W jeden wieczór uderzono w dwie platformy w odstępie trzech godzin. Polymarket stracił ok. 2,65 mln USD. Binance stracił ok. 6,3 mld USD.
To największy hack w historii krypto. I jedno pytanie wraca wszędzie: skoro cały rynek wiedział po godzinie, dlaczego środki dalej wypływały?
Poniżej wszystko, co jest potwierdzone, co nie, i co to oznacza dla Twoich środków. Stan na rano 30 października 2026 (CET). Sprawa wciąż się rozwija.
W 60 sekund
- Polymarket: ok. 2,65 mln USD z ok. 700 do 995 kont (zależnie od źródła). Przyczyna: złośliwy JavaScript dostarczony przez zewnętrzny skrypt monitorujący. Bez błędu w smart kontraktach. Zwroty obiecane.
- Binance: ok. 6,3 mld USD wyprowadzone z hot walletów na 10 blockchainach w ok. 20 minut. Binance wskazuje przejęty laptop inżyniera DevOps. Zamrożono ok. 3 mld USD. Binance zapowiada pokrycie wszystkich strat.
- Podejrzani: TRM Labs i Chainalysis wskazują TraderTraitor, grupę powiązaną z Koreą Północną. Żaden rząd nie ogłosił oficjalnej atrybucji.
- Powiązanie? Brak dowodów, że Polymarket i Binance zaatakował ten sam aktor. Jest natomiast ślad on-chain łączący środki z Binance z wrześniowym hackiem Bitget.
- Status Binance: depozyty działają, wypłaty wstrzymane, wznowienie zapowiedziane w ciągu ok. 48 godzin.
Hack Polymarket: skrypt monitorujący zamieniony w drainer
Międzynarodowa strona Polymarket ładowała skrypt RUM (real user monitoring) firmy DebugBear, brytyjskiej spółki mierzącej szybkość stron. Ten skrypt podmieniono na drainer portfeli.
Według analiz DefiPrime i Hudson Rock kod czytał dane sesji z przeglądarki, znajdował na stronie klienta order booka, a potem sprzedawał pozycje użytkowników lub przenosił ich tokeny wyników. U osób zalogowanych e-mailem nie pojawiało się okno podpisu. Środki zamieniano na POL i wysyłano na jeden adres.
Najważniejsze liczby:
- Okno ataku: ok. 17:10 do 18:03 UTC 29 października (18:10 do 19:03 CET)
- Adres atakującego (Polygon):
0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18 - Skradzione: 28,6 mln POL, ok. 2,65 mln USD
- Ofiary: 700+ (Bubblemaps), ok. 710 (CNBC), 737 (Bitquery), ok. 995 (Conor Grogan). Polymarket nie podał własnej liczby.
- Największe pojedyncze straty: ok. 341 tys. i 307 tys. USD
Reakcja Polymarket: tryb cancel-only i wstrzymanie relayera o 18:05 UTC, naprawa i powrót handlu po ok. godzinie. Firma poinformowała, że skompromitowano zewnętrznego dostawcę, zgłosiła sprawę organom ścigania i obiecała, że poszkodowani odzyskają środki. Smart kontrakty nie zostały naruszone. Polymarket US nie ucierpiał, według CNBC.
Dwa zastrzeżenia, ważne dla rzetelności.
→ Polymarket nie wymienił DebugBear z nazwy. Zrobiły to Reuters i CNBC, powołując się na źródło. Sam DebugBear potwierdził na X incydent bezpieczeństwa i kazał klientom usunąć jego kod.
→ Trader, który twierdził, że stracił 800 tys. USD, został zakwestionowany przez Bubblemaps. Według nich drenaż nie pasował do wzorca innych ofiar. Traktuj to zgłoszenie jako sporne.
To nie pierwszy incydent Polymarket z zewnętrznym dostawcą w tym roku. W czerwcu użytkowników dotknął już złośliwy skrypt od nieujawnionego dostawcy.
Hack Binance: 20 minut, 10 sieci, 6,3 mld USD
Pierwszy drenaż ruszył o 20:05 UTC (21:05 CET). TRM Labs odnotował najpierw odpływ 233,46 mln XRP, potem Solanę, Optimism, Tron, Bitcoina i Ethereum. Większość środków przeszła w ok. 20 minut.
Szacunek Binance to ok. 6,3 mld USD. TRM podaje ok. 6,36 mld USD po cenach z chwili kradzieży. Chainalysis najpierw 5,9 mld USD, potem ok. 6,4 mld USD. Różne liczby, ten sam rząd wielkości. To normalne, gdy ceny się zmieniają, a śledzenie trwa.
Jak to zadziałało
Na Ethereum atakujący użył EIP-7702, mechanizmu, który pozwala zwykłemu portfelowi chwilowo wykonywać kod smart kontraktu. Jedna transakcja niosła 50 wstępnie podpisanych autoryzacji dla hot walletu Binance 14. Jedna zadziałała. Po kilku minutach portfel został opróżniony: 167 464 ETH i 63 inne tokeny, w tym ok. 1,6 mld USD w USDT.
W pozostałych dziewięciu sieciach atakujący po prostu wysyłał podpisane transfery.
Ważne: EIP-7702 był narzędziem, a nie przyczyną. Analitycy TRM, SlowMist i Blockaid opisują kompromitację infrastruktury podpisywania. Prościej: atakujący mógł sprawić, że system Binance sam zatwierdzał wypłaty.
Wstępne ustalenia Binance, opublikowane ok. 02:25 UTC 30 października: przejęty laptop inżyniera DevOps dał dostęp do service containera, przez który wysyłano nieautoryzowane wypłaty. Binance nie znalazł dowodów wycieku kluczy prywatnych. To wstępny wniosek. Pełny post-mortem jest zapowiedziany.
Kto za tym stoi
TRM Labs przypisuje atak grupie TraderTraitor z wysoką pewnością, wskazując wzorzec przygotowań: małe wypłaty z Tornado Cash na gaz 28 października, testy i próba generalna 29 października. Chainalysis również wskazuje TraderTraitor. ZachXBT pisze "likely Lazarus" i pokazuje, że środki z Binance oraz z wrześniowego hacku Bitget zmieszały się na tym samym adresie po przejściu przez THORChain.
Czego brakuje: oficjalnej atrybucji któregokolwiek rządu.
Dlaczego środki dalej wypływały, skoro wszyscy już wiedzieli
To pytanie stoi za większością wyszukiwań. Złożyły się na to cztery rzeczy.
1. Binance wstrzymał wypłaty późno i etapami.
Pierwszy drenaż: 20:05 UTC. Pierwsze oficjalne oświadczenie: 21:24 UTC. Wypłaty wstrzymane na części sieci: 22:15 UTC. Pełne zawieszenie depozytów i wypłat: 00:04 do 00:13 UTC. Przez kilka godzin zwykli użytkownicy mogli jeszcze wypłacać część aktywów na części sieci.
2. Przejęty portfel dalej przyjmował środki.
Delegacja EIP-7702 na Binance 14 pozostała aktywna. Każdy nowy wpływ kierowany do tego portfela trafiał do atakującego. TRM odnotował takie przejęcia o 20:41, 20:59, 21:04, 21:44, 22:39 i 23:56 UTC. Analityk Wazz alarmował na żywo, że wpłatę 200 mln USDT przejęto w ciągu sześciu bloków. Delegację odwołano dopiero ok. 00:42 UTC. W tej nocy to wygląda na najcięższą lukę operacyjną.
3. Atakujący ścigał się z zamrożeniami.
Tether zamroził główny portfel ok. 37 minut po wielkim sweepie. W tym oknie atakujący sprzedał ok. 325 mln USDT market makerom przez swapy intent-based z premią powyżej 10%, wpłacił USDT do Aave, wysłał środki do JustLend, pociął Bitcoina przez peel chain i sprzedał część RLUSD, zanim Ripple zamroził resztę.
4. Zamrozić można tylko część aktywów.
Tether, Circle, Ripple i World Liberty mogą zablokować swoje stablecoiny. Nikt nie zamrozi ETH, BTC, XRP ani SOL. Według TRM u atakującego zostało ponad 420 000 ETH i 18 270 BTC, czyli ok. 2,4 mld USD.
Czy był run klientów na bank? Zgłaszano odpływy instytucjonalne. Twardych publicznych danych o skali wypłat klientów w tym oknie na razie nie ma. "Wszyscy rzucili się do wyjścia" pozostaje niepotwierdzone.
Co zamrożono i kto pokrywa stratę
- Zamrożone (Binance, zweryfikowane): ok. 3 mld USD, w tym ok. 2,3 mld USD w USDT i USDC
- Tether: ok. 1,77 mld USDT
- Circle: ok. 825 mln USDC
- Ripple: 40,5 mln RLUSD potwierdzone on-chain
- World Liberty Financial: 27,8 mln USD1
- Arbitrum Security Council: ok. 8 425 ETH i 74,6 mln ARB
Binance deklaruje pokrycie wszystkich strat z funduszu SAFU i środków firmy oraz zapewnia, że środki użytkowników są bezpieczne. SAFU trzyma ok. 15 000 BTC, czyli ok. 1,16 mld USD. To ułamek straty, więc większość pokrycia musi pochodzić z bilansu Binance. Wypłata to na razie deklaracja, nie potwierdzona transakcja.
Dane DefiLlama sugerują, że przed atakiem Binance trzymał ok. 144 mld USD aktywów, więc kradzież to ok. 4%. Po zamrożeniach jeden z autorów DefiLlama szacował otwartą lukę na ok. 1 mld USD. CZ odpowiedział, że może być nieco wyższa, ale zostanie pokryta.
Czy hacki Polymarket i Binance są powiązane?
Nic na to nie wskazuje.
- Inny wektor: skrypt w przeglądarce vs infrastruktura podpisywania
- Inne sieci i aktywa: POL na Polygonie vs ETH, BTC i inne na 10 sieciach
- Inna skala: różnica ok. 2400 razy
- Żadna firma analityczna nie zgłosiła powiązania on-chain
Wspólny jest wzorzec, nie autor. Polymarket, Predict.fun (ok. 400 tys. USD, 27 października), Bitget (ok. 388 mln USD, wrzesień) i Binance zaczęły się od zaufanego elementu pośredniego: skryptu dostawcy, strony dokumentacji, produktu bezpieczeństwa, laptopa pracownika. Nie od błędu w smart kontrakcie.
Inne giełdy: potwierdzone vs plotki
Tej nocy plotki rozchodziły się szybciej niż fakty. Oto uporządkowana lista.
- Potwierdzone: Predict.fun, ok. 400 tys. USDT, 27 października, strona dokumentacji u zewnętrznego dostawcy, zwroty obiecane
- Potwierdzone, wcześniej: Bitget, ok. 388 mln USD, 24 września, powiązany on-chain ze środkami z Binance według ZachXBT
- Fałsz: Bybit zhakowany w tym samym czasie. Bybit oświadczył, że nie został dotknięty, a wypłaty działały
- Niedotknięte według oficjalnych oświadczeń: Coinbase, KuCoin, Binance.US
- Brak wiarygodnych doniesień: OKX, Kraken
- Nie nowy hack: Ledger. Atak na łańcuch dostaw przez resellera jest realny i trwa od początku października. To nie jest zdarzenie z Binance
- Niezweryfikowana spekulacja: "zrobiły to agenty AI" i "jeden aktor za wszystkim"
- Spam i phishing: fałszywe formularze zwrotów, DM-y od "supportu", linki "odbierz rekompensatę". Ignoruj wszystkie
Co stało się z rynkiem
- BTC: z ok. 80,3 tys. do poniżej 77 tys. USD
- BNB: z 738,90 do 692,32 USD w kilkadziesiąt minut, choć nie skradziono ani jednego BNB
- Likwidacje: ok. 1,53 mld USD w 24 h, głównie longi
- Fear & Greed: z 51 do 30
- Wygrani: HYPE i TRX zyskały. Rynek nagrodził alternatywy poza giełdami scentralizowanymi
Reakcja była łagodniejsza, niż sugeruje skala kradzieży. Rynek postawił na to, że Binance pokryje stratę. Kolejne testy to wznowienie wypłat w terminie i nowe Proof of Reserves.
Czy Binance jest bezpieczny? Co zrobić teraz
Nikt niczego nie obiecze, ale oto praktyczna lista.
→ Nie ufaj DM-om, linkom "do zwrotu" ani formularzom "rekompensat". Korzystaj wyłącznie z oficjalnych kanałów.
→ Nie podpisuj niczego, czego sam nie zainicjowałeś. Dotyczy to batch transferów i autoryzacji EIP-7702.
→ Jeśli używasz Polymarket, zamknij stare karty i przeładuj stronę. Większe kwoty trzymaj w portfelu wymagającym ręcznego potwierdzenia, najlepiej sprzętowym.
→ Rozłóż ryzyko na kilka miejsc. Jedna giełda to jeden punkt awarii.
→ Unikaj dźwigni podczas incydentów. W pierwszej godzinie zlikwidowano ok. 628 mln USD. Ta strata to koszt dźwigni, nie hacku.
→ Dla budujących: izoluj skrypty firm trzecich, monitoruj delegacje EIP-7702 na portfelach skarbcowych i ćwicz procedurę ich odwołania.
FAQ
Czy Binance został zhakowany?
Tak. Potwierdziły to Binance i CZ. Szacowany wpływ: ok. 6,3 mld USD.
Ile skradziono z Binance?
Ok. 6,3 mld USD według szacunku Binance. TRM podaje 6,36 mld USD w chwili kradzieży. Chainalysis wskazuje do 6,4 mld USD.
Czy moje środki na Binance są bezpieczne?
Binance deklaruje, że środki użytkowników są bezpieczne i że pokryje wszystkie straty. To oświadczenie firmy. Obserwuj post-mortem, nowe Proof of Reserves i faktyczne wznowienie wypłat.
Kiedy Binance wznowi wypłaty?
Binance zapowiada wznowienie w ciągu ok. 48 godzin od komunikatu z 30 października. Depozyty już działają. Dokładnej godziny nie podano.
Kto zhakował Binance?
TRM Labs i Chainalysis wskazują TraderTraitor, grupę powiązaną z Koreą Północną. ZachXBT pisze, że prawdopodobnie Lazarus. Oficjalnej atrybucji rządowej nie ma.
Czy hack Binance jest większy niż Bybit?
Tak. TRM nazywa go największą kradzieżą krypto w historii, ok. czterokrotnie większą niż hack Bybit z 2025 roku.
Co to jest SAFU?
Awaryjny fundusz ubezpieczeniowy Binance. Trzyma ok. 15 000 BTC, czyli ok. 1,16 mld USD, co samo nie pokrywa straty.
Czy Polymarket został zhakowany?
Tak, jego strona międzynarodowa, przez skompromitowany zewnętrzny skrypt monitorujący. Ok. 2,65 mln USD, bez błędu w smart kontraktach.
Czy Polymarket zwróci pieniądze?
Obiecał pełne zwroty. Według doniesień straty poniżej 10 000 USD mają wrócić do 30 października, a przy większych trzeba podpisać formularz zwolnienia z roszczeń. Wypłat nie potwierdzono niezależnie.
Czy Bybit, Coinbase, OKX lub Kraken też zostały zhakowane?
Brak wiarygodnych dowodów. Bybit i Coinbase oświadczyły, że nie zostały dotknięte.
Źródła: Binance i CZ na X · TRM Labs · Chainalysis · ZachXBT · WazzCrypto · Bubblemaps · DefiPrime · Hudson Rock · CoinDesk · Cointelegraph · Bloomberg · Reuters · CNBC · Axios · Bleeping Computer · The Block · DefiLlama.
Informacje na rano 30 października 2026 (CET). Śledztwo trwa, a liczby mogą się zmienić. Artykuł opisuje zdarzenia i nie jest poradą finansową ani prawną.
Informacja o linkach referencyjnych: linki do Polymarket w tym artykule są linkami referencyjnymi. W3Match może otrzymać nagrodę, jeśli zarejestrujesz się przez nie. To nie jest rekomendacja handlu, a dostępność zależy od Twojego kraju, więc najpierw sprawdź regulamin Polymarket.