Kradzież z 29 października 2026 r. objęła, według szacunków, kryptowaluty warte 6,3–6,4 mld dolarów przeniesione między różnymi blockchainami. Większość transferów nastąpiła w ciągu około 20 minut. FBI przypisało atak północnokoreańskiej grupie TraderTraitor. Analitycy śledzili później przepływ skradzionych aktywów przez różne sieci, a awaryjna przerwa w działaniu THORChain na krótko zatrzymała część wymian międzyłańcuchowych.
1
12
58
Podawane kwoty to szacunki z niezależnych analiz, a nie jeden uzgodniony bilans. Warto też rozróżnić środki, które zmieniły adres, te, które zamrożono, oraz straty klientów, które — jak zapewnia Binance — pokryje giełda.
Co się stało i kogo wskazano jako sprawcę?
TRM Labs oszacowała, że z portfeli Binance wypłynęło około 6,36 mld dolarów w aktywach z 10 blockchainów. Większość transferów miała nastąpić w ciągu około 20 minut od godz. 20:05 UTC. Inne firmy podały nieco odmienne wartości: Elliptic oszacowała straty na 6,43 mld dolarów w 11 sieciach, a Bitquery śledziła około 6,3 mld dolarów na dziewięciu. To wyniki różnych analiz, a nie jeden wspólnie potwierdzony bilans.
12
58
19
FBI uznało Koreę Północną za odpowiedzialną za kradzież i określiło powiązaną z nią aktywność mianem TraderTraitor. Biuro poinformowało również, że zaobserwowało przede wszystkim konwersję skradzionych aktywów na ether.
1 Korea Północna odrzuciła oskarżenia. CoinDesk podał, że Kim Yo Jong nazwała je polityczną prowokacją, a Reuters — że Korea Północna określiła je jako „absurdalną retorykę”.
56
48
Doniesienia wskazują na możliwe przejęcie systemów powiązanych z procesem podpisywania transakcji w portfelach Binance. Dostępne tu informacje nie składają się jednak na pełny, niezależnie potwierdzony opis tego, w jaki sposób napastnicy uzyskali dostęp.
5
16
Co stało się ze skradzionymi SOL?
Według doniesień opartych na śledzeniu transakcji, do 4 listopada około 81% z 970 522 SOL przypisywanych kradzieży opuściło portfele powiązane z napastnikami. W portfelach grupowanych przez Arkham jako należące do sprawców miało pozostać 182 443 SOL, warte wówczas około 16,9 mln dolarów.
22
29
Relacje opisywały rozdzielanie SOL między wiele portfeli oraz konwersje i wymiany między łańcuchami, między innymi za pośrednictwem THORChain. Część doniesień przedstawiała trasę prowadzącą przez USDC i Ethereum, a następnie w kierunku bitcoina. To wyniki śledzenia transakcji, nie dowód, że każdy token przebył tę samą drogę, został sprzedany albo zamieniony na tradycyjne pieniądze.
23
29
To rozróżnienie ma znaczenie przy ocenie wpływu na rynek. Jedna z relacji odnotowała krótkotrwały spadek ceny SOL w okresie kradzieży, ale dostępne źródła nie pozwalają określić, jak duży był wpływ ataku na szersze zmiany cen. Nie potwierdzają też szerzej twierdzeń o październikowych wynikach Solany, pozycjach krótkich, przepływach do funduszy ETF ani wpłatach na giełdy. Sam transfer środków na giełdę nie dowodzi, że doszło do sprzedaży.
28
Dlaczego THORChain wstrzymał wymiany i co później wznowiono?
31 października reorganizacja bloku w sieci Ethereum wpłynęła na wpłatę 10 ETH w THORChain. Według doniesień protokół zwrócił środki dwukrotnie, po czym awaryjnie wstrzymał wymiany. Chainalysis oceniła, że przerwa przypadkowo opóźniła pranie pieniędzy po kradzieży z Binance: wstrzymanie uniemożliwiło użytkownikom, w tym podejrzanym sprawcom, korzystanie z wielu mostów i wymian międzyłańcuchowych THORChain.
38
46
Po aktualizacji v3.21.1 THORChain wznowił wymiany obejmujące bitcoina, Ethereum i dziewięć innych wymienionych aktywów. Według relacji o wznowieniu wymiany SOL, BNB Smart Chain i Cosmos Hub pozostawały wstrzymane.
41
Osobny raport przypisany Grey Ledger podawał, że w ciągu 25 minut od wznowienia wymian zrealizowano 41 transakcji powiązanych ze śledzonymi przez niego adresami, a wypłata wyniosła 368,12 ETH. To wynik konkretnego śledzenia, nie pełne rozliczenie skradzionych środków ani dowód, że wszystkie adresy odbiorców kontrolowała ta sama grupa.
42
FBI zwróciło się do podmiotów z branży kryptowalut, w tym operatorów węzłów THORChain, o ograniczenie transakcji powiązanych z kradzieżą. Opublikowana lista obejmowała 608 adresów Ethereum, 19 adresów Bitcoina i jeden adres Solany. Niezależna struktura węzłów THORChain sprawia, że przełożenie takiego apelu na działania w całym protokole nie jest proste.
34
40
60
Zamrożone środki, pozostałe salda i pokrycie strat klientów
Elliptic poinformowała, że emitenci stablecoinów Tether i Circle zamrozili około 2,8 mld dolarów powiązanych z kradzieżą. Inne szacunki również wskazywały na zamrożenie lub przechwycenie aktywów o wartości miliardów dolarów, ale podawane sumy różnią się w zależności od źródła i daty raportu.
52
60
Odrębne szacunki mówiły o około 3,21–3,25 mld dolarów w adresach powiązanych z kradzieżą, głównie w bitcoinie i etherze. Są to wartości odnoszące się do konkretnego momentu śledzenia. Środki pozostające w powiązanym portfelu nie są tym samym co środki odzyskane, a zamrożone saldo nie jest równoznaczne z saldem, którym nadal dysponują napastnicy.
53
60
Binance zadeklarowało pokrycie strat klientów. Według raportu opublikowanego 4 listopada giełda uzupełniła około 98% dotkniętej kradzieżą kwoty. Pokrycie strat klientów przez Binance to coś innego niż odzyskanie skradzionych kryptowalut od sprawców.
27
50
Co wynika z dostępnych informacji — a czego nie potwierdzają?
Najmocniej potwierdzony obraz to bardzo duża i szybka kradzież, przypisanie jej przez FBI północnokoreańskiej grupie TraderTraitor — czemu Korea Północna zaprzeczyła — znaczne przemieszczanie skradzionych SOL oraz przerwa w THORChain, która czasowo zakłóciła wymiany międzyłańcuchowe.
1
12
22
38
56
Dostępne źródła nie uzasadniają traktowania każdej opisywanej trasy transakcji jako potwierdzonej, utożsamiania transferu z udanym spieniężeniem ani przypisywania atakowi udowodnionego wpływu na szerszy trend cenowy Solany. Kwoty zamrożonych aktywów, środków nadal znajdujących się w portfelach powiązanych z kradzieżą i pieniędzy uzupełnionych przez Binance opisują różne rzeczy — warto rozpatrywać je osobno.