Noong October 29, 2026, isang hacker ang kumalawit ng halos $6.15 billion mula sa Binance sa loob lang ng 31 minuto — isa sa pinakamalaki, kung ‘di pinakamatindi, na crypto heist sa buong internet history.
Una, tinantiya ng Binance na $6.3 billion ang nawala sa kanila. Pero base sa step-by-step tracing ng blockchain analytics company na BitOK, umabot ito sa $6.15 billion at nangyari sa siyam na magkaibang blockchain.
Hindi nakuha ng hacker ang private keys ng Binance. Ang nangyari, napa-approve niya mismo sa sistema ng Binance ang sariling pagnanakaw. Itong guide na ‘to, susundan natin ang buong pangyayari at ie-explain step-by-step ang mga technical term para di malito. (Lahat ng oras naka-UTC.)
Ang Mga Basic: Paano Nagpapalipat ng Pera ang Exchange
Hot wallets — Ito yung online wallets ng exchange, laging naka-connect para mabigyan agad ng payout ang mga nagwi-withdraw.
Signing. Para ma-approve ang kahit anong transfer, kailangan ito pirmahan gamit ang private key ng wallet, isang secret na number. Gumagamit ng mga automatic system ang exchanges para mag-sign ng libo-libong payout bawat araw.
Nonces — Eto yung transaction counter ng Ethereum wallet. Habang ginagamit ang wallet, tuloy-tuloy din ang pagtaas ng nonce.
Freezable coins. Kaya i-freeze o i-block ng mga issuer ng stablecoin tulad ng Tether (USDT) at Circle (USDC) ang mga address. Pero ang mga native coin gaya ng BTC, ETH, at TRX, hindi kayang i-freeze ninuman.
October 28: Paghahanda Bago ang Hack
Bawat transaction sa blockchain, may maliit na bayad. Para mapondohan yung mga wallet niya na ‘di kita ang bakas, gumamit ang attacker ng Tornado Cash — isang “mixer” na binubusisi ang coins ng madaming users para hindi matrace kung kaninong deposit yung withdrawal.
Anim na Tornado Cash withdrawal ang ginamit para lagyan ng pondo ang wallet ng hacker at dalawang tumulong sa kanya.
October 29, 02:28–16:47 UTC: Dalawang Test Run
Bago tirahin ang Binance, nag-practice muna ang hacker sa sarili niyang mga wallet — parang magnanakaw na nagtetrain muna magpick ng sarili niyang lock sa bahay.
Ang tool dito ay isang smart contract — isang program na naka-deploy sa Ethereum na gumagawa ng eksaktong sinasabi ng code. Yung specific contract na ginawa ng hacker ay para kayang i-drain o kalawitin ang kahit anong wallet na bibigyan nito ng permission na gumalaw para sa wallet. (Ang Ethereum feature na EIP-7702 ang nag-aallow ng ganyang class ng permission — ie-explain pa natin yan sa baba.)
- 02:28 — in-upload ng hacker ang test version ng programa para manakaw ang laman ng wallet.
- 13:51–14:24 — unang test run. Naglagay siya ng maliliit na halaga ng USDT at USDC sa dalawa niyang sariling wallet, binigyan ng permission ang test contract, tapos pinaandar. Parehong naubos ang laman ng wallet. Gumagana ang tool.
- 15:59 — in-upload niya ang final version ng smart contract, na siyang gagamitin niya sa Binance.
- 16:20–16:47 — second test run, nirepeat ang test gamit na yung final version.
May dagdag na power yung final version: pwede na nitong palabasin yung kahit ano sa wallet, hindi na lang tokens. Nang gabing yun, ginamit ito para utusan ang Binance wallet na mag-release ng 823 million USDC. Yung sobrang sakto at customized na tool na to — ibig sabihin, malamang, alam na ng hacker kung paano talaga nakasetup yung mga wallet ng Binance.
“Malaking factor yung pinagkaiba ng dalawang bersyon. Yung pinaka-main contract, may function na kayang mag-execute ng kahit anong call para sa wallet na nagbigay ng control dito. Ito mismo ang ginamit ng hacker para madiskartehan yung 823 million USDC mula sa Binance smart wallet,” paliwanag ng BitOK.
October 29, 20:04 UTC: Ang 31-Minute Na Pag-drain
Mula 20:04:52 hanggang 20:35:53, sunod-sunod na nakuha ng hacker ang laman ng Binance hot wallets sa XRP Ledger, Solana, Bitcoin, Ethereum, Tron, Base, Optimism, Arbitrum, at Avalanche. Kasama sa nakuha niya ang mga sumusunod:
- 18,270.2 BTC,
- 197,540 ETH,
- 2.49 billion USDT,
- 823 million USDC,
- 233.46 million XRP,
- 970,522 SOL at iba’t ibang tokens pa.
Lahat ng transfer, pinirmahan mismo ng mga wallet ng Binance. Nalaman ng BitOK na legit sa Binance galing, kasi ‘yung mga transfer may kakaibang pattern: mas mataas ng 2 hanggang 2.7 beses yung fees kumpara sa normal, hindi pangkaraniwan yung transaction format na hindi ginagamit ng pang-payout software ng Binance, at may mga fake transfers sa Ethereum na siningit sa gitna ng totoong customer payouts.
Nag-hack ang attacker sa laptop ng isang DevOps engineer, saka ginamit yung service container (parang packaged program na tumatakbo sa loob ng Binance systems) para magsubmit ng fake withdrawal orders.
20:20 UTC: Ang ‘50-key’ na Diskarte
Eto yung pinaka-matinde at clever na galaw nung gabi. Target niya — isang sangat busy na Ethereum hot wallet na tinatawag na Binance 14.
Ang plano. Gamit yung EIP-7702, pwedeng mag-sign ang isang wallet ng authorization slip na parang permission slip, para payagan ang smart contract na gumalaw para sa wallet. Pagka napirmahan ni Binance 14 yung slip na binanggit yung hacker’s contract, magga-grant ng full access yung hacker sa wallet.
Ang challenge. Gagana lang ang slip kung tugma yung authorization slip sa pinakabagong transaction number o nonce ng wallet. Dahil tuloy-tuloy ang pagpayout ni Binance 14 sa customers, palaging nagbabago ang nonce. Kapag mali o luma yung number sa slip — automatic dedma, hindi gagana.
Ang trick. Noong 20:20:59, pina-sign ng attacker sa system ng Binance ang 50 slips nang sabay-sabay, bawat isa may iba’t ibang number. Parang sinubukan niyang gamitin ang 50 susi para buksan ang isang lock sa isang go — isa lang ang kailangan pumasok. Pumasok nga. Nagsimula nang tumanggap ng instructions mula sa contract ng attacker ang Binance 14, pero nag-operate pa rin ito na parang normal. Kaya tuloy-tuloy pa rin ang pasok ng pera.
Ang payoff. Ilang minuto lang, isang transaction lang ang ginamit para simutin ang 65 iba’t ibang tokens na umabot ng lampas $2.2 bilyon — kasama na dito ang 1.615 bilyong USDT at 167,464 ETH. Pagdating ng 20:41 at 20:59, napakilos pa ng contract ‘yung isa pang wallet ng Binance para magpadala pa ng 823 milyong USDC.
Binance 16. Mas simple naman ang pagnanakaw sa pangalawang hot wallet. Binusog lang ng attacker ang system ng Binance ng siyam na fake na transfers, pina-sign at ipinadala ito kasama ng mga totoong payouts para sa mga customer. Daladala nito ang 28,005.6 ETH at 55.7 milyong USDT.
20:30–21:14 UTC: Karera Papunta sa Unfreezable na mga Coin
Sa Ethereum, 500 milyong USDT agad na nailabas mula sa main receiving address sa loob lang ng anim na minuto. Mula 20:34 hanggang 21:09, pinalitan ng attacker ang 435 milyong USDT papuntang ETH gamit ang Uniswap, isang decentralized exchange na pinapatakbo ng code. Nagtapon din siya ng 60 milyong USDT sa Aave, isang lending protocol, tapos umutang ng 19,762 ETH gamit ‘yung USDT bilang collateral at iniwan na lang ang madaling ma-freeze na asset roon.
Sa Tron naman, 612.7 milyong USDT ang nailabas mula sa Binance-Hot 7 wallet. Sa loob ng 16 na swaps sa SunSwap, ang pinaka-main DEX ng Tron, nagawa ng attacker na gawing 234 milyong USDT papuntang 638.2 milyong TRX.
The Freeze Race
Para ma-freeze ang USDT, kailangan ni Tether ng tatlong approvals mula sa multisignature wallet nila — meaning, ilang tao ang kailangang mag-sign. Bawat freeze, umaabot ng halos 2 minuto at 36 segundo, at visible on-chain ang mga pending na freeze request. Puwedeng bantayan ng attacker kung may paparating na freeze at maunahan pa ito — sa isang wallet nga, na-transfer pa niya ang 130 milyong USDT 48 segundo bago ito ma-freeze. Pero nagtagal siya sa isang address kaya halos 175 milyong USDT ang na-freeze at hindi na niya nailipat.
Ang lahat ng 823 milyong USDC ay naiwan lang sa isang address at napa-freeze sa isang transaction.
| Mga na-freeze ng Tether at Circle | Halaga |
|---|---|
| Ethereum USDT | $1.38 bilyon |
| Ethereum USDC | $823 milyon |
| Tron USDT | $378.7 milyon |
| Avalanche USDt | $8.4 milyon |
| Total | $2.59 bilyon |
May iba ring issuers na nag-freeze ng USD1, XAUt, PAXG, wBETH at FDUSD, habang ang nag-issue ng BEAM ay nag-burn ng 984 milyong ninakaw na tokens. Sa Arbitrum naman, diretsong kinamkam ng Security Council nila (12 tao na emergency body) ang 8,426 ETH at 74.56 milyong ARB ng attacker.
Sa kabuuan, nasa $2.79 bilyon ang na-freeze, na-burn, o nakuha pabalik. Ngunit may 669 milyong USDT na na-convert na sa ETH at TRX bago pa ito mahabol.
21:43–00:10 UTC: ‘Yung Wallet na Paulit-ulit Nanakawan
Kontrolado pa rin ng attacker ang Binance 14 wallet.
- 21:43:59 — Normal na top-up ng Binance, nagpadala ng 200 milyong USDT sa Binance 14. Labindalawang segundo lang, na-sweep na agad ng contract ito. Napunta ang USDT sa isang address na na-freeze na, pero halos 370 ETH ang naka-escape.
- 22:39 — Isa pang sweep, 128.49 ETH naman ang kinuha.
- 23:56 — 2,961.91 ETH naman ang nakuha isang minuto lang pagdating.
- 00:10:35, October 30 — Saka lang tuluyang na-cancel ng Binance ang handover.
Halos apat na oras hawak ng attacker ang wallet na ‘yun.
Saan Napunta ang 18,270 BTC
Noong 20:20:06, labing-isang transaction ang sabay-sabay naglipat ng 18,270.2 BTC mula sa Binance hot wallet, at doble pa ang gas fee na binayad nila. Hinati-hati ang mga coin sa 19 na iba’t ibang address, karamihan tig-1,000 BTC. Sa October 30, wala pang gumalaw ni isa. Kita sa open ledger ng Bitcoin kung saan napunta ang mga yan — pero wala talagang puwedeng mag-freeze niyan.
October 30, 04:02: Ang Bitget Connection
Pinakamalaking nahanap ng BitOK: Umabot sa parehong Ethereum wallet ang mga na-hack na pondo mula Binance, at dati na ring ginamit ito para sa perang nakuha sa Bitget hack noong Setyembre 2026.
Nilipat ng attacker ang TRX at USDT gamit ang THORChain, isang protocol na pwedeng mag-swap ng coins sa iba’t ibang blockchain, at doon pumasok ang ETH sa address na 0x15104a9ce0f08a8f0075a0869ae80e795fe0feb7.
Natanggap na noon ng wallet na ito ang ETH na galing sa Bitget hack. Galing ito sa mga Bitcoin address na kasama sa listahan ng mga Bitget attacker wallet, na active simula October 23, at originally ZEC ang coin — na hindi naman nakuha mula Binance.
Pagdating ng 06:20, nakuha na ng address na ito ang walong payout na konektado sa Bitget (349.46 ETH) at lima na konektado sa Binance (13.63 ETH), tapos inililipat nito ang pinagsamang pondo sa mga bagong wallet. Pero hindi ibig sabihin na dahil pareho ang address, alam na agad kung sino ang nasa likod ng Bitget at Binance hack.
North Korea ba ang may gawa?
Parehong paraan ang ginamit sa dalawang hack na ‘to: Pinakialaman ang internal systems ng exchange kahit hindi nakuha ang private keys. Sinisi pa nga ng Bitget ang North Korea sa pag-hack sa kanila. Napansin din ng BitOK ang ilang traits na konektado umano sa mga North Korean hacker: may rehearsals o practice bago ang hack, nagkaroon ng Tornado Cash funding, mabilis palit ng freezable tokens sa iba pang coins, at napansin pang office hours sa UTC+9 (time zone ng North Korea at Japan) ang preparation ng operation.
“Mas matindi ang ebidensya ng shared laundering address na nahanap kaysa sa pare-parehong taktika lang. Sa assessment ng BitOK, posibleng magkaugnay ang dalawang nakawan at baka iisang North Korean group ang nasa likod. Iisang operator rin ang mukhang kumokontrol sa money flow ng laundering. Pero itinuturing pa lang itong analysis — hindi pa ‘yan matibay na pruweba ng totoong identity ng lahat ng involved,” sabi ng BitOK.
Paano Tumugon ang Binance?
Pinigilan muna ng Binance ang withdrawals galing sa kanilang Bitcoin at Tron hot wallets bandang 20:36, pero tuloy pa rin ang deposits. Nangako sila na sasagutin nila ang lahat ng nawalang pera ng customer mula sa SAFU emergency fund nila at sa sarili nilang pondo.
Sa buong market, nasa $1.58 billion ang na-liquidate na leveraged positions sa loob ng 24 oras, base sa datos ng Coinglass.
Ano na ang Hawak ng mga Attacker Ngayon?
Bandang 06:20 ng October 30, natunton ng BitOK na ang attacker ay may:
- 197,460 ETH,
- 18,270.2 BTC,
- 233.46 million XRP,
- nasa 970,500 SOL,
- 675.9 million TRX,
- at 1.61 million AVAX.
Kapag ETH, BTC, XRP, at SOL lang, nasa $2.95 billion na agad ang total value.
Na-hijack ng mga attacker ang system na nag-a-approve ng withdrawals ng Binance. Nag-share ang BitOK ng ilang lesson dito na importanteng tandaan ng buong crypto industry.
“Ang incident sa Binance nagpapakita na hindi sapat ang basta private key lang ang secured. Dapat may kontrol din ang mga exchange sa signing authority, may bantay kung may kahina-hinalang withdrawal request, mabilis tanggalin ang mga compromised na access, at tuloy-tuloy na mino-monitor ang galaw ng assets sa iba’t ibang network.”
