. Elliptic dodaje, że drugi gorący portfel (Binance 16) wysłał napastnikowi aktywa warte ok. 174 mln USD, podpisane własnym kluczem. Podobnie oceniał to w pierwszych godzinach Ido Ben-Natan z firmy Blockaid: jego zdaniem przejęto infrastrukturę podpisów, a klucz nie wyciekł. Pełnej przyczyny Binance nie podał.

Pięćdziesiąt czeków z kolejnymi numerami

Najciekawszy fragment rozegrał się w sieci Ethereum. Każde konto ma tam licznik wysłanych transakcji, zwany nonce. Licznik startuje od zera, więc transakcja z numerem 100 zadziała tylko wtedy, gdy konto wysłało już dokładnie 100 poprzednich, o numerach od 0 do 99.

Od aktualizacji Pectra z maja 2025 r. w Ethereum działa EIP-7702, czyli mechanizm delegowania kodu dla zwykłych kont (ang. Set Code for EOAs). Zwykły portfel może podpisać autoryzację, po której zaczyna wykonywać kod wskazanego kontraktu. Delegacja trwa, dopóki portfel nie podpisze nowej. Autoryzację może wysłać do sieci ktokolwiek, ale zadziała ona tylko przy numerze nonce zgodnym z bieżącym licznikiem konta. Specyfikacja to potwierdza. To nie jest protokół multisig ani błąd w Ethereum, tylko funkcja, która w złych rękach daje pełną kontrolę nad portfelem.

Gorący portfel giełdy bez przerwy obsługuje wypłaty, więc jego licznik stale rośnie. Analitycy, m.in. z TRM Labs i The Block, tłumaczą tym, że napastnik miał 50 autoryzacji podpisanych dla kolejnych wartości nonce: nie wiedział, jaki numer będzie aktualny w chwili ataku. To jak 50 podpisanych czeków z kolejnymi numerami: bank przyjmie tylko te, których numer zgadza się z licznikiem w książeczce. Wystarczyło, by pasował jeden, i co najmniej jeden pasował. TRM dopuszcza też inne wyjaśnienie liczby autoryzacji: napastnik mógł mieć ograniczony w czasie dostęp do systemu podpisów.

Od tej chwili Binance 14 wykonywał kod napastnika, a sam portfel stał się sweeperem, czyli „zamiataczem”. Kontrakt przyjmował polecenia tylko od operatora i opróżniał portfel, a potem zgarniał także kolejne wpłaty. Przez uprawnienia właściciela, jakie Binance 14 miał nad innym kontem giełdy, napastnik wyciągnął też 823 mln USDC. Simone Imbrescia z firmy Immunefi zauważyła w rozmowie z The Block, że sam sweeper miał ok. 130 linii kodu. Trudne było zdobycie dostępu do infrastruktury autoryzacji, nie napisanie programu.

Czego jeszcze nie wiadomo

Gdzie są „dodatkowe punkty naruszenia” i ile ich było.
Jak napastnik nakłonił system giełdy do podpisania 50 autoryzacji EIP-7702 – Decrypt zaznacza, że to nieznane.
Czy klucze prywatne rzeczywiście nie wyciekły. Tak twierdzi Binance i tak oceniają analitycy, ale pełnego potwierdzenia nie ma.
Czy delegacja na gorącym portfelu uruchomiła alarm i dlaczego w ciągu 3 minut i 24 sekund nie udało się zatrzymać opróżnienia portfela. Według chronologii firmy Range, cytowanej przez OERLive, delegację cofnięto dopiero 30 października o 00:10 UTC.
Czy zaplanowane na 28 października prace przy portfelach Ethereum, o których pisał Odaily, mają związek z atakiem. Na razie nie ma na to dowodów.

Binance zapowiedział szczegółowy raport techniczny po zakończeniu dochodzenia, bez daty.

Dla technicznych

EIP-7702 (status Final). Transakcja typu 0x04 (SET_CODE_TX_TYPE) niesie listę autoryzacji [chain_id, address, nonce, y_parity, r, s]. Autoryzacja jest ważna tylko, gdy nonce równa się bieżącemu nonce konta. Po jej zastosowaniu nonce rośnie o 1, a kod konta zmienia się na 0xef0100 || address. Delegacja trwa do kolejnej autoryzacji; usuwa ją delegacja na adres zerowy. chain_id = 0 oznacza ważność we wszystkich sieciach. Specyfikacja zastrzega, że nie ma bezpiecznego sposobu na interfejs, w którym użytkownik podpisuje dowolne autoryzacje.

Atak. Jedna transakcja o 20:20 UTC z 50 autoryzacjami dla kolejnych nonce Binance 14, wszystkie wskazujące sweeper (TRM Labs, Elliptic). Główny sweep o 20:24 UTC: 0x53bd38b816c23e74134786c29a8c18d792777998a3b9326047b583100e88e2f3 (hash za Decrypt). Gorący portfel BTC, z którego wyszło 18 270 BTC: bc1qm34lsc65zpw79lxes69zkqmk6ee3ewf0j77s3h (za Bitcoin.com).

Adresy napastnika. FBI opublikowało 628 adresów: 608 w Ethereum, 19 w Bitcoinie i 1 w Solanie. Elliptic udostępnił bezpłatnie listę ponad 1000 adresów w formacie CSV.

Zalecenia TRM Labs. Alarm przy każdej delegacji EIP-7702 na portfelach skarbcowych. Odrzucanie nieoczekiwanych autoryzacji. Traktowanie prośby o wiele autoryzacji dla zakresu nonce jako oznaki włamania. Rozdzielenie infrastruktury podpisów według sieci i poziomu portfela.

Raporty: TRM Labs, Elliptic, Chainalysis, specyfikacja EIP-7702.

Kto za tym stoi: TraderTraitor i ślad do Pjongjangu

Trzy poziomy pewności

W sprawie sprawcy trzeba rozróżnić trzy rzeczy. Pierwsza to ocena prywatnych firm analitycznych. Druga to oficjalna atrybucja rządu USA. Trzecia byłaby wyrokiem sądu, a tego nie ma: nikt nie został oskarżony, FBI nie podało też żadnych nazwisk.

Pierwsze były firmy. TRM Labs już późnym wieczorem 29 października przypisał atak grupie TraderTraitor „z wysoką pewnością”, na podstawie danych on-chain i spoza blockchaina. Wskazał znajome elementy: zasilenie portfela operacyjnego drobnymi kwotami z Tornado Cash (miksera, który zaciera pochodzenie kryptowalut), przygotowania na długo przed kradzieżą, podpisy zdobyte z wyprzedzeniem i użyte w jednej serii. Podobny schemat firma widziała przy kwietniowym ataku na KelpDAO.

Chainalysis ocenił, że sprawcą jest „prawdopodobnie” TraderTraitor, i ogłosił to 30 października o 4:30 UTC. Najmocniejszym dowodem okazało się dla firmy to, że środki z Binance zmieszały się w blockchainie z pieniędzmi skradzionymi 24 września z giełdy Bitget. Tamto włamanie, na ok. 387,5 mln USD, Bitget i Elliptic wcześniej powiązały z Koreą Północną.

Głos ostrożności

Elliptic również uznał TraderTraitor za najbardziej prawdopodobnego sprawcę. Firma powołała się na wspólne usługi używane przy wcześniejszych kradzieżach z BigONE, WOO X i AFX, na podobną metodę oraz na to, że niewiele grup potrafi skoordynować atak w 11 sieciach w ok. trzy godziny. Zarazem w pierwszych wersjach analizy zastrzegała, że wspólny ślad z Bitget dotyczy tylko niewielkiej części pieniędzy z Binance, więc sam w sobie nie dowodzi, że oba ataki przeprowadzili ci sami ludzie. W ostatniej aktualizacji, z 1 listopada (08:00 UTC), Elliptic potwierdził jednak, że część łupu z Binance jest prana razem ze środkami z Bitget, a oba strumienie trafiły już do kilku wspólnych portfeli. Jako pierwszy wskazał to śledczy ZachXBT. Atak na Bitget wciąż nie ma atrybucji żadnego rządu.

FBI: „Korea Północna odpowiada za kradzież”

W sobotę 31 października, ok. 22:37 UTC, FBI ogłosiło, że za kradzież ponad 6 mld USD z Binance odpowiada Korea Północna, a działania te nazywa TraderTraitor. Biuro, razem ze Secret Service i pionem śledczym IRS, obserwuje zamianę skradzionych aktywów głównie na ether i spodziewa się dalszego prania przez usługi zdecentralizowanych finansów (DeFi) i szybkie kantory kryptowalut. Zaapelowało do operatorów sieci THORChain, dostawców dostępu do blockchainów (RPC), kantorów, usług DeFi i firm analitycznych, by blokowały transakcje z 628 wskazanymi adresami. Komunikat nie wyjaśnia, jak sprawcy weszli do systemów giełdy.

Czym jest TraderTraitor

TraderTraitor to nazwa, którą FBI nadaje północnokoreańskiej działalności wymierzonej w aktywa wirtualne. CoinDesk opisuje grupę jako część Lazarus Group, a firmy bezpieczeństwa śledzą ją także jako Jade Sleet, Slow Pisces czy UNC4899. Amerykańska agencja CISA ostrzegała, że od 2020 r. bierze ona na cel firmy kryptowalutowe.

Lista jej przypisanych akcji jest długa. Władze Japonii i USA powiązały TraderTraitor z kradzieżą ok. 308 mln USD z japońskiej giełdy DMM Bitcoin w maju 2024 r. W lutym 2025 r. FBI uznało ją za sprawcę kradzieży ok. 1,5 mld USD z Bybit, dotąd największej w historii. W 2026 r. z Koreą Północną łączono już ataki na Drift (ok. 285 mln USD), KelpDAO (ok. 292 mln USD) i Bitget. Według Elliptic przed atakiem na Binance kraj ten ukradł w tym roku ponad 1 mld USD.

Po co Korei Północnej kryptowaluty

Bo to jedno z głównych źródeł dewiz państwa objętego sankcjami. Panel ekspertów ONZ w raporcie z marca 2024 r. oceniał, że cyberataki dają Pjongjangowi ok. 50% wpływów w walutach obcych i finansują ok. 40% programów broni masowego rażenia. Po rosyjskim wecie z marca 2024 r. panel w kwietniu zakończył pracę, a jego zadania przejął Wielostronny Zespół Monitorowania Sankcji (MSMT), powołany przez 11 państw. Według MSMT od stycznia do września 2025 r. Korea Północna ukradła co najmniej 1,65 mld USD w kryptowalutach i przeznacza te pieniądze na programy rakietowe i broni masowego rażenia.

Pościg za pieniędzmi: jak zatrzymano prawie 3 mld USD

Kto zamroził i ile

Stablecoiny, czyli tokeny powiązane kursem z dolarem, takie jak USDT i USDC, mają emitenta, który może zablokować tokeny na konkretnym adresie. Tym razem ta właściwość zadziałała na dużą skalę. Circle, któremu wcześniej zarzucano bierność przy ataku na Drift, zareagował trzy minuty po Tetherze.

Kto	Aktywa	Ile (w przybliżeniu)	Kiedy (UTC)
Tether	USDT w Ethereum, Tronie, Avalanche i Polygonie	ok. 1,77 mld USD; w głównym portfelu najpierw 971,1 mln, potem ok. 1,18 mld USDT	od 21:01, 29.10
Circle	USDC	ok. 825 mln USD	21:04, 29.10
Ripple	RLUSD (nie XRP)	40,5 mln USD	22:01, 29.10
World Liberty Financial	USD1	27,8 mln USD oraz tokeny w przejętym portfelu giełdy	22:10 i 22:26, 29.10
Rada Bezpieczeństwa Arbitrum	ETH i ARB (8426 ETH, 74,6 mln ARB)	ok. 30 mln USD	00:08, 30.10
Zarządzający siecią Optimism	OP	ok. 44 mln OP, ok. 5 mln USD	31.10
Paxos, First Digital, Binance (WBETH) i mniejsi emitenci	stablecoiny i tokeny	brak łącznej kwoty	29–31.10

Źródła: TRM Labs (stan na 30.10, 00:30 UTC), Elliptic (stan na 1.11).

Razem Elliptic potwierdza 2,85 mld USD zamrożonych lub przejętych, czyli 44% łupu. Stablecoiny to 94% tej kwoty. Binance podaje ok. 3 mld USD. Dla porównania: po ataku na Bybit w lutym 2025 r. zamrożono ok. 3% skradzionych środków, jak informował wtedy szef tej giełdy.

Czego nie da się zamrozić

Natywnych kryptowalut – ETH, BTC, XRP, TRX, SOL – nie emituje żadna firma, która mogłaby je zablokować. Ripple zamroził tylko swój stablecoin RLUSD, nie XRP. Według ostatniego zestawienia Elliptic (1 listopada) poza zasięgiem emitentów zostało ok. 3,25 mld USD na ponad 800 adresach, w tym ok. 584 tys. ETH, 18 327 BTC i 233 mln XRP. Bitcoinów jest nieco więcej, niż skradziono, bo według śledczego SomaXBT część innych środków napastnik przeniósł już do sieci Bitcoin. Eteru przybywa, bo zamienia na niego kolejne tokeny i TRX. XRP, SOL i NEAR, warte ok. 439 mln USD, od kradzieży w ogóle się nie poruszyły. W sieciach Bitcoin, XRP Ledger, Solana i NEAR nie zamrożono nic.

Protokół pożyczkowy Aave zamroził swoje rynki, by napastnik nie mógł dalej pożyczać. Niczego jednak nie przejął, a w piątek rynki odblokował.

Wyścig: stablecoiny na ether

Napastnik pozbywał się stablecoinów w pośpiechu – według The Block prawdopodobnie po to, by uprzedzić blokady. Według Elliptic, zanim przyszły blokady, zamienił ok. 786 mln USD w stablecoinach na ETH i TRX. 434 mln USDT przelał na 160 451 ETH przez Uniswap, 1inch i systemy zapytań ofertowych animatorów rynku, tracąc 12–26% wobec ceny rynkowej. Pod zastaw 59,9 mln USDT w Aave pożyczył 19 762 ETH. W sieci Tron zamienił 234 mln USDT na 638 mln TRX.

Bitcoiny długo leżały nietknięte: 18 270 BTC podzielono na 19 adresów, głównie po 1000 BTC, i według Elliptic do 30 października żaden nie trafił do usługi, przez którą można by je wyprowadzić.

Część prania wykonuje program, nie człowiek. Portfel piorący środki w sieci Tron wykonał najpierw 546 przelewów TRX z medianą przerwy 96 sekund i pracował także w nocy. Do rana 1 listopada, po 1113 przelewach, był niemal pusty. Tokeny LINK sprzedano w 89 porcjach, a PEPE w 94, co ok. 36 sekund. Nowe portfele zasilano dokładnie 0,5 ETH. Elliptic uznaje, że to niemal na pewno automat. Przy Bybit pranie miało rytm ludzkiej pracy. Chainalysis też mówi o wzorcach, jakich wcześniej nie widział.

Ślad z Tronu prowadzi dziś głównie do Ethereum. Według Elliptic TRX przeszły przez giełdy zdecentralizowane, protokół pożyczkowy i co najmniej sześć mostów między sieciami, a prawie wszystko skończyło jako ETH. Śledczy SomaXBT, cytowany 2 listopada przez The Crypto Times, naliczył w dwa dni 242 mln USD wyprowadzonych przez Tron, z czego 194 mln USD przeszło przez usługi wymiany między sieciami: Relay (48 mln USD), THORChain (44 mln USD), Chainflip (32,1 mln USD) i Symbiosis (16 mln USD).

Pieniądze dotarły w ten sposób do sieci Ethereum, Bitcoin, Base i Zcash. Symbiosis przyznał, że jego monitoring ma ograniczenia. THORChain, przez który płynęły też łupy z Bybit i Bitget, odpowiada, że nie może blokować pojedynczych wymian (za Cointelegraph).

Jak pierze się miliardy

Elliptic, opierając się na przebiegu sprawy Bybit, spodziewa się kolejnych warstw: przerzucania między portfelami, mostami między sieciami, mikserami i usługami wymiany, a na końcu wypłaty przez pozagiełdowego brokera (OTC) lub giełdę. Ari Redbord z TRM Labs przewiduje w rozmowie z ABC News, że środki będą dzielone na mniejsze części i prane przez mniejsze giełdy, nawet miesiącami.

Ilya Lichtenstein wie o tym dużo z własnego doświadczenia. W 2023 r. przyznał się do prania bitcoinów z włamania na Bitfinex z 2016 r., którego – jak sam przyznał – dokonał. CNN wycenia ten proceder na 4,5 mld USD. Skazany w 2024 r. na pięć lat, wyszedł przedterminowo w styczniu 2026 r. W rozmowie z CNN uznał, że atak pasuje do metod Korei Północnej i że włamanie bywa łatwiejsze niż wypranie pieniędzy. Skradzione kryptowaluty porównał do „gorącego kartofla”: blockchain jest publiczny, platformy mogą blokować środki, a sprawca ma mało czasu.

Ochrona czy centralizacja

Zamrożenia ożywiły spór, który branża toczy od lat. Zwolennicy wskazują, że bez Tethera, Circle i rady Arbitrum Korea Północna miałaby o prawie 3 mld USD więcej. CoinDesk w tytule jednego z tekstów ujął to jako paradoks: centralizacja umożliwiła włamanie, ale też uratowała 3 mld USD.

Krytycy przypominają, że ta sama władza może zamrozić pieniądze każdego użytkownika. Gdy w kwietniu Rada Bezpieczeństwa Arbitrum przejęła 30 766 ETH po ataku na KelpDAO (9 z 12 głosów), część użytkowników pytała, ile wart jest wtedy argument o decentralizacji. Analitycy GSR pisali, że taka interwencja narusza zasady samodzielnego przechowywania, neutralności i odporności na cenzurę, choć branża w większości ją poparła. Ten spór nie ma prostego rozstrzygnięcia.

Kto za to zapłaci: fundusz SAFU, skarbiec giełdy i dowód rezerw

Obietnica i jej pokrycie

„Binance poniesie skutki finansowe kradzieży, nie nasi użytkownicy” – zapewniła giełda w komunikacie. Strata to ok. 6,3 mld USD, czyli ok. 24,7 mld zł (po kursie średnim NBP z 23 października 2026 r., 3,9247 zł za dolara).

Na pokrycie giełda zarezerwowała ponad 6,34 mld USD własnych środków. Ok. 5 mld USD z tej kwoty trzymała już w tych samych tokenach, które skradziono, a resztę, ok. 1,3 mld USD, dokupuje na rynku i od pozagiełdowych brokerów (OTC). Tempo uzupełniania: ok. 80% w piątek, 90% w sobotę, ok. 95% w niedzielę 1 listopada. Według giełdy w pełni pokryte są już salda w BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD i ZEC. Brakujące ok. 5% to mniej płynne tokeny spoza pierwszej dziesiątki, które trudniej kupić w takiej skali. W komunikatach z 2 listopada wskaźnik wciąż wynosi ok. 95%.

Pieniądze pochodzą z trzech źródeł: części funduszu SAFU, nadwyżki funduszu ubezpieczeniowego kontraktów terminowych (giełda twierdzi, że po tej operacji fundusz nadal spełnia wymogi zarządzania ryzykiem) i skarbca firmy. Binance zobowiązał się odbudować SAFU do ok. 1 mld USD.

Fundusz SAFU: za mały na taką stratę

SAFU (Secure Asset Fund for Users) to rezerwa awaryjna utworzona przez Binance w 2018 r. na wypadek włamań. W lutym 2026 r. giełda zamieniła ją ze stablecoinów na 15 000 BTC, warte wtedy ok. 1 mld USD, i obiecała uzupełniać fundusz, gdy jego wartość spadnie poniżej 800 mln USD. Przy kursie ok. 77 tys. USD z 30 października to ok. 1,16 mld USD, czyli ponad pięć razy mniej niż strata (wyliczenie redakcji). Sam SAFU by nie wystarczył. O wypłacalności zdecydował kapitał własny giełdy.

Obietnica pokrycia strat to deklaracja firmy, nie gwarancja prawna. ESMA przypomina, że dostawca z zezwoleniem MiCA odpowiada wobec klientów za utratę kryptoaktywów, którą można mu przypisać (art. 75 ust. 8 rozporządzenia). Binance takiego zezwolenia w UE nie ma, więc jego klienci nie mogą powołać się na ten przepis tak jak klienci licencjonowanego dostawcy. To nie jest porada prawna; o prawach konkretnego klienta decyduje jego umowa z giełdą.

Dowód rezerw bez zewnętrznego audytora

Binance opublikował migawkę dowodu rezerw z 31 października, godz. 00:00 UTC. Pokazuje ona pokrycie na poziomie co najmniej 100% dla wymienionych tokenów. Pełny dowód kryptograficzny z użyciem tzw. dowodów z wiedzą zerową, pozwalający każdemu klientowi sprawdzić, czy jego saldo jest ujęte w zobowiązaniach, miał się ukazać do poniedziałku 2 listopada. W najnowszej aktualizacji Binance przesunął go na „wtorek 3 listopada (UTC)” i tłumaczy, że przygotowanie dowodu zajmuje 40–50 godzin obliczeń. W relacjach o nowym raporcie nie pada nazwa zewnętrznego weryfikatora: to publikacja samej giełdy.

CoinDesk zwrócił uwagę na jeszcze jeden szczegół. Opróżnione portfele były wśród tych, które Binance wcześniej wskazywał jako pokrycie depozytów klientów. Teraz, jak podała giełda (za The Block), wypłaty idą z nowo utworzonych portfeli, dopisanych do listy adresów dowodu rezerw.

Wypłaty: ruszyły, ale nie wszystkie

Wypłaty stanęły w czwartek wieczorem. Wpłaty działały już w piątek rano. W niedzielę 1 listopada o 06:00 UTC (07:00 w Polsce) giełda zaczęła włączać wypłaty od sieci Bitcoin. O 12:36 UTC działały wszystkie 15 sieci pierwszej fazy, w tym Ethereum, BNB Smart Chain, Tron, Solana i XRP Ledger.

To jeszcze nie normalność. Po południu strona statusu pokazywała wstrzymane wypłaty dla 531 z 552 monet, a m.in. Cardano, Chainlink, Hyperliquid, Litecoin i NEAR były w testach. Kolejność następnych sieci giełda ustala według kapitalizacji, ilości środków i liczby klientów. 2 listopada Binance włączył wypłaty w kolejnych walutach tradycyjnych, m.in. w dolarach amerykańskich; jest ich już 28, w tym euro. Czy wśród nich jest złoty, komunikat cytowany przez Help Net Security nie precyzuje. Harmonogramu drugiej fazy wypłat kryptowalut giełda do południa 2 listopada nie podała, a współprezes Yi He zapowiada pełne przywrócenie usług dopiero po potwierdzeniu bezpieczeństwa (za crypto.news).

Odpływ i rynek

W pierwszych 9,5 godziny giełda wypłaciła 4,65 mld USD i przyjęła 1,01 mld USD wpłat. Odpływ netto, ok. 3,64 mld USD, to według Binance 2,1% aktywów. DefiLlama naliczyła w ciągu doby 4,05 mld USD odpływu netto.

Bilans kolejnych dni jest mniej jednoznaczny. Według Bitcoin.com wartość aktywów w portfelach Binance śledzonych przez DefiLlama spadła ze 144,9 mld USD 29 października do ok. 128,3 mld USD 2 listopada, czyli o ok. 16,5 mld USD (ok. 12%).

To jednak wycena portfeli, nie suma wypłat: obejmuje też spadki cen i samą kradzież. Współprezes Yi He mówi agencji Bloomberg, że część odpływów to przelewy między portfelami samej giełdy, i odrzuca porównania z upadkiem FTX.

Rynek zareagował spadkami, ale bez paniki. Bitcoin w piątek zszedł do ok. 76,1–76,4 tys. USD, najniżej od połowy września, a likwidacje pozycji z dźwignią sięgnęły w dobę 1,57 mld USD, z czego według wyliczeń The Crypto Times ok. 84% stanowiły pozycje na wzrosty. Ether stracił 4,4% (do 2229,50 USD), a BNB ok. 6–7% (do ok. 700 USD). Akcje Coinbase spadły o 4,8% w handlu po sesji. Według Anchorage Digital po wcześniejszych atakach na giełdy bitcoin tracił w pierwszej dobie średnio 8,3%, tym razem ok. 4%. Analitycy TD Cowen podsumowali to zdaniem: „nie przestajemy używać dolarów, gdy ktoś obrabuje bank”.

Po weekendzie ceny częściowo odrobiły straty: w poniedziałek 2 listopada bitcoin znowu kosztował ponad 78 tys. USD, jak podała agencja Reuters.

Na tle historii: cztery razy więcej niż poprzedni rekord

Elliptic nazywa hack Binance z 2026 r. niemal na pewno największą pojedynczą kradzieżą w historii, nie tylko wśród kryptowalut. Poprzednim rekordem miało być zabranie ok. 1 mld USD z banku centralnego Iraku w 2003 r., ponad sześć razy mniej. Tabela obejmuje wybrane incydenty, a kwoty to wartość w USD w chwili kradzieży.

Incydent	Kwota w chwili kradzieży	Sprawca według atrybucji	Czy klienci odzyskali środki	Źródło
Binance, 29.10.2026	ok. 6,3 mld USD (Binance), 6,36–6,43 mld USD (TRM, Elliptic)	Korea Północna, TraderTraitor (FBI)	Binance deklaruje pełne pokrycie; ok. 95% aktywów uzupełnione do 1.11	TRM Labs, Elliptic, FBI
Bybit, 21.02.2025	ok. 1,46–1,5 mld USD	Korea Północna, TraderTraitor (FBI)	Tak, giełda pokryła lukę w kilka dni pożyczkami i zakupami	Elliptic, FBI, zestawienie Dave Manuel
Ronin (most Axie Infinity), 23.03.2022	ok. 625 mln USD	Lazarus (Departament Skarbu USA, FBI)	Tak, Sky Mavis zebrał 150 mln USD i spłacił użytkowników	Euronews, CoinDesk, zestawienie Dave Manuel
Poly Network, 10.08.2021	ok. 610–611 mln USD	nieustalony; sprawca oddał środki	Tak, niemal całość wróciła w ok. dwa tygodnie	Bitcoin.com, Benzinga
Most BNB Chain (BSC Token Hub), 6.10.2022	ok. 570 mln USD (2 mln BNB), z czego ok. 100–110 mln USD wyprowadzono z sieci	nieustalony	Większość zatrzymana w sieci, ok. 100 mln USD nieodzyskane	NBC News, The Globe and Mail
Coincheck, 26.01.2018	ok. 530–534 mln USD (NEM)	podejrzewana Korea Północna, bez zarzutów	Tak, ok. 46 mld jenów dla ok. 260 tys. klientów	Bitcoin.com, zestawienie Dave Manuel
Mt. Gox, 2011–2014	ok. 460–473 mln USD (ok. 850 tys. BTC)	dwóch Rosjan oskarżonych w USA w 2023 r.	Częściowo, spłaty od lipca 2024 r., termin do 31.10.2027	Bitcoin.com, zestawienie Dave Manuel
Bitget, 24.09.2026	ok. 387,5 mln USD	podejrzewana Korea Północna (CEO Bitget, Elliptic); bez atrybucji rządowej	Bitget deklaruje pokrycie z funduszu ochrony użytkowników (ponad 464 mln USD)	Decrypt, Tom's Hardware
DMM Bitcoin, 31.05.2024	ok. 305–308 mln USD	TraderTraitor (FBI i policja Japonii)	brak danych w zebranych źródłach	The Hacker News, zestawienie Dave Manuel
KelpDAO, 18.04.2026	ok. 292 mln USD	Lazarus według LayerZero; bez atrybucji rządowej	ok. 71 mln USD zamroziła Rada Bezpieczeństwa Arbitrum	Decrypt, Cointelegraph
Binance, 7.05.2019	ok. 40,7 mln USD (ok. 7000 BTC)	nieustalony	Tak, pokryte z funduszu SAFU	The Block, Crowdfund Insider

Miara ma znaczenie. Licząc w bitcoinach, Mt. Gox wciąż bije wszystkich: 850 tys. BTC byłoby dziś warte ok. 66 mld USD, przy 18 270 BTC skradzionych z Binance, jak wylicza Bitcoin.com.

Co to oznacza dla Polaków

Binance w Polsce: konto w trybie wygaszania

Klienci z Polski są w innej sytuacji niż większość użytkowników Binance, bo od czterech miesięcy korzystają z mocno okrojonej giełdy. W czerwcu Binance poinformował ich mailowo, że ani Binance Poland, ani żaden inny podmiot z grupy nie uzyska zezwolenia MiCA do 30 czerwca 2026 r. Od 1 lipca giełda nie przyjmuje w Polsce nowych użytkowników.

Obecni klienci nie mogą składać nowych zleceń spot ani zleceń z dźwignią, korzystać z P2P, Binance Pay ani większości produktów Earn. Staking ETH i SOL wyłączono, a uprawnienia API do nowych zleceń cofnięto. Mogą sprzedawać aktywa za złote, euro lub USDC i wypłacać kryptowaluty, PLN i EUR. Sam Binance odradza nowe wpłaty i sugeruje przeniesienie aktywów do własnego portfela lub do innego dostawcy z zezwoleniem.

Przyczyną jest brak zezwolenia MiCA. Binance wycofał wniosek złożony w Grecji i zapowiedział, że złoży go w innym państwie UE, bez wskazania którym. Agencja Reuters, streszczając ustalenia „Financial Times”, napisała o odrzuceniu wniosku. Wcześniejszy wpis Binance Poland do polskiego rejestru działalności w zakresie walut wirtualnych nie zastępuje zezwolenia MiCA.

Unia: pytania o „odwrotne nagabywanie”

1 października „Financial Times” podał, że ESMA oraz regulatorzy Francji, Niemiec i Grecji badają, jak Binance obsługuje klientów w UE bez zezwolenia. Chodzi o wyjątek odwrotnego nagabywania (ang. reverse solicitation). Pozwala on firmie spoza UE obsłużyć klienta tylko wtedy, gdy ten sam się do niej zwrócił, bez żadnej reklamy. ESMA odpowiedziała gazecie, że wyjątek należy rozumieć bardzo wąsko i nie wolno nim obchodzić MiCA. Część regulatorów zażądała od Binance informacji, a w razie niezadowalających odpowiedzi może sięgnąć po kary. Formalnych sankcji do 2 listopada nie ogłoszono. Binance odpowiada, że przestrzega przepisów i dalej stara się o zezwolenie.

Dla skali: według ESMA na 30 czerwca 2026 r. w unijnym rejestrze było 244 dostawców usług w zakresie kryptoaktywów (CASP) z zezwoleniem MiCA.

Polska: bez ustawy i bez nadzorcy

Polska nadal nie ma ustawy wdrażającej MiCA. Prezydent zawetował ustawę o rynku kryptoaktywów trzykrotnie: 1 grudnia 2025 r., 12 lutego i 11 czerwca 2026 r. We wrześniu Sejm nie odrzucił trzeciego weta, prezydent złożył własny projekt, a w październiku rząd zapowiedział czwarty. W efekcie KNF nie jest organem nadzoru nad giełdami kryptowalut w rozumieniu MiCA i nie może wydawać zezwoleń. Od 1 lipca usługi dla klientów w Polsce mogą legalnie świadczyć tylko dostawcy z zezwoleniem MiCA uzyskanym w innym kraju UE. Ten obowiązek dotyczy dostawcy, nie klienta.

Do południa 2 listopada nie znaleźliśmy komunikatu KNF dotyczącego włamania. W 2021 r. Urząd KNF zalecał „szczególną ostrożność” przy korzystaniu z usług podmiotów z grupy Binance, powołując się na ostrzeżenia zagranicznych nadzorców.

Czy deklaracja pokrycia strat obejmuje klientów z Polski? Komunikaty Binance nie różnicują klientów według kraju i mówią ogólnie, że koszty poniesie giełda, nie użytkownicy. Osobnego komunikatu dla klientów z Polski nie znaleźliśmy.

Co zrobić teraz

Bez paniki. Według Binance salda klientów są nienaruszone, a stratę poniosły portfele giełdy. Wypłaty wracają etapami, więc dla części tokenów trzeba będzie poczekać.
Sprawdzaj informacje tylko u źródła. Oficjalna aplikacja, adres binance.com wpisany ręcznie i zweryfikowane konta giełdy w mediach społecznościowych. Już w pierwszym komunikacie Binance ostrzegał przed oszustami podszywającymi się pod obsługę klienta.
Nie daj się nabrać na „zwrot środków po hacku”. Po każdym głośnym ataku przychodzi fala phishingu: fałszywe infolinie, maile, SMS-y i konta na WhatsAppie. Prawdziwa obsługa nie poprosi o frazę odzyskiwania (seed), kody 2FA, instalację programu do zdalnego pulpitu ani przelew na „bezpieczny portfel”. Krążą już fałszywe zrzuty ekranu o „rekompensacie 150 USD” za wstrzymanie wypłat, rzekomo do odebrania w aplikacji. Pracownik Binance nazwał je fałszywką, a Changpeng Zhao ostrzegł przed nasileniem oszustw. Podejrzaną firmę sprawdzisz na liście ostrzeżeń publicznych KNF.
Przejrzyj zabezpieczenia. Włącz uwierzytelnianie dwuskładnikowe przez aplikację lub klucz sprzętowy zamiast SMS, sprawdź listę zalogowanych urządzeń, usuń nieużywane klucze API, włącz białą listę adresów wypłat i kod antyphishingowy w wiadomościach od giełdy.
Zrób kopię. Zapisz zrzuty ekranu sald i wyeksportuj historię transakcji. Przydadzą się przy reklamacji i rozliczeniach.
Rozważ, gdzie trzymać środki. Sam Binance radzi polskim klientom przeniesienie aktywów. Jak sprawdzić, czy giełda ma zezwolenie MiCA, wyjaśniamy w artykule o MiCA w Polsce. Portfel samodzielnie przechowywany (sprzętowy lub programowy) uniezależnia cię od włamań na giełdy, ale przenosi całe ryzyko na ciebie. Zgubiona fraza odzyskiwania oznacza trwałą utratę środków, błąd w adresie lub sieci jest nieodwracalny, a oszuści celują także w posiadaczy własnych portfeli. To nie jest rekomendacja inwestycyjna: decyzja zależy od kwoty, wiedzy i tego, jak często handlujesz.

Lekcje dla branży: atakuje się ludzi i maszyny wokół kluczy

Ile trzymać w gorącym portfelu. Z gorących portfeli Binance dało się wyprowadzić ok. 3,7% aktywów giełdy, w większości w ok. 20 minut. TRM Labs zaleca rozdzielenie infrastruktury podpisów według sieci i poziomu portfela, tak by jeden dostęp nie otwierał dziesięciu blockchainów naraz.

Najsłabsze ogniwo stoi obok kryptografii. Przy Bybit wejściem był komputer programisty firmy Safe{Wallet}, na co zwraca uwagę Elliptic. Przy Bitget napastnik wykorzystał nieznaną wcześniej lukę w dwóch urządzeniach bezpieczeństwa dostawcy zewnętrznego. Przy Binance zaczęło się od laptopa inżyniera DevOps. W żadnym z tych przypadków nie złamano szyfrowania. Zaatakowano ludzi, stacje robocze i systemy, które mają prawo zlecać podpisy.

EIP-7702 wymaga osobnego nadzoru. Już w 2025 r. oszuści okradali użytkowników, ustawiając na przejętych portfelach złośliwe delegacje. Teraz ten sam mechanizm posłużył przeciw największej giełdzie świata. Między delegacją a opróżnieniem portfela minęły 3 minuty i 24 sekundy. TRM Labs zaleca alarm przy każdej delegacji na portfelu skarbcowym i przygotowaną wcześniej procedurę jej cofnięcia.

Szybkość reakcji ma swoją cenę i swoją wartość. Pierwsza blokada przyszła 37 minut po tym, jak USDT trafiły do napastnika, a do 31 października zamrożono lub przejęto ok. 44% łupu. Zrobili to emitenci tokenów i rady zarządzające sieciami, czyli podmioty z techniczną władzą nad aktywami. Branża musi zdecydować, ile takiej władzy chce im zostawić.

Regulacje nie zapobiegną włamaniu, ale ustalają, kto płaci. MiCA wymaga od dostawców przechowujących kryptoaktywa m.in. polityki przechowywania i oddzielenia aktywów klientów od własnych. Według ESMA dostawca odpowiada też za utratę kryptoaktywów klientów, którą można mu przypisać. Dla klientów giełdy bez zezwolenia MiCA, takiej jak Binance, podstawą pozostaje deklaracja firmy.

Czego jeszcze nie wiemy

Jak dokładnie wszedł napastnik. Binance mówi o laptopie inżyniera i „dodatkowych punktach naruszenia”, ale nie wskazał, gdzie są. Raport techniczny zapowiedział bez daty.
Czy klucze prywatne były bezpieczne. Giełda twierdzi, że nie ma dowodów wycieku. Firmy analityczne wskazują na nadużycie systemu podpisów, ale potwierdzenia nie ma.
Ile dokładnie skradziono. Końcowe szacunki różnią się o ok. 130 mln USD (od 6,3 do 6,43 mld USD), a pierwsze wyliczenia z nocy ataku wynosiły 5,6–5,9 mld USD. Firmy liczą różną liczbę sieci i różnie wyceniają aktywa. Elliptic nie wlicza na przykład 169 mln USD, które po wstrzymaniu wypłat trafiły na stare adresy, prawdopodobnie samej giełdy.
Co stanie się z zamrożonymi 2,85–3 mld USD. Nie wiadomo, kiedy i w jakiej procedurze emitenci oddadzą je Binance ani czy dokona tego sąd.
Dokąd trafią BTC i ETH. Według Elliptic XRP, SOL i NEAR za ok. 439 mln USD w ogóle się nie poruszyły, a poza zasięgiem emitentów pozostaje ok. 584 tys. ETH i ponad 18 tys. BTC. Od mostów i usług wymiany zależy, ile z tego uda się jeszcze zatrzymać. Elliptic spodziewa się, że pranie potrwa miesiącami.
Kiedy wszystkie wypłaty wrócą. Po pierwszym dniu większość z 552 monet czekała na odblokowanie, a do południa 2 listopada giełda nie podała harmonogramu drugiej fazy.
Co pokaże dowód rezerw. Pełny dowód kryptograficzny Binance zapowiada teraz na 3 listopada, dzień później, niż obiecywał. Nie wiadomo, czy sprawdzi go ktoś z zewnątrz.
Jak zareagują regulatorzy. Nie wiadomo, czy atak wpłynie na unijne postępowania wobec Binance i na jego wniosek o zezwolenie MiCA ani czy odezwie się KNF.
Czy za Bitget i Binance stoją ci sami ludzie. Elliptic potwierdził już, że łupy z obu ataków są prane razem, w tych samych portfelach. FBI wskazało sprawcę ataku na Binance, ale atak na Bitget nie ma atrybucji żadnego rządu.

FAQ: najczęstsze pytania o włamanie na Binance

Czy moje pieniądze na Binance są bezpieczne?

Binance twierdzi, że salda klientów są nienaruszone, bo okradziono portfele giełdy, nie konta użytkowników. Do 1 listopada uzupełnił z własnych środków ok. 95% skradzionych aktywów, a resztę dokupuje. To jednak deklaracja firmy, nie gwarancja prawna, a Binance nie ma w UE zezwolenia MiCA. Pełny dowód rezerw giełda zapowiada na 3 listopada.

Czy mogę wypłacić środki z Binance?

Tak, częściowo. Od 1 listopada, godz. 06:00 UTC (07:00 w Polsce), giełda etapami przywraca wypłaty. W pierwszej fazie działa 15 sieci, m.in. Bitcoin, Ethereum, BNB Smart Chain, Tron, Solana i XRP Ledger. Inne tokeny będą dochodzić po kontrolach bezpieczeństwa, a od 2 listopada działają też wypłaty w 28 walutach tradycyjnych, w tym w euro. Klienci z Polski mogą wypłacać środki także w ramach ograniczeń obowiązujących od 1 lipca 2026 r.

Kto zhakował Binance?

FBI 31 października wskazało Koreę Północną i działalność nazywaną TraderTraitor, kojarzoną z Lazarus Group. Wcześniej do tego samego wniosku doszły firmy TRM Labs, Chainalysis i Elliptic. FBI nie podało nazwisk ani szczegółów wejścia do systemów. Atrybucja rządu USA nie jest wyrokiem sądu, ale to najmocniejsze dostępne dziś ustalenie.

Ile ukradziono z Binance?

Binance szacuje stratę na ok. 6,3 mld USD. TRM Labs liczy 6,36 mld USD, Elliptic 6,43 mld USD, a Chainalysis ok. 6,4 mld USD. Różnice wynikają z liczby uwzględnionych sieci i metody wyceny. Z tej kwoty zamrożono 2,85–3 mld USD, głównie w stablecoinach USDT i USDC.

Czym jest fundusz SAFU?

To awaryjna rezerwa Binance na wypadek włamań, utworzona w 2018 r. Od lutego 2026 r. składa się z 15 000 BTC, wartych wtedy ok. 1 mld USD. Giełda obiecuje ją uzupełniać, gdy spadnie poniżej 800 mln USD. Przy stracie 6,3 mld USD sam SAFU nie wystarczył, dlatego Binance sięgnął także po fundusz ubezpieczeniowy kontraktów i skarbiec firmy.

Jak doszło do włamania na Binance?

Według wstępnych ustaleń giełdy napastnik mógł przejąć laptop inżyniera DevOps, dostać się przez niego do kontenera usługi i zlecić nieautoryzowane wypłaty. Później Binance poinformował o kolejnych punktach naruszenia. W sieci Ethereum napastnik użył mechanizmu EIP-7702 i 50 wcześniej podpisanych autoryzacji, by przejąć kontrolę nad gorącym portfelem. Giełda nie ma dowodów na wyciek kluczy prywatnych.

Czy Binance działa legalnie w Polsce?

Binance nie ma zezwolenia MiCA, które od 1 lipca 2026 r. jest wymagane w całej UE. Od tego dnia nie przyjmuje nowych klientów z Polski, a dotychczasowi mogą głównie sprzedawać aktywa i wypłacać środki. Samo posiadanie kryptowalut jest w Polsce legalne. Polska wciąż nie ma ustawy wdrażającej MiCA.

Czy Binance zbankrutuje?

Nie da się tego rzetelnie przesądzić. Fakty na 2 listopada: giełda zarezerwowała ponad 6,34 mld USD na pokrycie strat, a odpływ netto w pierwszych godzinach po wznowieniu wypłat wyniósł ok. 3,64 mld USD, czyli według niej 2,1% aktywów. Migawka dowodu rezerw pokazuje pokrycie co najmniej 100% dla głównych tokenów. Pełny dowód giełda zapowiada na 3 listopada; nie wiadomo, czy zweryfikuje go ktoś z zewnątrz.

Ktoś dzwoni w sprawie zwrotu środków po hacku Binance. Co robić?

Rozłącz się. To typowe oszustwo po głośnych atakach. Binance nie dzwoni z ofertą zwrotu i nigdy nie prosi o frazę odzyskiwania, kody 2FA, instalację programu do zdalnego pulpitu ani przelew na „bezpieczne konto”. Jeśli podałeś dane lub wysłałeś pieniądze, natychmiast zmień hasła, powiadom bank i zgłoś sprawę na policję oraz do CERT Polska.

Jak włamanie wpłynęło na kurs BNB i bitcoina?

W piątek 30 października BNB stracił ok. 6–7% i spadł do ok. 700 USD. Bitcoin zszedł do ok. 76,1–76,4 tys. USD, najniżej od połowy września, a likwidacje na rynku kontraktów sięgnęły w dobę 1,57 mld USD. Spadek bitcoina był mniejszy niż średnio po wcześniejszych atakach na giełdy, a w poniedziałek 2 listopada jego kurs był znowu powyżej 78 tys. USD. To nie jest rekomendacja inwestycyjna.

Zastrzeżenie i stan na

Artykuł ma charakter informacyjny. Nie jest poradą inwestycyjną, prawną ani podatkową. Kryptoaktywa wiążą się z wysokim ryzykiem, w tym ryzykiem utraty całości środków. Atrybucja ataku opiera się na komunikacie FBI i ocenach firm analitycznych i nie przesądza o winie konkretnych osób.

Stan na: 2 listopada 2026 r., godz. 12:00 czasu polskiego (11:00 UTC).

Data i godzina (PL)	Zmiana w tekście
2.11.2026, 12:00	Aktualizacja: pełny dowód rezerw przesunięty na 3.11; wypłaty w 28 walutach tradycyjnych; najnowsze dane Elliptic (wspólne pranie z łupem z Bitget, 3,25 mld USD poza zasięgiem emitentów) i przepływy przez mosty; wycena aktywów Binance według DefiLlama; ostrzeżenie przed fałszywą „rekompensatą”; kurs bitcoina z 2.11; nowe źródła
1.11.2026, 21:00	Pierwsza publikacja