# Hack Binance (6,3 mld USD) i hack Polymarket: co się stało 29 października 2026 i dlaczego środki dalej wypływały

Autor: Pawnie. Data publikacji: 2026-10-30. Strona kanoniczna: https://www.w3match.com/pl/blog/hack-binance-polymarket-pazdziernik-2026

Oś czasu hacku Binance (6,3 mld USD) i Polymarket (2,65 mln USD) z 29.10.2026. Dlaczego wypłaty trwały, kto jest podejrzany, co zamrożono i co zrobić teraz.

W jeden wieczór uderzono w dwie platformy w odstępie trzech godzin. Polymarket stracił ok. 2,65 mln USD. Binance stracił ok. 6,3 mld USD.

To największy hack w historii krypto. I jedno pytanie wraca wszędzie: skoro cały rynek wiedział po godzinie, dlaczego środki dalej wypływały?

Poniżej wszystko, co jest potwierdzone, co nie, i co to oznacza dla Twoich środków. Stan na rano 30 października 2026 (CET). Sprawa wciąż się rozwija.

---

## W 60 sekund

- **Polymarket:** ok. 2,65 mln USD z ok. 700 do 995 kont (zależnie od źródła). Przyczyna: złośliwy JavaScript dostarczony przez zewnętrzny skrypt monitorujący. Bez błędu w smart kontraktach. Zwroty obiecane.
- **Binance:** ok. 6,3 mld USD wyprowadzone z hot walletów na 10 blockchainach w ok. 20 minut. Binance wskazuje przejęty laptop inżyniera DevOps. Zamrożono ok. 3 mld USD. Binance zapowiada pokrycie wszystkich strat.
- **Podejrzani:** TRM Labs i Chainalysis wskazują TraderTraitor, grupę powiązaną z Koreą Północną. Żaden rząd nie ogłosił oficjalnej atrybucji.
- **Powiązanie?** Brak dowodów, że Polymarket i Binance zaatakował ten sam aktor. Jest natomiast ślad on-chain łączący środki z Binance z wrześniowym hackiem Bitget.
- **Status Binance:** depozyty działają, wypłaty wstrzymane, wznowienie zapowiedziane w ciągu ok. 48 godzin.

## Hack Polymarket: skrypt monitorujący zamieniony w drainer

[Międzynarodowa strona Polymarket](https://polymarket.com/?r=pawpawpawpaw) ładowała skrypt RUM (real user monitoring) firmy DebugBear, brytyjskiej spółki mierzącej szybkość stron. Ten skrypt podmieniono na drainer portfeli.

Według analiz DefiPrime i Hudson Rock kod czytał dane sesji z przeglądarki, znajdował na stronie klienta order booka, a potem sprzedawał pozycje użytkowników lub przenosił ich tokeny wyników. U osób zalogowanych e-mailem nie pojawiało się okno podpisu. Środki zamieniano na POL i wysyłano na jeden adres.

Najważniejsze liczby:

- **Okno ataku:** ok. 17:10 do 18:03 UTC 29 października (18:10 do 19:03 CET)
- **Adres atakującego (Polygon):** `0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18`
- **Skradzione:** 28,6 mln POL, ok. 2,65 mln USD
- **Ofiary:** 700+ (Bubblemaps), ok. 710 (CNBC), 737 (Bitquery), ok. 995 (Conor Grogan). Polymarket nie podał własnej liczby.
- **Największe pojedyncze straty:** ok. 341 tys. i 307 tys. USD

Reakcja Polymarket: tryb cancel-only i wstrzymanie relayera o 18:05 UTC, naprawa i powrót handlu po ok. godzinie. Firma poinformowała, że skompromitowano zewnętrznego dostawcę, zgłosiła sprawę organom ścigania i obiecała, że poszkodowani odzyskają środki. Smart kontrakty nie zostały naruszone. Polymarket US nie ucierpiał, według CNBC.

Dwa zastrzeżenia, ważne dla rzetelności.

→ Polymarket nie wymienił DebugBear z nazwy. Zrobiły to Reuters i CNBC, powołując się na źródło. Sam DebugBear potwierdził na X incydent bezpieczeństwa i kazał klientom usunąć jego kod.

→ Trader, który twierdził, że stracił 800 tys. USD, został zakwestionowany przez Bubblemaps. Według nich drenaż nie pasował do wzorca innych ofiar. Traktuj to zgłoszenie jako sporne.

To nie pierwszy incydent Polymarket z zewnętrznym dostawcą w tym roku. W czerwcu użytkowników dotknął już złośliwy skrypt od nieujawnionego dostawcy.

## Hack Binance: 20 minut, 10 sieci, 6,3 mld USD

Pierwszy drenaż ruszył o 20:05 UTC (21:05 CET). TRM Labs odnotował najpierw odpływ 233,46 mln XRP, potem Solanę, Optimism, Tron, Bitcoina i Ethereum. Większość środków przeszła w ok. 20 minut.

Szacunek Binance to ok. 6,3 mld USD. TRM podaje ok. 6,36 mld USD po cenach z chwili kradzieży. Chainalysis najpierw 5,9 mld USD, potem ok. 6,4 mld USD. Różne liczby, ten sam rząd wielkości. To normalne, gdy ceny się zmieniają, a śledzenie trwa.

### Jak to zadziałało

Na Ethereum atakujący użył EIP-7702, mechanizmu, który pozwala zwykłemu portfelowi chwilowo wykonywać kod smart kontraktu. Jedna transakcja niosła 50 wstępnie podpisanych autoryzacji dla hot walletu Binance 14\. Jedna zadziałała. Po kilku minutach portfel został opróżniony: 167 464 ETH i 63 inne tokeny, w tym ok. 1,6 mld USD w USDT.

W pozostałych dziewięciu sieciach atakujący po prostu wysyłał podpisane transfery.

Ważne: EIP-7702 był narzędziem, a nie przyczyną. Analitycy TRM, SlowMist i Blockaid opisują kompromitację infrastruktury podpisywania. Prościej: atakujący mógł sprawić, że system Binance sam zatwierdzał wypłaty.

Wstępne ustalenia Binance, opublikowane ok. 02:25 UTC 30 października: przejęty laptop inżyniera DevOps dał dostęp do service containera, przez który wysyłano nieautoryzowane wypłaty. Binance nie znalazł dowodów wycieku kluczy prywatnych. To wstępny wniosek. Pełny post-mortem jest zapowiedziany.

### Kto za tym stoi

TRM Labs przypisuje atak grupie TraderTraitor z wysoką pewnością, wskazując wzorzec przygotowań: małe wypłaty z Tornado Cash na gaz 28 października, testy i próba generalna 29 października. Chainalysis również wskazuje TraderTraitor. ZachXBT pisze "likely Lazarus" i pokazuje, że środki z Binance oraz z wrześniowego hacku Bitget zmieszały się na tym samym adresie po przejściu przez THORChain.

Czego brakuje: oficjalnej atrybucji któregokolwiek rządu.

## Dlaczego środki dalej wypływały, skoro wszyscy już wiedzieli

To pytanie stoi za większością wyszukiwań. Złożyły się na to cztery rzeczy.

**1\. Binance wstrzymał wypłaty późno i etapami.**  
Pierwszy drenaż: 20:05 UTC. Pierwsze oficjalne oświadczenie: 21:24 UTC. Wypłaty wstrzymane na części sieci: 22:15 UTC. Pełne zawieszenie depozytów i wypłat: 00:04 do 00:13 UTC. Przez kilka godzin zwykli użytkownicy mogli jeszcze wypłacać część aktywów na części sieci.

**2\. Przejęty portfel dalej przyjmował środki.**  
Delegacja EIP-7702 na Binance 14 pozostała aktywna. Każdy nowy wpływ kierowany do tego portfela trafiał do atakującego. TRM odnotował takie przejęcia o 20:41, 20:59, 21:04, 21:44, 22:39 i 23:56 UTC. Analityk Wazz alarmował na żywo, że wpłatę 200 mln USDT przejęto w ciągu sześciu bloków. Delegację odwołano dopiero ok. 00:42 UTC. W tej nocy to wygląda na najcięższą lukę operacyjną.

**3\. Atakujący ścigał się z zamrożeniami.**  
Tether zamroził główny portfel ok. 37 minut po wielkim sweepie. W tym oknie atakujący sprzedał ok. 325 mln USDT market makerom przez swapy intent-based z premią powyżej 10%, wpłacił USDT do Aave, wysłał środki do JustLend, pociął Bitcoina przez peel chain i sprzedał część RLUSD, zanim Ripple zamroził resztę.

**4\. Zamrozić można tylko część aktywów.**  
Tether, Circle, Ripple i World Liberty mogą zablokować swoje stablecoiny. Nikt nie zamrozi ETH, BTC, XRP ani SOL. Według TRM u atakującego zostało ponad 420 000 ETH i 18 270 BTC, czyli ok. 2,4 mld USD.

Czy był run klientów na bank? Zgłaszano odpływy instytucjonalne. Twardych publicznych danych o skali wypłat klientów w tym oknie na razie nie ma. "Wszyscy rzucili się do wyjścia" pozostaje niepotwierdzone.

## Co zamrożono i kto pokrywa stratę

- **Zamrożone (Binance, zweryfikowane):** ok. 3 mld USD, w tym ok. 2,3 mld USD w USDT i USDC
- **Tether:** ok. 1,77 mld USDT
- **Circle:** ok. 825 mln USDC
- **Ripple:** 40,5 mln RLUSD potwierdzone on-chain
- **World Liberty Financial:** 27,8 mln USD1
- **Arbitrum Security Council:** ok. 8 425 ETH i 74,6 mln ARB

Binance deklaruje pokrycie wszystkich strat z funduszu SAFU i środków firmy oraz zapewnia, że środki użytkowników są bezpieczne. SAFU trzyma ok. 15 000 BTC, czyli ok. 1,16 mld USD. To ułamek straty, więc większość pokrycia musi pochodzić z bilansu Binance. Wypłata to na razie deklaracja, nie potwierdzona transakcja.

Dane DefiLlama sugerują, że przed atakiem Binance trzymał ok. 144 mld USD aktywów, więc kradzież to ok. 4%. Po zamrożeniach jeden z autorów DefiLlama szacował otwartą lukę na ok. 1 mld USD. CZ odpowiedział, że może być nieco wyższa, ale zostanie pokryta.

## Czy hacki Polymarket i Binance są powiązane?

Nic na to nie wskazuje.

- Inny wektor: skrypt w przeglądarce vs infrastruktura podpisywania
- Inne sieci i aktywa: POL na Polygonie vs ETH, BTC i inne na 10 sieciach
- Inna skala: różnica ok. 2400 razy
- Żadna firma analityczna nie zgłosiła powiązania on-chain

Wspólny jest wzorzec, nie autor. Polymarket, Predict.fun (ok. 400 tys. USD, 27 października), Bitget (ok. 388 mln USD, wrzesień) i Binance zaczęły się od zaufanego elementu pośredniego: skryptu dostawcy, strony dokumentacji, produktu bezpieczeństwa, laptopa pracownika. Nie od błędu w smart kontrakcie.

## Inne giełdy: potwierdzone vs plotki

Tej nocy plotki rozchodziły się szybciej niż fakty. Oto uporządkowana lista.

- **Potwierdzone:** Predict.fun, ok. 400 tys. USDT, 27 października, strona dokumentacji u zewnętrznego dostawcy, zwroty obiecane
- **Potwierdzone, wcześniej:** Bitget, ok. 388 mln USD, 24 września, powiązany on-chain ze środkami z Binance według ZachXBT
- **Fałsz:** Bybit zhakowany w tym samym czasie. Bybit oświadczył, że nie został dotknięty, a wypłaty działały
- **Niedotknięte według oficjalnych oświadczeń:** Coinbase, KuCoin, Binance.US
- **Brak wiarygodnych doniesień:** OKX, Kraken
- **Nie nowy hack:** Ledger. Atak na łańcuch dostaw przez resellera jest realny i trwa od początku października. To nie jest zdarzenie z Binance
- **Niezweryfikowana spekulacja:** "zrobiły to agenty AI" i "jeden aktor za wszystkim"
- **Spam i phishing:** fałszywe formularze zwrotów, DM-y od "supportu", linki "odbierz rekompensatę". Ignoruj wszystkie

## Co stało się z rynkiem

- **BTC:** z ok. 80,3 tys. do poniżej 77 tys. USD
- **BNB:** z 738,90 do 692,32 USD w kilkadziesiąt minut, choć nie skradziono ani jednego BNB
- **Likwidacje:** ok. 1,53 mld USD w 24 h, głównie longi
- **Fear & Greed:** z 51 do 30
- **Wygrani:** HYPE i TRX zyskały. Rynek nagrodził alternatywy poza giełdami scentralizowanymi

Reakcja była łagodniejsza, niż sugeruje skala kradzieży. Rynek postawił na to, że Binance pokryje stratę. Kolejne testy to wznowienie wypłat w terminie i nowe Proof of Reserves.

## Czy Binance jest bezpieczny? Co zrobić teraz

Nikt niczego nie obiecze, ale oto praktyczna lista.

→ Nie ufaj DM-om, linkom "do zwrotu" ani formularzom "rekompensat". Korzystaj wyłącznie z oficjalnych kanałów.

→ Nie podpisuj niczego, czego sam nie zainicjowałeś. Dotyczy to batch transferów i autoryzacji EIP-7702.

→ Jeśli używasz [Polymarket](https://polymarket.com/?r=pawpawpawpaw), zamknij stare karty i przeładuj stronę. Większe kwoty trzymaj w portfelu wymagającym ręcznego potwierdzenia, najlepiej sprzętowym.

→ Rozłóż ryzyko na kilka miejsc. Jedna giełda to jeden punkt awarii.

→ Unikaj dźwigni podczas incydentów. W pierwszej godzinie zlikwidowano ok. 628 mln USD. Ta strata to koszt dźwigni, nie hacku.

→ Dla budujących: izoluj skrypty firm trzecich, monitoruj delegacje EIP-7702 na portfelach skarbcowych i ćwicz procedurę ich odwołania.

## FAQ

**Czy Binance został zhakowany?**  
Tak. Potwierdziły to Binance i CZ. Szacowany wpływ: ok. 6,3 mld USD.

**Ile skradziono z Binance?**  
Ok. 6,3 mld USD według szacunku Binance. TRM podaje 6,36 mld USD w chwili kradzieży. Chainalysis wskazuje do 6,4 mld USD.

**Czy moje środki na Binance są bezpieczne?**  
Binance deklaruje, że środki użytkowników są bezpieczne i że pokryje wszystkie straty. To oświadczenie firmy. Obserwuj post-mortem, nowe Proof of Reserves i faktyczne wznowienie wypłat.

**Kiedy Binance wznowi wypłaty?**  
Binance zapowiada wznowienie w ciągu ok. 48 godzin od komunikatu z 30 października. Depozyty już działają. Dokładnej godziny nie podano.

**Kto zhakował Binance?**  
TRM Labs i Chainalysis wskazują TraderTraitor, grupę powiązaną z Koreą Północną. ZachXBT pisze, że prawdopodobnie Lazarus. Oficjalnej atrybucji rządowej nie ma.

**Czy hack Binance jest większy niż Bybit?**  
Tak. TRM nazywa go największą kradzieżą krypto w historii, ok. czterokrotnie większą niż hack Bybit z 2025 roku.

**Co to jest SAFU?**  
Awaryjny fundusz ubezpieczeniowy Binance. Trzyma ok. 15 000 BTC, czyli ok. 1,16 mld USD, co samo nie pokrywa straty.

**Czy Polymarket został zhakowany?**  
Tak, jego strona międzynarodowa, przez skompromitowany zewnętrzny skrypt monitorujący. Ok. 2,65 mln USD, bez błędu w smart kontraktach.

**Czy Polymarket zwróci pieniądze?**  
Obiecał pełne zwroty. Według doniesień straty poniżej 10 000 USD mają wrócić do 30 października, a przy większych trzeba podpisać formularz zwolnienia z roszczeń. Wypłat nie potwierdzono niezależnie.

**Czy Bybit, Coinbase, OKX lub Kraken też zostały zhakowane?**  
Brak wiarygodnych dowodów. Bybit i Coinbase oświadczyły, że nie zostały dotknięte.

---

**Źródła:** Binance i CZ na X · TRM Labs · Chainalysis · ZachXBT · WazzCrypto · Bubblemaps · DefiPrime · Hudson Rock · CoinDesk · Cointelegraph · Bloomberg · Reuters · CNBC · Axios · Bleeping Computer · The Block · DefiLlama.

_Informacje na rano 30 października 2026 (CET). Śledztwo trwa, a liczby mogą się zmienić. Artykuł opisuje zdarzenia i nie jest poradą finansową ani prawną._

_Informacja o linkach referencyjnych: linki do Polymarket w tym artykule są linkami referencyjnymi. W3Match może otrzymać nagrodę, jeśli zarejestrujesz się przez nie. To nie jest rekomendacja handlu, a dostępność zależy od Twojego kraju, więc najpierw sprawdź regulamin Polymarket._