Binance हैक कैसे हुआ? $6 Billion की चोरी की पूरी जांच

29 अक्टूबर 2026 को, एक हमलावर ने Binance से करीब $6.15 बिलियन सिर्फ 31 मिनट में निकाल लिए। यह क्रिप्टो हिस्ट्री ही नहीं, बल्कि इंटरनेट हिस्ट्री की सबसे बड़ी चोरी में से एक है।

शुरुआत में Binance ने नुकसान का आंकड़ा $6.3 बिलियन बताया था, लेकिन ब्लॉकचेन एनालिटिक्स फर्म BitOK की ट्रांजेक्शन-बाय-ट्रांजेक्शन ट्रेसिंग के मुताबिक कुल नुकसान $6.15 बिलियन रहा, जो नौ ब्लॉकचेन में फैला था।

हमलावर ने कभी भी Binance की प्राइवेट कीज नहीं चुराई। इसके बजाय, उन्होंने Binance की खुद की सिस्टम्स से इस चोरी को मंजूरी दिलवाई। यह गाइड पूरी चोरी को क्रम में फॉलो करती है और साथ ही हर टेक्निकल टर्म को आसान भाषा में समझाती है। सभी समय UTC में दिए गए हैं।

बेसिक्स: एक्सचेंज पैसे कैसे मूव करता है?

हॉट वॉलेट्स एक्सचेंज के ऑनलाइन वॉलेट्स होते हैं, जो हमेशा कनेक्ट रहते हैं ताकि यूजर्स की विदड्रॉल्स तेजी से प्रोसेस की जा सकें।

साइनिंग: हर ट्रांसफर को वॉलेट की प्राइवेट की से अप्रूव करना होता है, जो एक सीक्रेट नंबर होता है। एक्सचेंजेस रोजाना हजारों पिआउट्स ऑटोमेटेड सिस्टम्स से साइन करते हैं।

नॉन्सेस एक Ethereum वॉलेट की ट्रांजेक्शन काउंटर होती है। जितना ज्यादा वॉलेट यूज होगा, उसका नॉन्स भी उतना तेजी से बढ़ेगा।

फ्रीजेबिल कॉइन्स: Tether (USDT) और Circle (USDC) जैसे stablecoin इश्यूअर किसी भी एड्रेस को फ्रीज़ कर सकते हैं। लेकिन BTC, ETH या TRX जैसे नेटिव कॉइन्स को कोई भी फ्रीज़ नहीं कर सकता।

28 अक्टूबर: हैक से पहले प्लानिंग

हर ब्लॉकचेन ट्रांजेक्शन पर थोड़ा सा चार्ज लगता है। हैकर ने अपनी वॉलेट को पैसे भेजने के लिए कोई ट्रैक न छूटे, इसके लिए Tornado Cash का इस्तेमाल किया। यह एक “मिक्सर” है, जो कई यूजर्स के कॉइन्स को एक साथ मिला देता है, जिससे विदड्रॉअल्स को डिपॉजिट्स से ट्रैक नहीं किया जा सकता।

छह Tornado Cash विदड्रॉअल से ऑपरेटर के वॉलेट और दो हेल्पर्स को फंड किया गया।

29 अक्टूबर, 02:28–16:47 UTC: दो बार प्रैक्टिस

Binance को टारगेट करने से पहले, हमलावर ने खुद की वॉलेट्स पर प्रैक्टिस की। ये वैसा ही है, जैसे कोई चोर अपने ही घर के ताले को पहले खोल कर प्रैक्टिस कर ले।

इसमें इस्तेमाल हुआ एक स्मार्ट कॉन्ट्रैक्ट: Ethereum पर चलने वाला प्रोग्राम, जो जितना कोड में लिखा है उतना ही करता है। यह वाला स्मार्ट कॉन्ट्रैक्ट किसी भी वॉलेट को पूरी तरह खाली कर सकता है, अगर वॉलेट ने इसे अपने बिहाफ पर एक्ट करने की परमीशन दे दी हो। (Ethereum की EIP-7702 फीचर से यही परमीशन मिलती है; आगे इसमें विस्तार से पढ़ें।)

• 02:28 — हमलावर ने draining प्रोग्राम का एक टेस्ट वर्शन जारी किया।
• 13:51–14:24 — पहली रिहर्सल। उन्होंने अपनी दो वॉलेट्स में थोड़ी सी USDT और USDC डाली, टेस्ट प्रोग्राम को इन पर परमिशन दी, और उसे ट्रिगर किया। दोनों वॉलेट्स पूरी तरह खाली हो गए। टूल काम कर गया।
• 15:59 — उन्होंने फाइनल वर्शन पब्लिश किया, जो बाद में Binance पर यूज हुआ।
• 16:20–16:47 — दूसरी रिहर्सल, फाइनल वर्शन से टेस्ट दोहराया गया।

फाइनल वर्शन में एक एडिशनल पॉवर थी: ये वॉलेट से सिर्फ टोकन भेजने ही नहीं, बल्कि जो चाहे करवा सकता था। इसी रात, हमलावर ने इसी के जरिए Binance की एक वॉलेट से 823 मिलियन USDC रिलीज करवा लिए। इतना टेलर बना टूल इशारा करता है कि हमलावर को पहले से पता था Binance की वॉलेट्स कैसे सेटअप की गई हैं।

“इन दोनों वर्शन्स का फर्क बहुत अहम था। मेन कॉन्ट्रैक्ट में एक फंक्शन था, जो डेलीगेटेड कंट्रोल वाली वॉलेट की तरफ से कुछ भी एक्सिक्यूट कर सकता था। हमलावर ने इसी फंक्शन का यूज करके Binance स्मार्ट वॉलेट से 823 मिलियन USDC निकाल लिए,” BitOK ने बताया।

29 अक्टूबर, 20:04 UTC: 31 मिनट की ड्रेनिंग

20:04:52 से 20:35:53 तक, हमलावर ने Binance के XRP Ledger, Solana, Bitcoin, Ethereum, Tron, Base, Optimism, Arbitrum और Avalanche के हॉट वॉलेट्स खाली कर दिए। इसमें शामिल थे:

• 18,270.2 BTC,
• 197,540 ETH,
• 2.49 बिलियन USDT,
• 823 मिलियन USDC,
• 233.46 मिलियन XRP,
• 970,522 SOL और दर्जनों दूसरे टोकन।

हर ट्रांसफर Binance के खुद के वॉलेट्स से साइन की गई थी। BitOK ने इनको उनकी आदतों से पहचाना: नॉर्मल से 2 से 2.7 गुना ज्यादा फीस, अलग ट्रांजैक्शन फॉर्मेट (जो Binance के payout सॉफ्टवेयर में नहीं दिखता), और Ethereum पर असली कस्टमर payout के बीच फेक ट्रांसफर्स।

हमलावर ने एक DevOps इंजीनियर के लैपटॉप को ब्रेक किया, फिर Binance के सिस्टम में चल रहे एक सर्विस कंटेनर (पैकेज्ड प्रोग्राम) का इस्तेमाल करते हुए फर्जी withdrawal ऑर्डर सबमिट किए।

20:20 UTC: 50-की ट्रिक

यह रात की सबसे चालाक मूव थी। टारगेट था एक बिज़ी Ethereum हॉट वॉलेट – Binance 14।

प्लान। EIP-7702 की मदद से, एक वॉलेट पर्मिशन स्लिप यानी ऑथराइजेशन साइन कर सकता है, जिससे कोई स्मार्ट कॉन्ट्रैक्ट उसकी जगह पर एक्ट कर सकता है। अगर Binance 14 ने ऐसा स्लिप साइन किया जिसमें हमलावर के कॉन्ट्रैक्ट का नाम हो, तो हमलावर वॉलेट को कंट्रोल कर सकता है।

समस्या। ये स्लिप तभी काम करता है जब उसमें वॉलेट का करंट ट्रांजैक्शन नंबर यानी नॉनस हो। Binance 14 लगातार कस्टमर्स को पेमेंट कर रहा था, जिससे नॉनस बार-बार बदलता रहता था। गलत नंबर वाला स्लिप पूरी तरह इग्नोर कर दिया जाता है।

ट्रिक। 20:20:59 पर, हमलावर ने Binance के साइनिंग सिस्टम से एक साथ 50 स्लिप्स साइन करवा लिए, हर एक में अलग-अलग नॉनस था। इसे ऐसे समझो जैसे एक ताले में 50 चाबियां एक ही वक्त में आजमा रहे हों: सिर्फ एक का फिट होना जरूरी है। एक स्लिप फिट हो गया। अब Binance 14 हमलावर के कॉन्ट्रैक्ट से ऑर्डर लेने लगा, लेकिन वॉलेट पहले की तरह ही काम करता रहा, जिससे पैसों की इनफ्लो भी लगातार चलती रही।

रिजल्ट। कुछ ही मिनट में, एक ट्रांजैक्शन में 65 अलग-अलग टोकन जिन्हें कुल वैल्यू $2.2 बिलियन से ज्यादा थी, खाली करा दिए गए, जिसमें 1.615 बिलियन USDT और 167,464 ETH शामिल थे। 20:41 और 20:59 बजे, उसी कॉन्ट्रैक्ट ने एक और Binance वॉलेट से 823 मिलियन USDC बाहर ट्रांसफर करा दिया।

Binance 16। दूसरा हॉट वॉलेट और भी सिंपल तरीके से लूटा गया। Binance सिस्टम को नौ फेक ट्रांसफर भेजे गए, जिन्हें उसने रियल कस्टमर पेआउट्स के साथ साइन और भेज दिया। इससे 28,005.6 ETH और 55.7 मिलियन USDT बाहर निकल गए।

20:30–21:14 UTC: अनफ्रीज़ेबल कॉइन्स तक रेस

Ethereum पर, छह मिनट में ही 500 मिलियन USDT मेन रिसीविंग एड्रेस से बाहर चला गया। 20:34 से 21:09 के बीच, हमलावर ने 435 मिलियन USDT Uniswap (जो एक डिसेंट्रलाइज्ड एक्सचेंज है) पर ETH में स्वैप कर दिया। उसने 60 मिलियन USDT Aave, जो एक लेंडिंग प्रोटोकॉल है, में डिपॉजिट किए और उसके बदले 19,762 ETH उधार लिए, जिससे फ्रीज़ होने वाले कोलेटरल वहीं रह गए।

Tron पर, Binance-Hot 7 वॉलेट से 612.7 मिलियन USDT बाहर चले गए। SunSwap (Tron की मेन डिसेंट्रलाइज्ड एक्सचेंज) पर 16 स्वैप्स में हमलावर ने 234 मिलियन USDT को 638.2 मिलियन TRX में बदल लिया।

The Freeze Race

USDT फ्रीज़ करने के लिए, Tether को अपनी multisignature वॉलेट से तीन approvals चाहिए थे, जिसमें कई sign-offs जरूरी होते हैं। हर फ्रीज़ में 2 मिनट 36 सेकंड तक का समय लगा, और pending requests ऑन-चेन दिखाई देती थीं। अटैकर फ्रीज़ आते देख सकता था और जल्दी ट्रांसफर कर सकता था: एक वॉलेट ने फ्रीज़ से सिर्फ 48 सेकंड पहले 130 मिलियन USDT ट्रांसफर कर दिए। लेकिन एक एड्रेस पर अटैकर हिचकिचाया और करीब 175 मिलियन USDT गंवा दिए।

सभी 823 मिलियन USDC अभी भी एक ही एड्रेस पर थे और एक ट्रांजेक्शन में फ्रीज़ हो गए।

अन्य issuers ने USD1, XAUt, PAXG, wBETH और FDUSD को फ्रीज़ किया, और BEAM के issuer ने 984 मिलियन चोरी किए गए tokens बर्न कर दिए। Arbitrum के Security Council, जो 12-सदस्यीय emergency बॉडी है, ने 8,426 ETH और 74.56 मिलियन ARB जब्त कर लिए।

कुल मिलाकर, लगभग $2.79 बिलियन फ्रीज़, बर्न या जब्त किए गए। फिर भी, 669 मिलियन USDT पहले ही ETH और TRX में बदल चुके थे।

21:43–00:10 UTC: वह वॉलेट जिसे बार-बार लूटा गया

Binance 14 अभी भी अटैकर के कंट्रोल में था।

• 21:43:59 — एक रूटीन Binance टॉप-अप के तहत 200 मिलियन USDT Binance 14 में भेजे गए। बारह सेकंड बाद, कॉन्ट्रैक्ट ने सारे फंड्स स्वीप कर लिए। USDT एक ऐसे एड्रेस पर पहुंचा, जो पहले से फ्रीज़ था, लेकिन करीब 370 ETH निकल गए।
• 22:39 — एक और स्वीप में 128.49 ETH निकाल लिए गए।
• 23:56 — 2,961.91 ETH एक मिनट बाद स्वीप कर लिए गए।
• 00:10:35, 30 अक्टूबर — आखिरकार Binance ने handover कैंसिल किया।

अटैकर ने करीब चार घंटे तक वॉलेट होल्ड किया।

18,270 BTC कहां गए?

20:20:06 बजे, 11 ट्रांजेक्शन्स के जरिये Binance के एक हॉट वॉलेट से 18,270.2 BTC ट्रांसफर किए गए, जिसमें सामान्य से दोगुनी फीस दी गई। ये कॉइन्स 19 एड्रेस में बांटे गए, जिसमें से 17 एड्रेस पर 1,000 BTC हैं। 30 अक्टूबर तक, इनमें से कोई भी कॉइन मूव नहीं हुआ था। Bitcoin की पब्लिक लेजर के कारण इन्हें ट्रेस किया जा सकता है, लेकिन कोई भी इन्हें फ्रीज नहीं कर सकता।

30 अक्टूबर, 04:02: The Bitget कनेक्शन

BitOK का सबसे बड़ा खुलासा: चुराए गए Binance फंड्स उसी Ethereum एड्रेस पर पहुंचे जो पहले ही सितंबर 2026 के Bitget हैक से जुड़े ईथर कलेक्ट कर रहा था।

अटैकर ने TRX और USDT को THORChain प्रोटोकॉल के जरिए मूव किया, जो अलग-अलग ब्लॉकचेन पर कॉइन्स को स्वैप करता है, और ETH 0x15104a9ce0f08a8f0075a0869ae80e795fe0feb7 एड्रेस पर रिसीव किया।

यह एड्रेस पहले ही Bitget हैक से ट्रेस हुए ETH को रिसीव कर चुका था। यह एड्रेस Bitget की attacker वॉलेट लिस्ट में मौजूद Bitcoin एड्रेस से आया, जो 23 अक्टूबर से एक्टिव हैं, और शुरुआत में ZEC के रूप में था, जो Binance से कभी नहीं चुराया गया था।

06:20 तक, इस एड्रेस को Bitget से जुड़े आठ पैआउट (349.46 ETH) और Binance से जुड़े पाँच (13.63 ETH) ट्रांसफर मिल चुके थे, फिर इन मेल-जोल वाले फंड्स को नए वॉलेट्स में भेजा गया। सिर्फ एक कॉमन एड्रेस से यह क्लियर नहीं होता कि दोनों हैक्स के पीछे कौन है।

क्या यह North Korea ने किया?

दोनों हैक्स में इंटरनल सिस्टम्स को ब्रेक किया गया, लेकिन प्राइवेट कीज नहीं चुराई गईं, और Bitget ने अपने हैक के लिए North Korea को जिम्मेदार ठहराया था। BitOK ने भी ये पॉइंट्स बताए जो North Korean ग्रुप्स से जुड़े लगते हैं: प्रैक्टिस रन, Tornado Cash फंडिंग, फ्रीजेबल टोकन्स से तुरंत स्वैपिंग, और UTC+9 वर्किंग आवर्स के दौरान तैयारी।

“नई पहचानी गई साझा मनी लॉन्ड्रिंग एड्रेस, ऑपरेशनल ओवरलैप का ज्यादा मज़बूत सबूत है, सिर्फ टैक्टिक्स में समानता से भी ज्यादा। BitOK का अनुमान है कि दोनों चोरी एक ही North Korean ग्रुप से जुड़ी हो सकती हैं और एक ही ऑपरेटर ने देखी गई लॉन्ड्रिंग फ्लो को कंट्रोल किया। यह अभी विश्लेषण संबंधी एट्रिब्यूशन है, न कि हर पार्टिसिपेंट की असली पहचान का सबूत,” BitOK ने कहा।

Binance की प्रतिक्रिया

Binance ने अपने Bitcoin और Tron हॉट वॉलेट्स से विदड्रॉल्स को 20:36 के आसपास रोक दिया, जबकि डिपॉजिट्स चलते रहे। कंपनी ने वादा किया कि वह सभी कस्टमर लॉस को अपने SAFU इमरजेंसी फंड और अपनी ही रिसोर्सेज से कवर करेगी।

मार्केट में, 24 घंटों के भीतर $1.58 बिलियन की leveraged पोज़ीशन्स को लिक्विडेट किया गया, Coinglass के अनुसार।

अटैकर्स के पास अभी क्या है?

30 अक्टूबर को 06:20 बजे तक, BitOK ने अटैकर को इससे जोड़ा है:

• 197,460 ETH,
• 18,270.2 BTC,
• 233.46 मिलियन XRP,
• लगभग 970,500 SOL,
• 675.9 मिलियन TRX,
• और 1.61 मिलियन AVAX।

सिर्फ ETH, BTC, XRP और SOL का टोटल वैल्यू लगभग $2.95 बिलियन था।

अटैकर्स ने Binance की withdrawals को साइन करने वाला सिस्टम हाईजैक कर लिया था। BitOK ने क्रिप्टो इंडस्ट्री के लिए Binance हैक से सीखने वाली बातें भी शेयर की हैं।

“Binance घटना दिखाती है कि सिर्फ प्राइवेट कीज की सिक्योरिटी ही काफी नहीं है। एक्सचेंजेस को साइनिंग अथॉरिटी पर भी कंट्रोल चाहिए, संदिग्ध withdrawal इंस्ट्रक्शंस के खिलाफ सुरक्षा, समझौता की गई परमिशन को तुरंत रद्द करने की सुविधा और नेटवर्क्स के बीच एसेट मूवमेंट की लगातार मॉनिटरिंग जरूरी है।”