Atak na Binance: co się stało, co robić teraz i co naprawdę cię chroni

Jeśli trzymasz środki na Binance, zacznij od jednego rozróżnienia, które relacje medialne wciąż rozmywają. Według dotychczasowej relacji Binance kradzież z 29 października 2026 nastąpiła wewnątrz jego systemów. Według wszystkiego, co dotąd opublikowano, żadne wybrane przez ciebie hasło, żadna metoda 2FA, żadne ustawienie po twojej stronie nie odegrało w niej żadnej roli i żadne nie mogło jej zatrzymać: relacja Binance mówi, że nieautoryzowane wypłaty zostały zlecone z wnętrza jego systemów. Niebezpieczeństwo dla ciebie zaczyna się po ataku i leży po twojej stronie: oszustwa na zwrot środków, fałszywi agenci wsparcia, złośliwe „portale roszczeń" i strojanizowane aplikacje, które często następują po dużym naruszeniu. Ten wpis porządkuje, co się stało, co wciąż jest nieznane, i przypisuje każdy krok ochronny do zagrożenia, które faktycznie zatrzymuje. W chwili pisania wypłaty są wstrzymane, a Binance spodziewa się ich wznowienia w ciągu 48 godzin od swojej aktualizacji z 04:36 UTC. Wszystko tutaj odzwierciedla sytuację na godzinę 06:40 UTC 30 października 2026.

Co właściwie wydarzyło się w Binance?

TRM Labs szacuje, że około 6,36 mld dolarów opuściło Binance na dziesięciu blockchainach, przy czym większość środków przemieściła się w około 20 minut, począwszy od 20:05 UTC 29 października, a druga fala nastąpiła około 23:05 UTC. Ethereum odpowiadało za około 3,79 mld dolarów, a Bitcoin za 18 270 BTC, czyli około 1,47 mld dolarów. Chainalysis oszacowało kwotę na 5,912 mld dolarów w momencie kradzieży, a jego współzałożyciel mówił później o około 6,4 mld dolarów i prawdopodobnym udziale TraderTraitor. Według obliczeń TRM to około cztery razy więcej niż kradzież 1,5 mld dolarów z Bybit w lutym 2025.

Do 21:29 UTC Binance poinformowało, że jest „świadome doniesień o potencjalnym problemie z bezpieczeństwem", i ostrzegło użytkowników, by nie ufali nieoficjalnym linkom ani prośbom o dane konta. Wstrzymało wypłaty, a w swoim głównym oświadczeniu około 02:25 UTC 30 października podało, że szacowany łączny wpływ „wynosi około 6,3 mld dolarów", z czego około 3 mld dolarów jest dotąd zamrożone na łańcuchu. Według Binance jego wstępne dochodzenie sugeruje, że incydent może wiązać się z przejętym laptopem inżyniera DevOps, co pozwoliło atakującemu dotrzeć do kontenera usługowego i zlecić nieautoryzowane transakcje wypłat. Binance twierdzi, że nie znalazło „żadnych dowodów na jakikolwiek wyciek klucza prywatnego portfela" i że incydent „wynika z wielu czynników". Obiecało kompleksowy raport z pierwotną przyczyną. Binance zapowiada też publikację zaktualizowanego Proof of Reserves po zakończeniu działań naprawczych.

Według TRM środki wyszły z gorących portfeli, czyli portfeli, które giełda utrzymuje podłączone do internetu, aby wypłaty mogły być szybko podpisywane. Ocena TRM mówi, że „najbardziej prawdopodobnym wyjaśnieniem" jest to, że atakujący skłonił system podpisywania gorących portfeli Binance do podpisania transakcji, po wcześniejszych próbach na portfelach testowych. TRM przypisuje atak północnokoreańskiej grupie TraderTraitor „z wysoką pewnością", a współzałożyciel Chainalysis również wskazuje na TraderTraitor. Obie to oceny analityków. FBI przypisało kradzież z Bybit tej samej grupie, ale żaden rząd nie wydał oświadczenia w sprawie tego incydentu.

Binance deklaruje, że pokryje wszystkie straty z funduszu SAFU i środków firmy, oraz że „środki użytkowników są bezpieczne". To zobowiązania Binance, ogłoszone przez Binance. Dla skali: CoinDesk podaje, że SAFU przechowuje około 1 mld dolarów w bitcoinie i został utworzony w 2018 roku, a Binance przed atakiem posiadało około 144 mld dolarów według DefiLlama, co oznacza, że kradzież zabrała około 4% aktywów. Binance.US podobno nie zostało dotknięte, według PTC News.

Co wciąż nie jest potwierdzone?

Całkiem sporo. Traktuj poniższe jako pytania otwarte, a nie ustalone fakty.

• Pierwotna przyczyna. Wyjaśnienie z laptopem to wstępna sugestia Binance, a samo Binance mówi, że w grę wchodziło wiele czynników. Nie ustalono, czy jeden przejęty komputer wyjaśnia podpisywanie na dziesięciu łańcuchach.
• Ostateczna strata. Liczby od Binance, TRM i Chainalysis różnią się i wciąż się zmieniają.
• Ile wróci. Zamrożone oznacza, że emitent taki jak Tether, a w jednym przypadku rada bezpieczeństwa łańcucha, zablokował przemieszczanie skradzionych tokenów na łańcuchu; zwrócone oznacza, że pieniądze są z powrotem tam, skąd wyszły, a żadnego zwrotu nie zgłoszono. TRM szacuje, że emitenci zamrozili około 2,67 mld dolarów, w tym mniej więcej 1,77 mld USDT przez Tether i 825 mln USDC przez Circle. Ale TRM szacuje też, że ponad 420 000 ETH i 18 270 BTC, czyli około 2,4 mld dolarów, jest „poza zasięgiem jakiegokolwiek emitenta". CoinDesk podaje, że bitcoin został rozdzielony na 19 portfeli, których nikt nie może zamrozić, i żaden z nich nie przemieścił monet do 04:23 UTC. Nawet gdyby każdy zamrożony token wrócił, pozostałoby około 3,3 mld dolarów, a mniej więcej 1 mld dolarów z SAFU pokrywa mniej niż jedną trzecią tej kwoty, przy czym Binance twierdzi, że resztę pokryją środki firmy.
• Atrybucja. TRM i Chainalysis wskazują na TraderTraitor; nie istnieje żadne oświadczenie rządowe dotyczące tego incydentu.
• Użytkownicy i dane. Żadne oświadczenie Binance nie podaje liczby dotkniętych użytkowników, nie mówi, że konta zostały indywidualnie przejęte, ani nie odnosi się w żadną stronę do danych osobowych.
• Harmonogram. Binance podało o 04:36 UTC, że spodziewa się „wznowienia wypłat w ciągu 48 godzin", podczas gdy kończy się przegląd bezpieczeństwa usługi wypłat.
• Wpłaty. W sformułowaniach samego Binance jest jawna sprzeczność. Jego oświadczenia z 00:13 UTC i około 02:25 UTC mówiły, że wpłaty i wypłaty zostały tymczasowo wstrzymane. Jego aktualizacja z 04:36 UTC mówiła: „Wpłaty pozostają nienaruszone i nadal działają normalnie." Binance nie wyjaśniło tej różnicy.

Co powinieneś zrobić teraz, jeśli korzystasz z Binance?

Żaden z tych kroków nie zapobiegłby atakowi. Wszystkie zmniejszają to, co atakujący lub oszust może ci od teraz zrobić.

1. Korzystaj wyłącznie z oficjalnych kanałów. Binance poprosiło użytkowników, by polegali tylko na oficjalnych kanałach Binance w sprawie aktualizacji. Zanim zaufasz jakiemukolwiek linkowi, adresowi e-mail, numerowi telefonu lub kontu społecznościowemu, wklej go do Binance Verify. Wskazówki bezpieczeństwa Binance mówią, że nigdy nie zadzwoni ani nie napisze do ciebie na WhatsApp lub w innych mediach społecznościowych. Ustaw kod antyphishingowy, aby prawdziwe e-maile od Binance zawierały frazę, którą znasz tylko ty.
2. Traktuj każdą wiadomość o zwrocie, roszczeniu lub odblokowaniu jak oszustwo. Według Binance giełda nie kontaktuje się proaktywnie z użytkownikami przez nieoficjalne kanały, aby oferować prezenty lub sposoby odblokowania konta, i nigdy nie poprosi o środki w komunikacji prywatnej. Usługi odzyskiwania środków to ta sama pułapka w garniturze. Jak ujmuje to Revoke.cash: „Nie istnieje żaden legalny proces odzyskiwania, który wymagałby twojej frazy seed." Nigdy nie płać z góry nikomu, kto obiecuje odzyskanie środków.
3. Zrób audyt swoich kluczy API. Jeśli kiedykolwiek podłączyłeś bota handlowego lub tracker portfela, przejrzyj klucze. Wytyczne API Binance zalecają stosowanie białej listy IP na wszystkich kluczach i unikanie włączania wszystkich uprawnień na jednym kluczu. Klucz bez białej listy IP nie może inicjować wypłat, a nieaktywne klucze bez białej listy są usuwane po 30 dniach. Usuń wszystko, czego nie rozpoznajesz.
4. Włącz białą listę wypłat. Gdy jest włączona, według Binance, możesz wypłacać tylko na adresy z twojej białej listy, dodanie adresu wymaga 2FA, a zmiana białej listy może wstrzymać wypłaty na 24, 48 lub 72 godziny. Whitelist Withdrawal Limit dodatkowo opóźnia nowo dodane adresy. Ten okres oczekiwania to sedno sprawy: kupuje ci czas, jeśli ktoś dostanie się na twoje konto.
5. Sprawdź swoje urządzenia i historię logowań. Binance prowadzi dziennik prób logowania. Przejrzyj go i usuń każde urządzenie lub sesję, których nie rozpoznajesz.
6. Hasła i 2FA, szczerze. Oświadczenia Binance nie prosiły użytkowników o zmianę haseł i nie mówią nic w żadną stronę o danych osobowych. Zmień swoje mimo to, jeśli używasz go na innej stronie, jeśli kliknąłeś jakikolwiek link z wiadomości o ataku lub jeśli kiedykolwiek przeczytałeś komuś kod. I ulepsz swój drugi składnik: Binance obsługuje passkey lub aplikację uwierzytelniającą „jako alternatywę dla weryfikacji SMS". Nie są one równe, co wyjaśniamy poniżej.

Jakie oszustwa następują po takim ataku?

Godziny po głośnym naruszeniu to pracowity czas dla podszywających się oszustów, bo strach sprawia, że ludzie klikają. Chainalysis podaje, że oszustwa polegające na podszywaniu się wzrosły o ponad 1400% w 2025 roku w porównaniu z 2024, a średnia płatność w oszustwie wzrosła z 782 dolarów w 2024 do 2764 dolarów w 2025. Spodziewaj się tych schematów:

• E-mail o zwrocie. „Odbierz rekompensatę przed upływem terminu." Link prowadzi do fałszywej strony logowania, która w czasie rzeczywistym przechwytuje twoje hasło i kod 2FA.
• Telefon ze wsparcia. Ktoś podający się za zespół bezpieczeństwa Binance mówi, że twoje konto jest zagrożone, i przeprowadza cię przez „weryfikację". Binance twierdzi, że nigdy do ciebie nie zadzwoni.
• Ekspert od odzyskiwania. Gdy stracisz pieniądze, pomocny nieznajomy oferuje ich wyśledzenie, za opłatą, albo prosi o frazę seed, by „zsynchronizować" twój portfel. Obie prośby kończą się tak samo.
• Usługa odblokowania. Przy wstrzymanych wypłatach spodziewaj się ofert specjalnego kanału, by wcześniej wydostać swoje środki. Binance twierdzi, że nie oferuje sposobów odblokowania konta przez nieoficjalne kanały.

Dlaczego presja czasu działa? Bo, jak zauważa FTC, płatności kryptowalutowe zazwyczaj nie są odwracalne i najpewniej okaże się, że nikt nie może wkroczyć i pomóc odzyskać środki ze skradzionego portfela. Oszustowi wystarczy jedna podpisana transakcja, jeden raz.

Jak ogólnie zabezpieczyć kryptowaluty?

Zacznij od kompromisu. Trzymanie monet na giełdzie wystawia cię na naruszenia po stronie giełdy, takie jak to, a w zamian platforma może zobowiązać się do wyrównania strat, jak zrobiło to Binance. Trzymanie własnych kluczy całkowicie usuwa giełdę z równania i przenosi każde pozostałe ryzyko na ciebie. Chainalysis naliczyło 158 000 przypadków przejęcia indywidualnych portfeli i 80 000 unikalnych ofiar w 2025 roku, z 713 mln dolarów skradzionymi osobom prywatnym, mniej niż szczyt 1,5 mld dolarów z 2024 roku. Żadne zobowiązanie w stylu giełdowym nie pokrywa tych strat. Nie mówimy ci, gdzie trzymać pieniądze; mówimy ci, że ryzyko przemieszcza się razem z nimi.

Niezależnie od wybranej kombinacji, te nawyki się sprawdzają:

• Wiedz, co naprawdę robi portfel sprzętowy. Trzyma klucze prywatne na osobnym urządzeniu i tam podpisuje transakcje, więc przejęty komputer nigdy ich nie posiada, ale wciąż musisz czytać na jego ekranie, co zatwierdzasz.
• Trzymaj frazę seed offline. Zapisaną na papierze lub metalu, nigdy nie fotografowaną, nigdy nie wpisywaną na stronie internetowej, nigdy nie udostępnianą. Każdy, kto o nią prosi, zabiera twój portfel, jakkolwiek nazywa ten proces.
• Preferuj passkeye i klucze sprzętowe zamiast kodów. Passkey jest powiązany z prawdziwą stroną: według standardu WebAuthn poświadczenia są przypisane do jednej strony ufającej i nie mogą być użyte przez łudząco podobną domenę. Aplikacja uwierzytelniająca jest dobra, ale przekonująca strona phishingowa może przekazywać jej kody na żywo. SMS to najsłabsza opcja: wytyczne NIST traktują weryfikację SMS i głosową jako ograniczoną. Mówią też wprost: „Hasła nie są odporne na phishing."
• Dodawaj adresy wypłat do białej listy na każdej giełdzie, która to obsługuje, aby same skradzione dane logowania nie mogły przekierować twoich monet.
• Odwołuj stare zgody tokenów. Jeśli korzystasz z DeFi, zgody „dają smart kontraktowi pozwolenie na wydawanie twoich tokenów w twoim imieniu" i, według Revoke.cash, pozostają aktywne bezterminowo. Przeglądaj je w Revoke.cash lub na stronie zgód tokenów w Etherscan i utnij te, których już nie potrzebujesz.
• Używaj osobnego adresu e-mail do kont giełdowych, takiego, którego nie używasz nigdzie indziej, aby wyciek w jakiejś niepowiązanej usłudze nie wręczył atakującym twojego loginu do krypto.
• Pobieraj aplikacje portfeli wyłącznie z oficjalnych źródeł. Dla grupy wskazywanej przez analityków to nie jest hipoteza. Ostrzeżenie CISA o TraderTraitor opisuje wiadomości spearphishingowe do pracowników firm kryptowalutowych, które „naśladują proces rekrutacji i oferują wysoko płatne stanowiska" oraz nakłaniają ofiary do pobrania strojanizowanych aplikacji kryptowalutowych na Windows lub macOS. Ten sam scenariusz, wycelowany w osoby prywatne, to fałszywa aktualizacja portfela.

Po szersze podstawy, od menedżerów haseł po dyscyplinę aktualizacji, zajrzyj do naszego centrum bezpieczeństwa online i przeglądu tygodnia cyberbezpieczeństwa z października 2026.

Która ochrona zatrzymuje które zagrożenie?

To tabela warta zachowania. Najpierw przeczytaj kolumnę naruszenia po stronie giełdy.

Spójrz na kolumnę po stronie giełdy. Wobec naruszenia po stronie giełdy niemal każdy wiersz brzmi Nie, ponieważ, według dotychczasowej relacji Binance, atak przebiegł wewnątrz jego systemów. Jedyne Tak to samodzielne trzymanie monet, a ten wiersz niesie własny koszt: 158 000 przejęć portfeli, które Chainalysis naliczyło w 2025 roku, wydarzyło się w portfelach osobistych, nie na giełdach. Nie ma wiersza, który wygrywa każdą kolumnę. Dlatego rozsądnym ruchem jest nakładanie warstw, a nie wybieranie jednej.

Gdzie VPN naprawdę pomaga?

VPN zajmuje jedną kolumnę tej tabeli i dotyka drugiej. Le VPN szyfruje ruch między twoim urządzeniem a serwerem VPN, co oznacza, że ktoś w tej samej sieci kawiarni lub lotniska nie może odczytać twojego ruchu, a twój dostawca internetu nie widzi, z jakich usług korzystasz. Jeśli kiedykolwiek sprawdzasz giełdę lub portfel poza domem, to ma znaczenie; zobacz nasz przewodnik po bezpieczeństwie publicznych sieci Wi-Fi. Threat Protection (Block Online Threats na Windows i Androidzie), przełącznik w aktualnych aplikacjach, dodaje oparte na DNS blokowanie znanych złośliwych domen, co może powstrzymać cię przed wejściem na oznaczoną stronę phishingową, choć strona zarejestrowana godzinę temu może jeszcze nie być na żadnej liście. Data Breach Scanner, zawarty w aktywnej usłudze, sprawdza adres e-mail na twoim koncie Le VPN pod kątem znanych wycieków i wysyła ci e-mail, jeśli się w nich pojawi.

A oto, czego VPN nie robi. Nie zatrzymuje złośliwego oprogramowania już obecnego na twoim urządzeniu. Nie może zablokować strony phishingowej, której nikt nie oznaczył. Nie miałby żadnego wpływu na to naruszenie, ponieważ, według relacji Binance, wydarzyło się ono wewnątrz systemów Binance. Nie zmienia warunków korzystania z giełdy ani tego, które kraje giełda obsługuje. A łączenie się z nowego adresu IP może wywołać dodatkowe kontrole bezpieczeństwa na giełdzie, więc spodziewaj się dodatkowego monitu. Po pełniejszy obraz tego, gdzie to narzędzie pasuje w konfiguracji krypto, przeczytaj nasz tekst o VPN i bezpieczeństwie kryptowalut.

Dopóki Binance nie opublikuje swojego raportu końcowego, fakty o tym ataku pochodzą z jego oficjalnych kont i od wskazanych analityków. Każdy inny, kto skontaktuje się z tobą w tej sprawie, e-mailem, telefonicznie, w wiadomości prywatnej lub przez wyskakujące okienko, czegoś od ciebie chce.