Kradzież 6,3 miliarda dolarów, która zaczęła się od laptopa jednego inżyniera

30 października 2026 roku Binance, największa na świecie giełda kryptowalut, potwierdziła incydent bezpieczeństwa o szacowanym skutku około 6,3 miliarda dolarów w aktywach cyfrowych.

Kradzież rozpoczęła się około 20:05 UTC 29 października. Firma analityczna TRM Labs podała, że „napastnik wyprowadził z portfeli Binance około 6,36 miliarda dolarów na dziesięciu blockchainach", przy czym większość środków wyszła w ciągu mniej więcej dwudziestu minut.

To czyni ten przypadek największą odnotowaną kradzieżą kryptowalut, około czterokrotnie przewyższającą atak na Bybit z lutego 2025 roku wart 1,5 miliarda dolarów, który do tej pory był rekordem.

TRM Labs z wysoką pewnością przypisuje atak grupie TraderTraitor, elitarnej jednostce hakerskiej Korei Północnej powiązanej z Lazarus Group. Chainalysis podziela tę ocenę. FBI wskazało tę samą grupę jako odpowiedzialną za atak na Bybit.

Dwie rzeczy trzeba powiedzieć od razu, bo zmieniają sposób czytania tej historii.

Punkt wejścia był przyziemny. Zgodnie z doniesieniami opartymi na relacji Binance napastnik uzyskał dostęp do kontenera usługowego przez przejęty laptop inżyniera DevOps i złożył nieautoryzowane zlecenia wypłat. Binance informuje, że nie znalazła dowodów na wyciek kluczy prywatnych portfela.

Około połowa środków została zamrożona. Binance potwierdziła zweryfikowaną zamrożoną kwotę około 3 miliardów dolarów i zapowiedziała pokrycie wszystkich strat ze środków funduszu SAFU oraz środków własnych.

Co się wydarzyło

Przebieg zdarzeń

Jak się dostali do środka

To fragment wart zatrzymania, bo nie jest to historia o kryptografii.

Napastnik dotarł do kontenera usługowego przez przejęty laptop inżyniera DevOps, a następnie złożył nieautoryzowane zlecenia wypłat. Według oceny TRM Labs napastnik uzyskał zdolność do tego, by system podpisywania w gorących portfelach Binance generował prawidłowe podpisy na wielu łańcuchach.

Warto zauważyć, co to oznacza. Podpisy były prawidłowe. System zrobił to, do czego go zaprojektowano. Oświadczenie Binance o braku dowodów na wyciek kluczy prywatnych jest z tym spójne: napastnik nie potrzebował kluczy, bo dotarł do systemu, który z nich korzysta.

Schemat przypomina Bybit. Tam północnokoreańscy operatorzy przejęli komputer dewelopera w firmie Safe, dostawcy infrastruktury portfelowej dla Bybit, a pracownik nieświadomie zatwierdził polecenie. Inna firma, ten sam kształt: stacja robocza, a potem ścieżka podpisywania.

Atrybucja

TRM Labs przypisuje kradzież grupie TraderTraitor na podstawie tego, co opisuje jako solidne dane wywiadowcze z łańcucha i spoza niego, stwierdzając, że „kilka cech tego ataku odpowiada wcześniejszym kradzieżom powiązanym z Koreą Północną". Chainalysis doszła do tego samego wniosku i poinformowała, że jej analitycy zaobserwowali środki z wrześniowego ataku na Bitget mieszające się ze łupem z Binance.

Ten szczegół o mieszaniu środków jest istotny. Łączenie dochodów z odrębnych kradzieży jest charakterystyczne dla jednego operatora wykorzystującego tę samą infrastrukturę prania pieniędzy i stanowi rodzaj dowodu, który wzmacnia atrybucję ponad podobieństwo stylu działania.

Jedno zastrzeżenie warte zapamiętania. TRM Labs i Chainalysis to prywatne firmy analityczne. W chwili pisania żaden rząd nie potwierdził tej atrybucji. Ich dotychczasowa skuteczność jest wysoka, a FBI potwierdziło ich ocenę w sprawie Bybit w ciągu tygodnia, ale atrybucja sektora prywatnego to nie to samo co oficjalna.

Gdzie trafiły pieniądze

Środki przemieszczono na dziesięciu blockchainach, w tym Bitcoin i Ethereum, których ruch monitorowała Chainalysis. Emitenci tokenów szybko zablokowali część skradzionych aktywów i tak powstała zamrożona kwota około 3 miliardów dolarów.

Zamrożenie jest możliwe tylko w przypadku niektórych aktywów. Tokeny emitowane centralnie, na przykład część stablecoinów, może zablokować ich emitent. Bitcoina i Ethera nie. To rozróżnienie decyduje o tym, ile da się odzyskać, i tłumaczy, dlaczego zamrożony udział nie jest wyższy.

Kontekst skali

• Bybit, luty 2025: 1,5 miliarda dolarów, również przypisane grupie TraderTraitor. Dotychczas największa kradzież kryptowalut i według doniesień największy napad jakiegokolwiek rodzaju w historii.

• Wcześniejsze rekordy: Ronin Network 624 miliony dolarów, Poly Network 611 milionów, BNB Bridge 586 milionów.

• Łączny wynik Korei Północnej w 2025 roku: około 2 miliardów dolarów ze wszystkich kradzieży kryptowalut.

Ten jeden incydent jest więc mniej więcej trzykrotnie większy niż całość tego, co północnokoreańskie operacje ukradły przez cały 2025 rok.

O porównaniu z gospodarką Korei Północnej

W obiegu funkcjonuje twierdzenie, że 6,3 miliarda dolarów stanowi znaczną część rocznego PKB Korei Północnej. Kierunek jest słuszny, a kwota jest bezsprzecznie ogromna w relacji do tamtejszej gospodarki. Dane o PKB Korei Północnej są jednak szacunkami powstającymi bez wiarygodnych statystyk krajowych i znacząco różnią się między źródłami. Każdy konkretny wskaźnik procentowy należy traktować orientacyjnie, a nie jako fakt.

Lepiej udokumentowany jest cel. Doniesienia oraz kolejne ustalenia paneli ONZ wskazują, że Korea Północna wykorzystuje kradzież kryptowalut do finansowania działań państwa i obchodzenia sankcji międzynarodowych, a rząd Kim Dzong Una coraz mocniej opiera się na działalności hakerskiej w miarę pogarszania się sytuacji gospodarczej.

Dlaczego to ma znaczenie

Powierzchnią ataku był komputer pracownika, a nie blockchain. Miliardy w aktywach chroniła kryptografia, której nikt nie złamał. Napastnik ją obszedł, przechodząc przez organizację. Każda giełda, firma powiernicza i dział skarbu powinny odczytać to jako stwierdzenie o bezpieczeństwie stacji końcowych i dostępie uprzywilejowanym, a nie o konstrukcji portfeli.

Systemy podpisywania w gorących portfelach są najcenniejszym aktywem. Jeśli napastnik potrafi skłonić system podpisujący do wygenerowania prawidłowych podpisów, kwestia przechowywania kluczy przestaje mieć znaczenie. Liczy się nie to, gdzie klucze leżą, ale kto lub co może poprosić je o podpis i jakie akceptacje stoją na tej ścieżce.

Dwadzieścia minut to szybciej niż jakikolwiek ludzki proces reakcji. Żaden obieg akceptacji, żadna eskalacja w SOC ani ręczna interwencja nie działa w takim tempie. Cokolwiek miało to zatrzymać, musiało być automatyczne i musiało znajdować się w samej ścieżce podpisywania.

Zamrażanie zadziałało, częściowo i tylko dzięki centralizacji. Mniej więcej połowę udało się zablokować, bo emitenci tokenów mogli działać. To realna linia obrony, a zarazem dowód, że odzyskiwalna część zależy od rodzaju aktywa, a nie od jakości czyjejkolwiek reakcji na incydent.

Skala zmienia obraz sankcyjny. Pojedyncza operacja przynosząca mniej więcej trzykrotność całorocznego dorobku nie jest przyrostem. To skok jakościowy w zasobach dostępnych państwu objętemu sankcjami i wywoła wzmożoną uwagę regulatorów oraz organów ścigania w całej branży.

Pokrycie strat przez Binance chroni użytkowników, ale nie zmienia lekcji. Fundusz SAFU oznacza, że klienci zostaną zaspokojeni. Nie sprawia to, że pieniądze przestają być skradzione, ani nie zmniejsza tego, na co zostaną przeznaczone.

Kogo to dotyczy

• Klientów Binance, których giełda zapowiada pokryć ze środków funduszu SAFU i środków własnych.

• Całego sektora giełd i usług powierniczych, przed którym ponownie stają pytania o bezpieczeństwo stacji końcowych i architekturę podpisywania.

• Emitentów tokenów, którzy zdołali zablokować część środków i będą odczuwać presję, by w przyszłości działać szybciej.

• Regulatorów i organów ścigania, zwłaszcza egzekwujących sankcje wobec Korei Północnej.

• Każdej organizacji prowadzącej system podpisywania lub skarbowy, także poza kryptowalutami, gdzie przejęta stacja inżyniera może dosięgnąć ścieżki autoryzacji transakcji.

• Pracowników firm kryptowalutowych, którzy są udowodnionym celem. Łańcuch ataku zaczął się od człowieka, a nie od protokołu.

Co powinny zrobić organizacje

Jeśli prowadzisz infrastrukturę podpisywania lub skarbową

1. Zmapuj każdą ścieżkę od stacji roboczej inżyniera do systemu podpisującego. Pytanie nie brzmi, czy klucze są chronione, tylko co może polecić im podpisać i kto może do tego dotrzeć.

2. Wymagaj akceptacji wielu stron dla transferów powyżej progu, egzekwowanej w systemie podpisującym, a nie w dokumentacji procesu.

3. Ustaw automatyczne limity tempa i wolumenu w ścieżce podpisywania. Dwadzieścia minut to za szybko, by zdążył zareagować człowiek. Odmówić musi coś nieludzkiego.

4. Oddziel środowisko mogące inicjować wypłaty od środowiska, w którym inżynierowie pracują na co dzień. Kontener usługowy osiągalny z laptopa to konkretna przyczyna tej porażki.

5. Monitoruj wypłaty realizowane równocześnie na wielu łańcuchach, bo to nietypowy wzorzec i właśnie on był sygnaturą tego zdarzenia.

Stacje końcowe i tożsamość, bo tam się zaczęło

6. Traktuj stacje deweloperów i inżynierów DevOps jak systemy uprzywilejowane. Często przechowują poświadczenia, tokeny i dostęp do ścieżek produkcyjnych, jakich nie ma żadne zwykłe konto użytkownika.

7. Wdróż MFA odporne na phishing na wszystkim, co jest osiągalne z tych maszyn.

8. Zakładaj, że infekcja infostealerem jest incydentem tożsamościowym. Zmieniaj poświadczenia i unieważniaj sesje zamiast czyścić komputer i przechodzić dalej.

9. Przeszkol konkretnie zespoły inżynierskie. Operatorzy północnokoreańscy wielokrotnie atakowali deweloperów przez fałszywe oferty rekrutacyjne, spreparowane zadania programistyczne i złośliwe pakiety. Celem jest osoba przy klawiaturze.

Nadzór

10. Przećwicz incydent w tempie maszynowym. Zadaj pytanie, co Twoja organizacja realnie zdołałaby zrobić w ciągu dwudziestu minut, i zbuduj to, czego ta odpowiedź wymaga.

11. Wiedz, które z Twoich aktywów można zamrozić i kto może to zrobić, i miej te kontakty przygotowane, zanim będą potrzebne.

12. Nie opieraj decyzji o skutkach prawnych na atrybucji jednej firmy analitycznej. Dla obrony operacyjnej działaj na jej podstawie. Dla czegokolwiek formalnego poczekaj na oficjalne potwierdzenie.

Podsumowanie

Sześć miliardów trzysta milionów dolarów przemieszczonych na dziesięciu blockchainach w około dwadzieścia minut, a droga do nich prowadziła przez laptop jednego inżyniera. Kryptografia wytrzymała. Klucze prywatne, według relacji Binance, nigdy nie wyciekły. Nie miało to żadnego znaczenia, bo napastnik nie atakował kryptografii. Zaatakował organizację, która ją otacza.

Lekcja: w każdym systemie chronionym podpisami prawdziwym obwodem bezpieczeństwa jest ten, kto może doprowadzić do powstania podpisu. Przechowywanie kluczy przyciąga ogromną uwagę, bo jest policzalne i mierzalne. Ścieżka od stacji roboczej dewelopera do systemu podpisującego dostaje jej znacznie mniej, bo przechodzi między zespołami i wygląda jak zwykła infrastruktura. To właśnie na tej ścieżce wydarzyła się i ta kradzież, i wcześniejsza z Bybit.

Druga lekcja dotyczy tempa. Mniej więcej połowę środków zamrożono, co jest realnym sukcesem i kilka lat temu byłoby niemożliwe. Ale sama kradzież zakończyła się w dwadzieścia minut, na długo przed jakąkolwiek ludzką decyzją. Wszystko, co zadziałało później, było odzyskiwaniem. Wszystko, co mogłoby temu zapobiec, musiałoby działać automatycznie.

Dwa pytania warte odpowiedzi w tym tygodniu, niezależnie od branży: jaka jest najkrótsza droga od laptopa inżyniera do systemu mogącego przesunąć pieniądze oraz co zatrzymałoby transakcję w trzeciej minucie, a nie w trzeciej godzinie?