Ataki hakerskie na kryptowaluty 2026, włamanie do Binance na 6,3 mld USD, rekordowe ataki i rola AI

Atak na Binance z 29 października 2026, największa kradzież kryptowalut w historii

Atak na Binance wyprowadził ok. 6,3 mld USD i jest największą kradzieżą kryptowalut w historii. Rdzeń drenażu trwał ok. 20 minut. Emitenci stablecoinów zamrozili część łupu, a Binance spłaca klientów z własnych środków.

Jak hakerzy włamali się do Binance

Skala zależy od tego, kto liczył. Binance podaje ok. 6,34 mld USD, TRM 6,36 mld, Chainalysis ok. 6,4 mld, a Elliptic 6,43 mld USD na 11 łańcuchach. Według TRM rdzeń drenażu zmieścił się w ok. 20 minutach od 20:05 UTC, ale kod napastnika kierował głównym portfelem Ethereum Binance aż do 23:56 UTC.

TRM, Fireblocks i Blockaid klasyfikują włamanie jako przejęcie systemu podpisywania transakcji, bez błędu w smart-kontrakcie. O 20:20 UTC jedna transakcja przeniosła 50 wcześniej podpisanych autoryzacji EIP-7702 z gorącego portfela Binance, by w ocenie Fireblocks przy przetwarzaniu przeszła choć jedna. EIP-7702, aktywne od maja 2025 roku, pozwala jednemu podpisowi przekazać kod portfela kontraktowi.

Paczka oddała portfel kontraktowi napastnika, a ten zabrał 167 464 ETH i 1,615 mld USDT w jednej transakcji, po czym 780 mln USDC z drugiego portfela. TRM cofa ślady przygotowań co najmniej o 36 godzin, sfinansowanych przez Tornado Cash.

Binance dwa razy zmieniała wersję o punkcie wejścia. Pierwszy komunikat wskazywał jeden skompromitowany komputer.

Wstępne śledztwo Binance sugeruje, że incydent bezpieczeństwa może dotyczyć skompromitowanego laptopa inżyniera DevOps, który pozwolił atakującemu dostać się do kontenera usługi i wysyłać nieautoryzowane transakcje wypłat. Nie znaleźliśmy dowodów na wyciek jakiegokolwiek klucza prywatnego portfela.

Kolejny wpis Binance z tego samego dnia mówił o dodatkowych punktach włamania.

Aktualizacja śledztwa. Wstępne ustalenia sugerowały skompromitowany laptop, jednak dalsze śledztwo wykryło dodatkowe punkty włamania. … Wypływy ustały, gdy wcześniej wstrzymaliśmy wypłaty. Nadal pracujemy z partnerami nad zamrożeniem dotkniętych aktywów i dotąd zamrożyliśmy ok. 3 mld dolarów.

Wstępne ustalenia Binance, opublikowane 3 listopada na jej koncie w X, opisują kampanię trwającą miesiącami.

• Czerwiec 2026, zatruty instalator. Inżynier Wallet DevOps szukał popularnego narzędzia AI do programowania i pobrał spreparowaną instalację Homebrew. Binance to wykryła, wymieniła urządzenie i zmieniła poświadczenia, ale napastnicy zdążyli już ustalić, kto pracuje w zespole portfeli.
• Wrzesień, fałszywa rozmowa o pracę. Z drugim inżynierem skontaktowano się na platformie z ofertami pracy. Przeszedł dwie tury rozmów z fikcyjną firmą i pobrał na służbowy komputer testowe „zadanie". Według Binance ochrona stacji roboczych nie wykryła ukrytego w nim złośliwego oprogramowania zero-day.
• 20 października, wewnętrzne narzędzie AI jako trampolina. Z tego komputera napastnicy użyli wewnętrznego narzędzia AI Binance, by przejąć kontrolę nad środowiskami pracy pierwszego i trzeciego inżyniera, a na maszynie inżyniera DevOps znaleźli token do wdrażania kontenerów.
• 29 października, usługa podpisywania. Między 17:15 a 19:56 UTC zalogowali się na komputer trzeciego inżyniera, wdrożyli kontener ze skradzionymi poświadczeniami i uruchomili skrypt, który dotarł do usługi podpisywania portfela.

Raport koryguje też wpis z 30 października, że wypływy ustały po wstrzymaniu wypłat. Delegacje EIP-7702 istniały on-chain i działały dalej poza systemem wypłat Binance, a przy gorącym portfelu MPC (multi-party computation, obliczenia wielostronne) nie było jednego klucza, którym dałoby się je odwołać naraz. To własne, wstępne ustalenia Binance, które czekają na niezależny przegląd.

Dlaczego napastnik zamieniał stablecoiny na ETH

Napastnik ścigał się z emitentami, by wymienić stablecoiny, zanim padną blokady. Bitquery liczy 729 mln USDT, które uciekły przed zamrożeniami. Z tego 495 mln trafiło w ETH przez UniswapX i 1inch z ok. 16% dopłatą do ceny, a 234 mln w TRX na SunSwap, i ten pośpiech kosztował napastnika ok. 119 mln USD względem cen rynkowych. Elliptic i Hacken szacują wymianę przed blokadami na ok. 786 mln USD.

Protokół Aave pozwolił zamienić zamrażalny USDT na ETH. Napastnik wpłacił 60 mln USDT do Aave V3 i pożyczył 19 762 WETH, ok. 44,6 mln USD, według zapisu na forum zarządzania Aave. Czarna lista portfela nie sięga zabezpieczeń we wspólnej puli Aave, a pozycja stała otwarta jeszcze 3 listopada.

Chainalysis śledziło ten schemat na żywo.

Napastnicy z Binance śpieszą się, by wyprzedzić zamrożenia stablecoinów. Jedna śledzona przez nas metoda polega na chowaniu stablecoinów w protokołach DeFi, a potem na odbieraniu ich na nowych, czystych adresach. … Circle i Tether przyczyniły się już do 2,8 mld dolarów zamrożeń. … wymieniają po jednej stronie zamrażalne stablecoiny, a po drugiej niezamrażalne ETH.

Ile środków zamrozili emitenci stablecoinów

Na Tronie leżało ok. 628 mln USD łupu, według TRM ok. 613 mln USDT i 46 mln TRX, a Tether zamroził tam według Bitquery ok. 379 mln USDT. Elliptic zmierzyło wypłaty 7 do 11 mln USD na godzinę przez 31 godzin bez przerwy, na ok. 200 portfeli, „niemal na pewno sterowane oprogramowaniem".

Każdy emitent, który mógł zamrozić, zrobił to w ciągu pierwszej godziny. Prezes Tether Paolo Ardoino opublikował pierwszy bilans o 21:25 UTC 29 października.

Tether zamroził ponad 1,567 mld USDT związane z potencjalnym hackiem giełdy Binance. Ochrona branży i naszych partnerów to nasz priorytet.

Ten pierwszy bilans obejmował wszystkie łańcuchy i urósł do ok. 1,76 mld USDT. Circle zamroziło 823 mln USDC, WLFI zablokowało 27,8 mln swojego USD1, Rada Bezpieczeństwa Arbitrum ok. 30 mln USD, a Ripple 40,5 mln RLUSD. Łącznie zamrożenia to według TRM ok. 2,7 mld USD, czyli 42% łupu, a według Elliptic i Binance 2,85 mld USD, czyli 44–45%.

Dwa miesiące przed Binance Cronos poszedł dalej niż jakikolwiek emitent. Jego walidatorzy zatrzymali sieć i cofnęli ją o 10 961 bloków, prawie dwie godziny historii, by odwrócić exploit Tectonic. Cofnięcie odwróciło ok. 111,2 mln USD, wymazało niezwiązane transakcje z tego samego okna i nie objęło ok. 9,19 mln USD, które zdążyły już wyjść przez mosty.

Zespół DropsTab zestawił 15 takich ingerencji, od forka po The DAO w 2016 roku po ruch Rady Bezpieczeństwa Arbitrum na środkach hakera Binance.

Nie twoje klucze, nie twoje monety. Chyba że łańcuch zdecyduje inaczej. W tym tygodniu Arbitrum przeniosło 30 mln USD hakera Binance. Bez klucza, bez podpisu. Drugi raz w tym roku.

Do 3 listopada niczego nie odmrożono. Stan Bitquery z tego dnia pokazuje ok. 3,0 mld USD wciąż w rękach napastnika, 1,40 mld w BTC, 1,22 mld w ETH, 292 mln w XRP i 75 mln w SOL. Stos ETH, ok. 540 000 tokenów, obejmuje ETH kupione za wymienione stablecoiny.

Jeśli trzymasz USDT lub USDC, emitent może zamrozić twoje saldo w ten sam sposób.

Czy Binance odda pieniądze klientom

Binance zobowiązała się pokryć wszystkie straty funduszem SAFU i pieniędzmi firmy i podaje, że do 31 października uzupełniła 98% dotkniętych aktywów w tokenach, co widać na jej stronie Proof of Reserves. To oświadczenia samej giełdy, bez niezależnego audytu.

Wypłaty wracały etapami od 1 listopada, najpierw BTC i ETH, a pierwszego dnia klienci wypłacili netto ponad 3,6 mld USD.

Kto stoi za atakiem na Binance

Atrybucja pozostaje oceną i tak ją traktujemy. TRM przypisuje kradzież północnokoreańskiej grupie TraderTraitor z wysoką pewnością, a Chainalysis opublikowało własny trop.

Nasi śledczy widzieli, jak środki ukradzione przez DPRK w zeszłomiesięcznym exploicie Bitget mieszają się ze środkami ukradzionymi z Binance. Mamy dużą pewność, że DPRK odpowiada za hack Binance na 6,4 mld dolarów.

Alert FBI z 31 października mówi, że Korea Północna odpowiada za kradzież ponad 6 mld USD, i zawiera listę adresów napastników. Raport Binance z 3 listopada powołuje się na ustalenie FBI o odpowiedzialności Korei Północnej, a Korea Północna zaprzecza.

Ile kryptowalut ukradli hakerzy w 2026 roku

Ataki hakerskie na kryptowaluty w 2026 roku sięgnęły rekordowych 8,7 mld USD według TRM. Sam Binance to 6,36 mld USD. Bez niego dziesięć miesięcy roku kosztowało ok. 2,3 mld USD, czyli tyle, ile straciła sama pierwsza połowa 2025 roku.

Pierwsze półrocze pobiło rekord liczby zdarzeń. TRM policzyło 207 incydentów wobec ok. 83 rok wcześniej i 972 mln USD strat wobec 2,3 mld USD w pierwszej połowie 2025, ostrzegając, że spadek wynika wyłącznie z braku kradzieży na skalę 2025 roku.

Włamanie do Binance podbiło roczny bilans TRM do rekordowych 8,7 mld USD, ok. 31% z mniej więcej 28 mld USD skradzionych w krypto od zawsze. Po odjęciu liczby TRM dla Binance, 6,36 mld USD, czego nie publikuje żaden analityk, 2026 rok stoi na ok. 2,3 mld USD.

Rozbieżność między półrocznymi liczbami bierze się z metodologii. TRM trzyma kradzież 1,5 mld USD z Bybit w bazie 2025 i czyta spadek o 57%, a CertiK wycina Bybit i czyta wzrost o 28%. Kwartalny dashboard CertiK, ostatnio aktualizowany przed Binance, dokłada za 3. kwartał 1,28 mld USD w 255 incydentach. Liczb różnych analityków nigdy nie porównujemy ze sobą.

Nasze własne liczenie, oparte na publicznych raportach o incydentach i opublikowane 3 listopada, wychodzi blisko TRM: 8,78 mld USD skradzionych w 328 hackach, z czego Binance to 72%.

2026 to już najgorszy rok w historii: 8,78 mld USD skradzione w 328 hackach. Więcej niż lata 2021–2023 razem. Sam Binance to 72% tej kwoty.

Korea Północna odpowiada według TRM za 85% wartości skradzionej w 2026 roku z Binance i ok. 45% bez niego, czyli 7,4 mld USD w tym roku i 12,8 mld od początku. TRM zaznacza, że tylko 13 ze 100 kradzieży DPRK od 2017 roku exploitowało kod kontraktu.

TRM policzyło exploity smart-kontraktów w 125 z 207 incydentów, ale przypadła na nie znacznie mniejsza część pieniędzy, a własny raport Blockaid za 1. półrocze 2026 przypisuje atakom na bezpieczeństwo operacyjne 74% z 1,1 mld USD skradzionych w 212 incydentach. Incydenty Polymarket z 2026 roku pasują do tego podziału: użytkownicy tracili pieniądze przez stronę, a nie przez kontrakty, co opisujemy w analizie włamań na Polymarket.

Publiczny portfel grupy Lazarus prowadzony przez DropsTab Research zapisuje wcześniejsze łupy przypisane grupie, na czele z kradzieżą z Bybit z 2025 roku. Jak go obserwować, opisujemy w ostatniej sekcji.

Największe ataki hakerskie na kryptowaluty w 2026 roku

Cztery z pięciu największych kradzieży kryptowalut w 2026 roku obeszły się bez błędu w kodzie. Binance, Bitget, KelpDAO i Drift poszły przez klucze, podpisy i socjotechnikę. Jedyny duży wyjątek to wada kodu w sieci Liquid.

Binance przewyższa dawny rekord Bybita ponad czterokrotnie, a każda inna kradzież 2026 roku była niższa od łupu Ronina z 2022 roku, 625 mln USD.

Zespół DropsTab liczy od 2010 roku ponad 1 200 zhakowanych projektów i ok. 27,6 mld USD skradzionych środków, a największe z tych ataków pokazuje na jednym wykresie.

Prawie całe krypto zostało zhakowane co najmniej raz. Ponad 1 200 projektów. 27,6 mld USD skradzione.

Bitget to drugie w tym roku włamanie do giełdy, pięć tygodni przed Binance, o spornym rozmiarze. Prezeska Gracy Chen podała dla kradzieży z 24 września 351,6 mln USD, Halborn i CertiK 387,5 mln, a ZachXBT 388 mln. Halborn prowadzi wejście przez lukę w produkcie bezpieczeństwa firmy trzeciej, która odsłoniła wewnętrzne poświadczenia.

ZachXBT połączył później obie kradzieże on-chain.

Aktualizacja. Skradzione środki z exploita Binance na 6,3 mld dolarów i exploita Bitget na 388 mln dolarów spotkały się na tym samym adresie 45 minut temu, po dotarciu przez THORChain. To wskazuje, że za oboma incydentami prawdopodobnie stoi ten sam podmiot.

Liquid to jedyna duża strata 2026 roku spowodowana błędem w kodzie. Analiza zdarzenia Blockstream opisuje błąd pamięci podręcznej w kodzie dowodów zakresu w oprogramowaniu Elements, który wybił ok. 4 000 L-BTC bez pokrycia, bez kompromitacji żadnego klucza. Po negocjacjach osoby podające się za white hats zwróciły 3 400 BTC, a ok. 602 BTC pozostaje nieodzyskanych.

Most KelpDAO ufał jednemu weryfikatorowi LayerZero, DVN w układzie 1 z 1, a napastnicy nakarmili go fałszywymi danymi. Napastnicy Drift podpisali z wyprzedzeniem przekazanie uprawnień administratora, które Solana pozwoliła im wykonać później. Żadne z tych włamań nie siedziało w kodzie kontraktu.

Tectonic, protokół pożyczkowy na Cronos, został osuszony przez zabezpieczenie. 30 sierpnia napastnik zawyżył cenę mało płynnego tokena TONIC, wniósł go jako zabezpieczenie i pożyczył 120,4 mln USD na dziewięciu rynkach, według post-mortem Cronos. Potem sam łańcuch odwrócił większość straty.

Założyciel Aave Stani Kulechov wyjaśnił, jak exploit KelpDAO zostawił protokół z ok. 200 mln USD złych długów.

Hack Bybit na ok. 1,5 mld USD z lutego 2025 roku trzymał rekord aż do Binance. Pozew Bybit w USA przyniósł w sierpniu 2026 wstępny nakaz, przy 48,4 mln USD odzyskanych i 30,5 mln USD zamrożonych, co wobec państwowego napastnika pozostaje w dużej mierze symboliczne.

Co dzieje się z tokenem po hacku

Włamanie do giełdy nie zmienia podaży tokena, a podaż BNB wciąż równa się limitowi 131 511 243 sztuk. Hack z dodrukiem to zdarzenie podaży. O wyniku decydują spalenie, ponowne zabezpieczenie i to, czy ktoś mógł zamrozić dodrukowane tokeny.

Exploit z dodrukiem tworzy podaż, którą albo się odkręca, albo wisi nad rynkiem, a październik dorzucił dwa przypadki, Cysic i Initia. Tabela zbiera każdy zweryfikowany przez nas dodruk 2026 roku ze skutkami dla podaży, bez cen. BNB w niej nie ma, bo kradzież z giełdy tylko przesuwa salda.

Błąd w silniku smart-kontraktów Initia, wykorzystany w dniu startu sieci, pozwolił napastnikowi 23 października dodrukować 2 mln mostowanych AUSD i wypłacić ok. 2,7 mln USD, a Agora twierdzi, że nie ma kontraktów AUSD na Initia, więc emitent nie miał czego zamrozić.

Na tokenach bez limitu porównuj podaż z datowanym zrzutem. W sierpniu wybito ok. 4 mld ONE, według danych projektu ok. 26% ówczesnej podaży, co sprawdzisz na stronie monety Harmony, a Syscoin spalił swój dodruk.

Drift celowo nie ma wiersza w tabeli. Stracił ok. 285 mln USD na fałszywym zabezpieczeniu, a żadnego DRIFT nie wybito.

Immunefi przejrzało 82 zhakowane tokeny z lat 2024–2025 i ustaliło, że ok. 84% po pół roku sprzedawało się poniżej ceny sprzed hacku, przy medianie spadku 61%. Gdy firma upada z pieniędzmi w środku, zestawienie upadłości krypto pokazuje, co odzyskują wierzyciele.

rsETH od KelpDAO zamknął plan naprawczy ostatnią transzą 20 373,72 rsETH, a token jest w pełni zabezpieczony od odblokowania.

Na łańcuchach prywatności integralności podaży bywa w ogóle nie da się zweryfikować, czego doświadczyli posiadacze Zcasha między 2022 a 2026 rokiem, co opisujemy w porównaniu Zcash i Bitcoina.

Gdzie w tym wszystkim jest sztuczna inteligencja

Własny raport Binance stawia narzędzia AI na ścieżce ataku. Włamanie zaczęło się od fałszywego instalatora narzędzia AI do programowania, a napastnicy przeszli przez wewnętrzne narzędzie AI. AI nie podpisało kradzieży i żaden analityk nie liczy udziału AI w stratach na hacki. AI mierzalnie napędza oszustwa.

Ustalenia Binance z 3 listopada to pierwsze pierwotne źródło, które stawia AI na drodze rekordowej kradzieży, i to w dwóch miejscach. Pierwszy przyczółek powstał, gdy inżynier szukał popularnego narzędzia AI do programowania i zainstalował spreparowany pakiet Homebrew, a 20 października napastnicy użyli wewnętrznego narzędzia AI Binance, by dotrzeć do dwóch kolejnych inżynierów. Żaden z tych kroków nie podpisał kradzieży. Narzędzia AI były po prostu zaufaną powierzchnią, przez którą napastnicy mogli się przemieszczać, podobnie jak fałszywa rozmowa o pracę. Przed tym raportem TRM, Fireblocks i wątek na forum Aave nie wskazywały żadnej roli AI.

Chainalysis policzyło, że operacja oszustów z AI wyciąga średnio 3,2 mln USD, a bez AI 719 tys. USD, około cztery i pół raza więcej. Indeks TRM adopcji AI w przestępczości wzrósł do 54 na 100 wobec ok. 28 w 2024 roku, a jedyną kategorią, którą ocenia jako dojrzałą, są oszustwa. Oszustwa z podszywaniem się podskoczyły w danych Chainalysis o ok. 1 400% rok do roku, co rozbieramy w materiale o oszustach podszywających się pod marki.

Nazwane straty agentów AI były niewielkie. Blockaid wiąże stratę ok. 216 tys. USD projektu Bankr ze wstrzykniętą podpowiedzią z maja, a CertiK stratę 100 tys. USD z Zerion z socjotechniką AI powiązaną z Koreą Północną. To jedyne kradzieże z agentami AI policzone w dolarach.

Największy hack 2026 roku w projekcie AI poszedł przez skompromitowane klucze, nie przez AI. Wrześniowy dodruk ASI Alliance stworzył przez skompromitowane klucze ok. 2,3 mld nieautoryzowanych FET, do 3 listopada bez potwierdzonego spalenia ani ponownego zabezpieczenia, a część wymieniono na ok. 523 ETH, według śladu Bitquery.

Pozwolenie agentowi AI, takiemu jak Bankr, na wydawanie środków z twojego portfela to delegacja tego samego typu, która osuszyła Binance, więc test EIP-7702 z ostatniej sekcji dotyczy też jego. Bezpłatne kategorie ekosystemu x402 i agentów AI na DropsTab zbierają agentów, którzy obsługują środki przez standard płatności x402.

AI zwiększyło zyski z oszustw w 2026 roku, a w rekordowej kradzieży narzędzia AI były częścią drogi do skradzionego dostępu do podpisów. Dłuższym zagrożeniem dla tych samych kluczy są komputery kwantowe, o czym piszemy w porównaniu krypto odpornych na kwanty.

Skutki ataku wykraczające poza skradzione miliardy

Publicznie znane portfele Binance straciły 24,5% wartości, ok. 41,6 mld USD, w tygodniu po włamaniu. Większość tego spadku przewyższa ruch całego rynku. Największa szkoda takiego włamania to ucieczka i rotacja pieniędzy, które wywołuje.

3 listopada pobraliśmy z DefiLlama TVL publicznie znanych portfeli. Wobec bazy −4,4%, średniej Bybita i Robinhood, ok. 20,1 punktu procentowego spadku Binance, ok. 34 mld USD, to jej własny ruch, a sama kradzież tłumaczy tylko ok. 3,8 punktu. Część nadwyżki może wynikać z ceny BNB.

OKX zyskało 59,8%, ok. 10,8 mld USD, mniej więcej jedną czwartą tego, co wypłynęło z Binance, w tygodniu, w którym rynek spadał.

Aave oberwało w obu megawłamaniach 2026 roku. Po KelpDAO w kwietniu dźwigało złe długi, a jego TVL spadło z ok. 26,4 do 14,3 mld USD w sześć dni. W październiku jego awaryjny multisig w ciągu kilku godzin zamroził 292 rynki.

Zamrożenia dotykają Tethera z dwóch stron, jako emitenta, który zamraża, i jako inwestora. Jego profil inwestora na DropsTab wymienia 41 monet w portfelu, a z tegorocznymi exploitami wiąże się tylko Drift, ewentualnie LayerZero.

Według danych o finansowaniu DropsTab Drift zebrał ok. 52 mln USD od Multicoin, Polychain, Jump i Alamedy, a po stracie ok. 285 mln USD projekt potrzebował kredytu ratunkowego od Tether, tej samej firmy, która zamroziła skradzione z Binance USDT. Nasze zapisy podają ok. 145 mln USD, a przy premierze tokena odzyskowego mówiło się o ok. 147,5 mln USD.

Śledzenie zhakowanych tokenów i portfeli atakujących

Zakładka Hacked & Exploited Tokens na DropsTab zestawia podaż zhakowanego tokena, wynik CertiK i liczbę giełd, alerty Drops Bot pokazują, dokąd rusza niezamrożona część łupu, a portfel Lazarus zapisuje łupy przypisane DPRK. Żadne z tych narzędzi nie przywraca pieniędzy, a wszystkie trzy są bezpłatne.

Po hacku czuwać pomagają trzy bezpłatne narzędzia.

Sprawdź podaż i platformy w zakładce Hacked & Exploited Tokens. Zakładka DropsTab Research zbiera tokeny, które wciąż są w obrocie po exploitach 2026 roku, z podażą krążącą i jej udziałem w całości, liczbą giełd i wynikiem CertiK, do bezpłatnego sortowania i klonowania w Tab Builderze. Porównaj podaż z wartością sprzed hacku, bo dodruk ją zmienia, a włamanie do platformy nie. W aktualnym zestawieniu SAND i FET mają oceny AA CertiK, DRIFT BBB, CYS BB, a WEMIX nie ma oceny CertiK.

Obserwuj opublikowane adresy napastników w Drops Bot. Drops Bot śledzi w Telegramie dowolny publiczny adres, bez kluczy prywatnych. Darmowy plan mieści 20 portfeli w 30 sieciach, w tym Tron, z filtrami kierunku IN i OUT, filtrami wartości i własnymi etykietami. Instrukcja konfiguracji alertów przeprowadza przez ustawienie. Używaj wyłącznie adresów opublikowanych przez FBI, TRM, Chainalysis albo Binance. Jak sprawdzić, do kogo należy portfel, opisuje nasz poradnik śledzenia wielorybów krypto, a listy adresów szybko się starzeją.

Obserwuj portfel Lazarus. Portfel Lazarus zapisuje łupy przypisane grupie z wcześniejszych kradzieży, na czele z Bybit. Adresy napastników Binance wymienia alert FBI z 31 października, a alerty portfelowe na tych adresach pozwalają śledzić ruch łupu z Binance.

Jak sprawdzić delegacje EIP-7702 we własnym portfelu

Włamanie do Binance powtórzyło atak, który już trafia w portfele zwykłych użytkowników. EIP-7702, aktywne od upgrade'u Pectra sieci Ethereum 7 maja 2025 roku, pozwala jednemu podpisowi przekazać kod portfela kontraktowi. Delegacja działa, dopóki nie zostanie wyzerowana, a podpisana bez wskazania sieci działa na każdym łańcuchu kompatybilnym z Ethereum.

Lista autoryzacji EIP-7702 w Etherscanie i Revoke.cash pokazują delegacje bez ruszania środków, a Etherscan dodatkowo oznacza delegatów phishingowych. Odwołanie wykonuje się w portfelu, w MetaMasku w szczegółach konta i koncie smart, osobno dla każdej sieci, i kosztuje gaz.

Badanie naukowe opublikowane w grudniu 2025 roku na arXiv przejrzało autoryzacje EIP-7702 zapisane on-chain w Ethereum i policzyło ponad 26 000 adresów ofiar. Blisko połowa autoryzacji trafiła do delegatów powiązanych z przestępczością, a największa pojedyncza ofiara straciła ponad 3 300 ETH.