Binance čelí rekordnímu kyberútoku. Hackeři odcizili kryptoměny za 6,3 miliardy dolarů

Během několika minut zmizely z peněženek největší kryptoměnové burzy světa miliardy dolarů. Binance potvrdila rozsáhlý bezpečnostní incident, při kterém útočníci podle blockchainových analytiků odčerpali kryptoměny v hodnotě přibližně 6,3 miliardy dolarů. Prvotní vyšetřování ukazuje na kompromitovaný notebook zaměstnance, zatímco bezpečnostní výzkumníci upozorňují na možné zapojení severokorejských hackerů.

K incidentu došlo ve čtvrtek 29. října 2026. Podle analýzy společnosti TRM Labs útočník převedl z peněženek Binance kryptoměny v hodnotě přibližně 6,36 miliardy dolarů napříč deseti blockchainovými sítěmi. Většina prostředků odešla během pouhých dvaceti minut.

Jde o bezprecedentní rozsah útoku. Dosavadní rekord držela krádež přibližně 1,5 miliardy dolarů z burzy Bybit v únoru 2025.

Binance mezitím potvrdila odhadovaný dopad kolem 6,3 miliardy dolarů a oznámila, že ve spolupráci s dalšími společnostmi dokázala zmrazit aktiva v hodnotě přibližně tří miliard dolarů.

Útočník se mohl dostat dovnitř přes notebook zaměstnance

Binance zveřejnila 30. října první výsledky svého interního vyšetřování. Podle nich mohl útok začít kompromitací notebooku jednoho z DevOps inženýrů.

Útočník měl prostřednictvím napadeného zařízení získat přístup k servisnímu kontejneru v interní infrastruktuře burzy. Následně dokázal zadávat neoprávněné transakce pro výběr kryptoměn.

DevOps inženýři zajišťují provoz a automatizaci IT infrastruktury. Jejich pracovní prostředí může mít přístup k nástrojům, které spravují důležité provozní služby. Kompromitace takového zařízení proto může útočníkovi otevřít cestu k dalším systémům.

Binance současně uvedla, že dosud nenašla důkazy o úniku privátních klíčů kryptoměnových peněženek.

To je důležité zejména vzhledem ke způsobu provedení útoku. Privátní klíče umožňují kryptograficky podepisovat transakce, a tedy autorizovat přesuny kryptoměn.

Útočník však nemusí samotný klíč odcizit, pokud dokáže ovládnout systém, který jeho prostřednictvím transakce podepisuje.

Přesný způsob kompromitace notebooku ani rozsah získaných oprávnění zatím nejsou veřejně známé. Binance slíbila zveřejnit podrobnou technickou analýzu po dokončení vyšetřování.

Deset blockchainů a miliardy dolarů pryč během dvaceti minut

Blockchainová analytická společnost TRM Labs zrekonstruovala průběh útoku podle veřejně dostupných transakcí.

První zaznamenané neoprávněné převody začaly 29. října přibližně ve 20:05 UTC, tedy krátce po desáté hodině večer českého času.

Z peněženek Binance postupně odcházely prostředky na sítích Ethereum, Bitcoin, Tron, XRP Ledger, Solana a dalších blockchainech.

Podle TRM Labs útočníci odčerpali mimo jiné:

• Ethereum: kryptoměny v hodnotě přibližně 3,79 miliardy dolarů.
• Bitcoin: 18 270 BTC v tehdejší hodnotě přibližně 1,47 miliardy dolarů.
• Tron: kryptoměny v hodnotě přibližně 628 milionů dolarů.
• XRP Ledger: přibližně 233 milionů XRP v hodnotě 296 milionů dolarů.
• Solana: přibližně 970 500 SOL v hodnotě 96 milionů dolarů.

Další převody proběhly na sítích Arbitrum, Optimism, Base, Avalanche a Polygon.

Celková hodnota odčerpaných aktiv podle TRM Labs dosáhla 6,36 miliardy dolarů. Analytici částku vypočítali podle tržní hodnoty jednotlivých kryptoměn v okamžiku jejich převodu.

Při takto rozsáhlém incidentu se mohou průběžné odhady jednotlivých analytických společností lišit podle okamžiku měření a metodiky. Také Chainalysis potvrdila odcizení kryptoměn v hodnotě nejméně 5,912 miliardy dolarů.

Padesát autorizací a jedna, která rozhodla

Technicky nejzajímavější část útoku se odehrála na síti Ethereum.

Podle společností TRM Labs a Blockaid útočník zneužil mechanismus EIP-7702, zavedený v květnu 2025 jako součást aktualizace Ethereum Pectra.

EIP-7702 umožňuje běžným kryptoměnovým účtům dočasně využívat funkcionalitu chytrých kontraktů. Jde o legitimní technologii, která rozšiřuje možnosti správy peněženek.

V tomto případě ji však útočník využil k převzetí kontroly nad jednou z hlavních provozních peněženek Binance.

Útok podle analýzy Blockaid proběhl následovně:

1. Příprava: Útočník vytvořil chytrý kontrakt schopný převádět prostředky z napadené peněženky na předem určenou adresu.
2. Padesát autorizací: Získal 50 podepsaných autorizací EIP-7702, z nichž každá odpovídala jiné hodnotě pořadového čísla transakce, označovaného jako nonce.
3. Převzetí kontroly: Jedna z autorizací odpovídala aktuálnímu stavu peněženky. Umožnila tím aktivovat útočníkův kontrakt.
4. Odcizení prostředků: Přibližně o tři minuty později útočník zadal příkaz k převedení prostředků na svou adresu.

Během této jediné transakce bylo podle Blockaid převedeno 167 464 ETH, přibližně 1,615 miliardy USDT a desítky dalších tokenů. Celková hodnota transakce dosahovala zhruba 2,5 miliardy dolarů.

Zneužitá delegace navíc zůstala aktivní. Útočník tak mohl opakovaně převádět i další prostředky, které do peněženky mezitím přicházely.

Analytici současně zaznamenali neoprávněné převody z dalších peněženek Binance, které proběhly prostřednictvím běžně podepsaných transakcí bez využití EIP-7702.

Právě tato kombinace podle TRM Labs naznačuje kompromitaci infrastruktury Binance určené k podepisování transakcí napříč různými blockchainy.

Zatím jde o závěr externích výzkumníků. Binance konečnou technickou příčinu incidentu dosud nepotvrdila.

Tři miliardy dolarů se podařilo zmrazit. Kde skončil zbytek?

Bezprostředně po odhalení incidentu začaly bezpečnostní týmy spolupracovat s provozovateli blockchainových sítí a vydavateli stablecoinů.

Zásadní roli sehrály společnosti Tether a Circle, které vydávají kryptoměny USDT a USDC navázané na hodnotu amerického dolaru.

Tyto společnosti mohou za určitých okolností zablokovat převody tokenů uložených na konkrétních adresách. Pokud se tedy odcizené prostředky nacházejí ve stablecoinech, jejich vydavatel může zabránit dalšímu přesunu.

Podle analýzy TRM Labs se v prvních hodinách podařilo zmrazit přibližně 2,7 miliardy dolarů. Na zásahu se vedle Tetheru a Circle podílely také společnosti Ripple, World Liberty Financial a bezpečnostní rada sítě Arbitrum.

Binance následně oznámila, že hodnota zmrazených aktiv dosáhla přibližně tří miliard dolarů.

Zmrazení ovšem neznamená automatické vrácení prostředků burze. Jde především o zabránění jejich dalšímu pohybu, případně o jejich zajištění.

Útočník se mezitím pokoušel převádět stablecoiny na jiné kryptoměny, zejména ether. Na rozdíl od centralizovaně vydávaných stablecoinů totiž není možné běžný ether jednostranně zmrazit rozhodnutím jeho vydavatele.

Podle TRM Labs měl útočník v době zveřejnění analýzy pod kontrolou více než 420 000 ETH a 18 270 BTC, jejichž souhrnná hodnota dosahovala přibližně 2,4 miliardy dolarů.

Konečný finanční dopad incidentu tak bude záviset také na tom, kolik dalších prostředků se podaří zajistit nebo získat zpět.

Severokorejská stopa připomíná loňský útok na Bybit

Společnost TRM Labs připisuje útok s vysokou mírou jistoty severokorejské hackerské skupině TraderTraitor.

Analytici své hodnocení opírají o kombinaci dat zaznamenaných na blockchainu a dalších zpravodajských informací.

Mezi pozorované podobnosti s předchozími operacemi patří příprava útočných peněženek, financování prostřednictvím služby Tornado Cash nebo získání potřebných podpisů ještě před samotným odčerpáním prostředků.

Skupina TraderTraitor je spojována také s útokem na kryptoměnovou burzu Bybit z února 2025.

Americká FBI tehdy oficiálně oznámila, že za odcizením kryptoměn v hodnotě přibližně 1,5 miliardy dolarů stojí Severní Korea. Pro tuto konkrétní škodlivou aktivitu používá FBI právě označení TraderTraitor.

U současného incidentu Binance však zatím nejde o oficiálně potvrzenou atribuci. Burza uvedla, že na identifikaci pachatelů spolupracuje s orgány činnými v trestním řízení.

Binance slibuje náhradu všech ztrát. Výběry se mají obnovit do 48 hodin

Binance bezprostředně po odhalení incidentu preventivně pozastavila vklady a výběry kryptoměn, zahájila bezpečnostní kontroly a zrušila dotčenou autorizaci.

Podle aktualizace z 30. října již vklady fungují běžným způsobem. Výběry však zůstávají dočasně pozastavené, zatímco burza upravuje zabezpečení výběrových služeb a souvisejících adres.

Společnost očekává, že výběry začne postupně obnovovat během následujících 48 hodin. Jde zatím o předpokládaný termín, nikoliv potvrzení obnoveného provozu.

Binance zároveň oznámila, že veškeré ztráty pokryje prostřednictvím rezervního fondu SAFU (Secure Asset Fund for Users) a vlastních prostředků společnosti.

Podle jejího vyjádření jsou prostředky uživatelů v bezpečí.

Toto ujištění zatím nelze nezávisle ověřit v plném rozsahu. Binance přislíbila po dokončení nápravných opatření také zveřejnění aktualizovaného přehledu svých rezerv, známého jako Proof of Reserves.

Přestože blockchainové analýzy již nabízejí poměrně podrobnou rekonstrukci odcizení prostředků, několik zásadních otázek zůstává otevřených. Především způsob prvotního průniku, přesný rozsah kompromitace interní infrastruktury a definitivní výše finančních ztrát.

Odpovědi by měla přinést závěrečná technická zpráva Binance, jejíž datum vydání zatím společnost neoznámila.

Zdroje

• Binance – Security Incident Update (30. 10. 2026)
• TRM Labs – North Korea Steals USD 6.36 Billion From Binance (29. 10. 2026)
• Blockaid – Technická analýza útoku na Binance (29. 10. 2026)
• Binance News – Aktualizace stavu vkladů a výběrů (30. 10. 2026)
• FBI – North Korea Responsible for $1.5 Billion Bybit Hack (26. 2. 2025)
• Reuters – Binance freezes assets after $6.3 billion heist (30. 10. 2026)