Noong October 29, tumagas mula sa mga wallet ng Binance ang $6.3 billion — at nangyari lang ‘to sa loob ng mga dalawampung minuto. Ito na ‘yung pinakamalaking crypto theft sa kasaysayan, halos apat na beses pa ang tinalo sa Bybit hack na nangyari noong February 2025.
Ayon mismo sa Binance, nakuha ng hacker ang entry point gamit ang computer ng isang engineer na na-infect ng malware matapos magpanggap na job interview.
Dalawang araw pagkatapos nung incident, binanggit ng Binance na naibalik na nila ang 98% ng mga asset gamit ang sarili nilang pondo; kinabukasan, balik na ulit ang withdrawals.
Take note dito sa huling part na ’to. Ito talaga ang pinakaimportante, pero halos di pinag-uusapan.
Kung Hawak Mo Ay Pala, Lahat Gusto Mong Hukayin
Mt. Gox, 2014. QuadrigaCX, 2019. FTX, 2022. Bybit, 2025. Binance, 2026. Yan pa lang ang ilan sa mga sumikat na hacks. Iba-iba ang nangyayari, pero lagi ang solusyon: self-custody, kasi nga naman, not your keys, not your coins.
Tama naman sa technical side — kung wala sa ‘yo ang private key, wala ka talagang control sa asset mo. Ang meron ka lang, claim laban dun sa tunay na may hawak.
Pero hindi ibig sabihin na mas safe ka na agad kapag nagse-self-custody ka.
Tahimik lang ang mga Nasunugan (Maliban na Lang Kung Malaki ‘Yung Nawalan)
Kapag exchange ang tinira ng hacker, buong mundo agad ang nakakaalam. Malalaking halaga kasi ang nawala, may official statement pa, at balita sa international news.
Pero kapag isang individual lang ang nawalan ng lahat, halos walang nakakaalam. Kahit on-chain pa ang loss at puwedeng makita ng publiko, sino ba talaga ang nagbabasa ng blockchain investigations? Ang madalas sinusundan ng tao, news at media reports.
Marami sa mga nabiktima nito, hindi na nga nagsusumbong sa pulis — dahil sa hiya, o hirap paniwalaan na nangyari talaga.
Bilang taga-imbestiga, sanay na kami rito: lalapit ang biktima na may transaction hashes at pag-asang puwedeng “ma-freeze yung bitcoins.”
At maliban na lang kung sunod-sunod ang swerte (biktima na mabilis at tamang mag-report, maalam na opisyal, at napunta sa exchange o token na puwedeng i-freeze ang funds), kadalasang bagsak ang ending.
Hindi actually yung malalaking exchange hacks ang pinakamarami. Sila lang yung kitang-kita ng lahat.
Mga Kwento ng Delikadong Self-custody: Mga Madalas Mong Makalimutang Risks
Pagbigay ng seed. Noong January 10, 2026, may isang investor na binasa sa scammer (nagpanggap na Trezor support) ang seed ng hardware wallet niya. Sunog siya ng 1,459 BTC at 2.05 million LTC, nasa $282 million ang nawala. Hindi naman nagka-problema ang device niya — yung may-ari ang nagkamali.
Seed compromise. Picture ng seed phrase sa phone, note sa cloud, o kaya email sa sarili. Walang nanghingi, pero biglang kumalat na lang.
Signature phishing. Nag-sign ka ng off-chain message na pinapayagan ang ibang tao maglipat ng tokens mo, tapos anytime puwedeng dalhin ng hacker. Para kang nag-iwan ng blankong signed check sa drawer ng di mo kilala. Noong January 2026 lang, nabiktima nito ng nasa $6.3 million.
Ang ironic pa, pati yung Binance hack signature din ang naging daan. Nauto ang system ng exchange na mag-sign ng 50 authorizations ng sabay-sabay, at isang bato lang sapat na para mapasakamay ng attacker ang wallet na natalo ng $2.2 billion sa isang transaction.
Wrench attack. Nakuha yung pangalan mula sa literal na “wrench.” Walang cryptography na kayang pumigil kung buhay na ang kapalit — ikaw o pamilya mo na ang tinututukan. Sa first half ng 2026, naka-record ang CertiK ng 52 ganitong pilit, nasa $124 million ang nawala; 33 dito nangyari lang sa France.
Address poisoning. Magpapanggap ang scammer na legit ang address, ilalatag sa history mo, tapos next transfer mo, yung fake mo naman ang nacopy-paste mo. Isang case lang noong January, nabura na agad $12.25 million.
Device failure. Noong July 29, kahit yung mga ColdCard users na hindi naman kinonek ang device nila sa internet, nilimas pa rin ang laman dahil sa mali sa randomness ng key generation. Mahigit isang libong bitcoin ang nalusaw. Pwede mong basahin yung analysis ko dito: “Not your keys, not your coins — pero alam mo ba kung paano nagge-generate ng keys ang device mo?“.
Paalala: Sa bawat kaso, may ‘pinagkatiwalaan’ yung biktima — support line, cloud, website, diskarteng sarili, transaction history, firmware. Laging tiwala sa sariling abilidad ang dulo ng storya.
Self-custody o Exchange? Hindi Dapat Pinipilit Ang Pili
Lahat ng paraan ng pag-iingat ng crypto ay may sariling risk. Kung iiwan mo ang mga asset mo sa exchange, magtitiwala ka sa galaw at katatagan ng platform na ‘yon. Kung sariling self-custody ka naman, ikaw ang nagtitiwala sa sarili mo, sa device mo, sa software, at sa sinumang alam na ikaw ang may hawak ng bitcoin. Kadalsan, ang problema ay aware ka sa risk ng una pero pinapalampas mo ang risk ng pangalawa.
Walang option na walang tiwala. May mga tiwalang talagang minsa-conscious at meron ding ‘di napapansin. At ang pinaka-mahal na risk ay ‘yung hindi mo napapansin.
Hindi mo dapat ilagay lahat ng pera mo sa ilalim ng unan, at hindi rin lahat sa isang bangko.
Sa crypto, ganun din dapat — hati-hatiin mo: parte sa solid na exchange (o kahit tatlong exchange), parte sa sariling self-custody, at parte sa ETFs — halimbawa: 30%, 40% at 30%.
Depende ‘yung hati ng asset mo sa kung gaano kalalim alam mo, sa risk-taking mo, at sa goals mo. Ikaw ang may responsibilidad dito, hindi mo ito puwedeng ipasa kahit kanino. Pasensya na sa bad news, pero mas mabuti nang malaman mo ngayon kaysa sa huli.
The Day After Tomorrow
Pwedeng mabawasan ng responsibilidad ang risks, pero di nito totally matatanggal lahat. Kaya imbes na laging tanungin, “alin ang pinakasafe para sa’kin?”, itanong mo rin — “Ano mangyayari sakin after ma-hack o ma-atake ako?”
Pag self-custody, wala kang pwedeng tawagan. Noong January, automatic nang kinonvert sa Monero (BTC, BTC, LTC) ‘yung $282 million na nanakaw. Magka-freeze lang ang pondo kapag pumasok na sa stablecoin issuer o exchange. Buong recovery, madalang talaga ‘yan.
Kapag sa exchange, may counterparty kang pwedeng asahan. Noong na-hack ang Bybit, naibalik nila agad ang customer funds sa loob lang ng tatlong araw. Yung Bitget naman, nabawi nila ‘yung $388 million na nawala noong September gamit ang protection fund nila.
Binawi rin ng Binance lahat ng losses at halos fully recovered na — 98% na-restore based sa kanilang proof of reserves.
Siyempre, may saysay lang ang counterparty kung solvent siya. At hindi rin nito 100% na maibabalik ‘yung asset mo, kadalasan bawas pa ‘yan.
Yung mga creditor ng Mt. Gox, nagaantay ng mahigit 10 taon at ang nakuha lang nila ay halos 15% ng bitcoin na “meron” sila dati. Pero dahil tumaas ang presyo ng bitcoin sa loob ng mga taon na ‘yon, multiple times pa din ng 2014 balance nila ang value kahit fraction lang ang nabalik.
‘Yung mga creditor ng FTX, cash ang nakuha nila — hindi crypto. Umabot ng mga 120% ng value noong November 2022 (panahon ng pag-collapse), kung saan ang bitcoin nasa $16,000 lang. Mas mataas pa sa halaga noon, pero sobrang liit kumpara kung na-hold nila ngayon, ang laki na sana ng tubo.
Kaya sobrang importante ng Central Bank (BCB) Resolutions 519, 520, at 521 sa Brazil na ilalabas sa 2025.
Para sa mga investor, hindi lang ‘yung sagot ng exchange sa Central Bank ang mahalaga — kundi ‘yung mga requirement na dapat nila sundin: kailangan na separate ang customer assets sa assets ng company (nasa magkaibang wallet), may proof of reserves, regular na independent audits, at hindi puwedeng ipang-operate ng company yung funds ng user.
The Bottom Line
Not your keys, not your coins — tungkol ‘yun sa control, hindi security.
Kung lahat ng yaman mo ay inalis mo sa exchange, hindi ibig sabihin no trust ka na. Na-shift mo lang ‘yung trust, usually sa sarili mo — pero minsan, ni hindi mo tinatanong kung deserve mo nga yung tiwala na yun.
Ang custody, hindi lang ‘to usapang ‘sino ba ang hindi mo pagkakatiwalaan’. Dapat alam mo kung kanino mo talaga gustong magtiwala, at ano ang kaya mong i-manage.
