Útok na Binance za 6,3 miliardy dolárov: čo vieme o ukradnutých kryptomenách a sľúbených náhradách

Binance odhaduje dosah útoku na 6,3 miliardy dolárov. Časť aktív je zmrazená, no vyšetrovanie príčiny, návrat prostriedkov aj nezávislé overenie náhrad pokračujú.

Útok na kryptomenovú burzu Binance z 29. októbra 2026 zasiahol aktíva, ktorých hodnotu spoločnosť predbežne vyčíslila na približne 6,3 miliardy dolárov. Ak sa rozsah potvrdí, pôjde o najväčšiu známu krádež kryptomien. Rekordná suma však nie je jediným dôležitým údajom. Pre klientov je podstatné, čo bolo skutočne zmrazené, kedy budú dostupné výbery a ako burza splní sľub, že straty pokryje.

Pri tejto udalosti treba dôsledne odlišovať tri veci: vyjadrenia Binance, pohyby viditeľné na blockchaine a závery analytikov o príčine či páchateľovi. Prvé predstavujú stanovisko zasiahnutej spoločnosti, druhé možno nezávisle skúmať a tretie zostávajú hodnotením dostupných dôkazov. Technická správa, ktorá by celý priebeh definitívne vysvetlila, zatiaľ zverejnená nebola.

Čo potvrdila Binance a čo ešte nie

Binance vo svojom oznámení uviedla odhadovaný dosah incidentu približne 6,3 miliardy dolárov. Podľa burzy sa v spolupráci s partnermi podarilo zmraziť aktíva za približne 3 miliardy dolárov. Spoločnosť tvrdí, že používateľské prostriedky sú v bezpečí a prípadné straty uhradí z ochranného fondu SAFU a z vlastných zdrojov. Tieto tvrdenia sú záväzkami burzy, nie zatiaľ zverejneným nezávislým auditom ich splnenia.

Prvé vysvetlenie Binance ukazovalo na možnú kompromitáciu notebooku pracovníka DevOps. Útočník sa podľa predbežného vyšetrovania mohol dostať k servisnému kontajneru a odoslať neoprávnené transakcie na výber. Burza však následne uviedla, že našla aj ďalšie body narušenia. Pripisovať celý útok jednému zariadeniu alebo jednému zamestnancovi by preto bolo predčasné.

Binance zároveň uvádza, že doteraz nenašla dôkaz o úniku súkromných kľúčov peňaženiek. Neznamená to, že už pozná úplnú príčinu útoku. Výrok o nenájdených dôkazoch má užší význam než tvrdenie, že únik bol definitívne vylúčený. Rozdiel je dôležitý aj pre posúdenie toho, či zlyhalo samotné držanie kľúčov, alebo systémy, ktoré schvaľujú a vykonávajú transakcie.

Po incidente burza pozastavila výbery a zrušila príslušné oprávnenie napadnutej adresy. V aktualizovanom oznámení spresnila, že vklady fungujú normálne. Na svojom oficiálnom účte uviedla očakávanie obnovenia výberov do 48 hodín, nie pevne potvrdený termín. Klient by preto nemal zamieňať odhad obnovy služby s oznámením, že už môže prostriedky vybrať.

Časová os a rozdielne odhady škody

TRM Labs na základe sledovania blockchainov uvádza, že hlavná vlna odlivov sa začala 29. októbra približne o 20.05 UTC. Väčšina sledovanej hodnoty podľa firmy odišla asi za 20 minút. Analytici zároveň identifikovali ďalšie presuny neskôr v ten večer. Údaj o dvadsiatich minútach teda opisuje najintenzívnejšiu fázu, nie nevyhnutne úplné trvanie incidentu.

TRM Labs ocenila vysledované odchádzajúce aktíva v čase ich presunu na približne 6,36 miliardy dolárov. Elliptic uvádza približne 6,43 miliardy dolárov, kým Binance hovorí o dosahu okolo 6,3 miliardy. Nejde o tri potvrdenia totožnej účtovnej straty. Analytické firmy pracujú s vlastným výberom transakcií, okamihom ocenenia a priebežne sa meniacimi údajmi; ich metodiky a zábery preto treba čítať oddelene.

Rozdiel vidno aj v počte zasiahnutých sietí: TRM Labs vo svojej analýze sleduje odliv na desiatich blockchainoch, Elliptic opisuje zásah jedenástich. Z dostupných zverejnených údajov nie je vhodné tento nesúlad svojvoľne odstrániť. Obe firmy však identifikovali rozsiahle presuny z peňaženiek pripisovaných Binance a najväčšiu hodnotu na sieti Ethereum.

Podľa rozpisu TRM Labs pripadá na Ethereum približne 3,79 miliardy dolárov a na Bitcoin 1,47 miliardy. Nasleduje Tron s približne 628 miliónmi dolárov a XRP Ledger s 296 miliónmi. Ide o hodnoty aktív pri ich odchode, nie o preukázanú konečnú čistú stratu po prípadnom zmrazení a vrátení časti prostriedkov.

Ako mohol útočník presúvať miliardy

Analýza TRM Labs opisuje koordinované pohyby z takzvaných horúcich peňaženiek, ktoré burza používa na operatívne spracovanie transakcií. Na Ethereu firma identifikovala využitie mechanizmu EIP-7702: peňaženka mohla na základe podpísaného oprávnenia dočasne vykonávať kód určený iným kontraktom. Podľa analytikov útočník pripravil viacero autorizácií a jednu z nich použil na presmerovanie vykonávania transakcií.

Na ďalších sieťach sa podľa TRM Labs aktíva presúvali bežnými podpísanými transakciami. Elliptic preto považuje údaje z blockchainu za zlučiteľné s možnosťou, že útočník prinútil interné systémy Binance transakcie autorizovať. Je to technická interpretácia verejne pozorovaných pohybov, nie prístup k úplným interným záznamom burzy.

Práve tento rozdiel vysvetľuje, prečo tvrdenie Binance o nenájdenom úniku súkromných kľúčov nie je v rozpore s rozsiahlymi odlivmi. Aj bez zverejnenia kľúča môže vzniknúť škoda, ak napadnutý proces dokáže získať platné podpisy alebo oprávnenia. Ktoré konkrétne interné kontroly v tomto prípade zlyhali, však zatiaľ nemožno uzavrieť.

Útok zároveň ukazuje riziko spoločnej prevádzkovej vrstvy nad viacerými blockchainmi. Samotné siete nemusia mať rovnakú technickú chybu: stačí, aby útočník získal vhodný prístup k infraštruktúre, ktorá spravuje odosielanie aktív naprieč nimi. To je záver vyplývajúci z charakteru pozorovaných prevodov, nie potvrdené vysvetlenie úplnej príčiny incidentu.

Zmrazené aktíva nie sú peniaze späť na účtoch

Binance uvádza približne 3 miliardy dolárov zmrazených aktív. Nezávislé predbežné súčty sa líšia: Elliptic overil približne 2,84 miliardy dolárov zmrazených prostriedkov, zatiaľ čo skorší rozpis TRM Labs hovoril o hodnote okolo 2,7 miliardy. Rozdiel nemusí znamenať, že niektorá strana opisuje úplne inú udalosť; výpočty vznikali v rôznych okamihoch a zahŕňali odlišne overené zásahy.

Zmrazenie znamená, že sa útočník k určitej časti aktív nemôže voľne dostať. Samo osebe však nepotvrdzuje ich konečné navrátenie Binance ani pripísanie na používateľské účty. Práve preto nemožno od odhadovanej hodnoty odcudzených aktív mechanicky odpočítať zmrazenú sumu a výsledok označiť za definitívnu škodu.

Veľkú časť blokovaných prostriedkov tvoria stablecoiny. Ich vydavatelia môžu za určitých okolností obmedziť používanie konkrétnych tokenov na označených adresách. Pri natívnych aktívach, akými sú bitcoin alebo ether, neexistuje jeden vydavateľ s rovnakou možnosťou zmrazenia zostatku. Vystopovať pohyb takýchto aktív a fakticky ich získať späť sú dve odlišné úlohy.

Elliptic upozorňuje, že časť odcudzených stablecoinov sa podarilo vymeniť za iné aktíva ešte pred zásahmi vydavateľov. Úspech pri blokovaní jednej skupiny tokenov preto nehovorí všetko o zvyšku portfólia útočníka. Stav sa môže meniť s každým ďalším presunom, zásahom partnerov alebo vývojom trhovej ceny.

Čo presne znamená sľub pokryť straty

Binance okrem fondu SAFU oznámila, že na riešenie incidentu vyčlenila viac než 6,34 miliardy dolárov vlastných zdrojov. Podľa jej aktualizácie približne 5 miliárd z tejto sumy už drží v rovnakých tokenoch, akých sa incident týkal; zvyšné aktíva má obstarávať. Burza tiež uviedla, že začala obnovovať dotknuté používateľské zostatky. Miera dokončenia tohto procesu zatiaľ nie je doložená konečným vyúčtovaním.

Vyčlenené firemné zdroje a približne 3 miliardy dolárov zmrazených aktív sú samostatné položky. Binance výslovne uvádza, že zmrazené prostriedky do oznámenej rezervy nezapočítava. To však neznamená, že možno obe čísla sčítať a výsledok vydávať za hotovosť už dostupnú klientom. Jedna položka opisuje plánované krytie, druhá stav obmedzenia nakladania s časťou odcudzených aktív.

SAFU je ochranný fond, ktorým Binance podľa vlastných pravidiel rieši vybrané straty používateľov. Jej dokumentácia uvádzala k januáru 2026 hodnotu približne jednej miliardy dolárov v USDC. Táto historická hodnota nie je dôkazom aktuálneho stavu fondu po októbrovom incidente. Pri posudzovaní sľubu náhrad sú preto dôležitejšie následné údaje o skutočne dostupných aktívach a dokončených obnovách zostatkov než staršie ocenenie fondu.

Binance prisľúbila aj aktualizované potvrdenie rezerv, známe ako Proof of Reserves, a technické vyhodnotenie útoku. Zverejnenie rezerv môže pomôcť skontrolovať držané aktíva, no samo osebe nevysvetlí príčinu narušenia ani nepreukáže, ako rýchlo sa vyrovnali všetky dotknuté nároky. Pri hodnotení udalosti budú rozhodujúce obe skupiny informácií.

Kto je podozrivý a čo z toho je potvrdené

TRM Labs pripisuje útok skupine TraderTraitor spojenej so Severnou Kóreou. Elliptic takisto hodnotí severokórejské zapojenie ako pravdepodobné a opisuje spojitosti v pohybe aktív i podobnosti v postupe. Ide o závery firiem, ktoré analyzujú blockchainové dáta, nie o verejné potvrdenie totožnosti páchateľa zo strany Binance alebo orgánov činných v trestnom konaní v tomto konkrétnom prípade.

Historický kontext je pevnejší: americká FBI vo februári 2025 pripísala skupine TraderTraitor krádež približne 1,5 miliardy dolárov z burzy Bybit. Tento starší záver podporuje význam podozrenia analytikov, automaticky však nedokazuje, že rovnakí ľudia vykonali aj aktuálny útok na Binance.

Rozsah incidentu prevyšuje prípad Bybit približne štvornásobne. Porovnanie pomáha vysvetliť, prečo sa udalosť označuje za rekordnú, nie však určiť páchateľa. Kým vyšetrovanie pokračuje, korektné je hovoriť o prisúdení útoku analytickými firmami a otvorene pomenovať hranice ich verejne dostupných dôkazov.

Čo sledovať v ďalších aktualizáciách

Pre používateľov bude prvým praktickým ukazovateľom potvrdené obnovenie výberov. Nasledovať by mali informácie o tom, koľko aktív sa podarilo skutočne získať späť, ako burza obnovila dotknuté tokenové zostatky a či aktualizované rezervy zodpovedajú jej záväzkom. Samotné oznámenie zmrazenej sumy tieto otázky nezodpovedá.

Rovnako dôležitá bude technická správa rozlišujúca počiatočný prístup útočníka od ďalších krokov v systémoch Binance. Predbežné zistenie o notebooku, neskoršie upozornenie na ďalšie body narušenia a analýza podpisovaných transakcií dnes tvoria časti obrazu, nie uzavretý príbeh. Až ich prepojenie s overiteľnými zisteniami umožní presnejšie posúdiť bezpečnostné zlyhanie.

Incident napokon ukazuje hranicu medzi transparentnosťou blockchainu a ochranou majetku. Verejná história transakcií môže pomôcť rýchlo sledovať ukradnuté aktíva, no nezaručuje ich zastavenie ani vrátenie. Rozhodujúca je súhra bezpečnosti burzy, možností vydavateľov tokenov, spolupráce vyšetrovateľov a schopnosti spoločnosti splniť vlastné záväzky voči klientom.