Wyobraźcie sobie, że budzicie się rano, sprawdzacie portfel i okazuje się, że zniknęły z niego kryptowaluty warte kilka milionów dolarów. Nie pamiętacie podejrzanej transakcji, poczta nie pokazuje nowych logowań, a na telefonie nie widzicie niczego oczywistego.

Mniej więcej taką sytuację opisał trader znany jako Frogman. Do zdarzenia doszło w Singapurze, gdzie trwała konferencja TOKEN2049. Sprawa szybko zainteresowała analityków blockchain, ponieważ przejęte aktywa w krótkim czasie zostały przemieszczone przez kilka sieci.

Frogman: spałem, kiedy zniknęły pieniądze

7 października 2026 roku o 05:21 UTC, czyli 13:21 czasu singapurskiego, Frogman opublikował wpis na X. Poinformował, że stracił ponad 4 mln dolarów podczas snu, około 4:30 rano.

Trader przyznał, że nie zna przyczyny incydentu. Poinformował również, że różne zespoły i osoby prywatne pomagają mu prześledzić transakcje.

W późniejszej odpowiedzi doprecyzował, że sprawdził telefon i pocztę, ale nie znalazł oczywistych śladów włamania. To bardzo ważna informacja, choć sama w sobie nie oznacza jeszcze, że jego urządzenia albo klucze prywatne nie zostały skompromitowane.

Chronologia: co wydarzyło się w nocy?

Dane blockchain wskazują, że pierwsze podejrzane transakcje miały miejsce nieco wcześniej, niż wynikało to z orientacyjnej godziny podanej przez Frogmana.

Jakie kryptowaluty zniknęły?

Lookonchain opisał utratę aktywów z dwóch portfeli. Trzy największe pozycje miały stanowić zdecydowaną większość zgłoszonej straty.

Łącznie te trzy pozycje odpowiadały za około 3,83 mln dolarów. Pozostała część znajdowała się w sześciu mniejszych aktywach.

Warto zaznaczyć, że są to szacunki wartości rynkowej z momentu incydentu. Nie muszą odpowiadać kwocie, którą można byłoby realnie uzyskać przy natychmiastowej sprzedaży wszystkich tokenów o ograniczonej płynności.

Jak przebiegała kradzież na kilku blockchainach?

W rekonstrukcji SolSentry pojawia się aktywność obejmująca kilka sieci jednocześnie. Wskazano między innymi transfery tokenów z Solany, a także zdarzenia na Base, BNB Chain i Robinhood Chain.

To ważne, ponieważ wykradzenie aktywów z kilku niezależnych sieci utrudnia wyjaśnienie incydentu jako pojedynczego błędu konkretnego tokena.

Nie wyklucza jednak wykorzystania złośliwych autoryzacji, przejęcia kluczy albo kompromitacji środowiska używanego do podpisywania transakcji. Wciąż brakuje raportu technicznego potwierdzającego mechanizm ataku.

Dokąd popłynęły skradzione środki?

Według pierwszych raportów przejęte aktywa były zamieniane między innymi na ETH, BNB i SOL, a następnie przesyłane przez kolejne adresy i protokoły.

Wśród wymienianych narzędzi znalazły się Privacy Cash, Relay, Across, Mayan, Chainflip oraz NEAR Intents.

Nowy trop: około 2,19 mln USD w XMR1 na Hyperliquid?

To jeden z najbardziej interesujących elementów późniejszej analizy.

Tracker SolSentry, według stanu opublikowanego 8 października 2026 roku, wskazuje 3 948,58 XMR1 przypisanych do 41 kont spot na Hyperliquid. Ich szacunkowa wartość w chwili przygotowania zestawienia wynosiła około 2,19 mln USD.

Autorzy trackera wskazują także 317 BNB i 4 ETH znajdujące się na adresach depozytowych, na których zlecenia swap nie zostały wykonane według rekonstrukcji.

To nie oznacza, że odzyskano te pieniądze ani że wszystkie wskazane konta zostały oficjalnie przypisane sprawcy. Oznacza jedynie, że niezależny analityk zidentyfikował określone salda i przedstawił potencjalną trasę przepływu.

Dlaczego nie wszystkie powiązania można uznać za pewne?

Blockchain pozwala sprawdzić transakcje, adresy oraz ich dokładne wartości. Nie zawsze pozwala jednak udowodnić, że środki opuszczające protokół prywatności albo usługę cross-chain należą do tej samej osoby, która wcześniej je wpłaciła.

SolSentry wyraźnie oznacza część takich połączeń jako nieudowodnione. Dotyczy to między innymi dopasowywania wypłat z Privacy Cash do kolejnych depozytów i części tras cross-chain.

Telefon i e-mail są czyste. Czy to wyklucza włamanie?

Nie. I to najważniejsza rzecz, którą warto zrozumieć.

Brak alertu o podejrzanym logowaniu na konto e-mail nie wyklucza przejęcia klucza prywatnego, złośliwego oprogramowania albo wcześniejszej autoryzacji niebezpiecznej transakcji.

Żadna z tych możliwości nie została jednak oficjalnie potwierdzona jako przyczyna incydentu Frogmana.

Czy winne mogło być Wi-Fi w Singapurze?

Niektóre komentarze łączyły incydent z publicznymi sieciami Wi-Fi albo spotkaniami podczas TOKEN2049.

Trzeba jednak pamiętać, że samo połączenie z publiczną siecią Wi-Fi nie umożliwia automatycznie przejęcia portfela. Ruch współczesnych aplikacji i stron jest przeważnie szyfrowany.

Publiczna sieć może być elementem phishingu albo bardziej złożonego ataku, ale nie mamy dowodu, że odegrała taką rolę w tej sprawie.

Singapur i TOKEN2049: przypadek czy istotny trop?

Konferencja TOKEN2049 Singapore odbywa się 7–8 października 2026 roku w Marina Bay Sands. Organizator informuje o ponad 25 tysiącach uczestników ze 160 krajów.

Frogman przyznał, że spotkał w Singapurze wiele nowych osób. Nie wskazał jednak konkretnej osoby odpowiedzialnej za kradzież ani nie przedstawił dowodu na związek wydarzenia z przejęciem portfeli.

Czy kradzież mogła być upozorowana?

W komentarzach pojawiły się również sugestie, że część transferów mogła być celowa, a sam incydent upozorowany z powodów podatkowych albo innych.

Nie ma jednak wystarczających publicznych dowodów potwierdzających taką teorię. Nie powinno się wyciągać podobnych wniosków wyłącznie na podstawie korzystania z wielu adresów lub aplikacji.

Dlatego traktujemy je jako niezweryfikowane spekulacje.

Co wiadomo, a czego nadal nie wiadomo?

Jak zabezpieczyć portfel przed podobnym incydentem?

Najważniejszy wniosek z tej historii nie zależy od tego, jaki okaże się ostateczny mechanizm ataku.

Jeżeli trzymacie większy kapitał w kryptowalutach, nie warto opierać całej strategii bezpieczeństwa na jednym portfelu, jednym urządzeniu albo jednej przeglądarce.

• Oddziel portfel inwestycyjny od portfela do DeFi. Nie podpisuj eksperymentalnych kontraktów portfelem przeznaczonym do wieloletniego przechowywania aktywów.
• Na konferencję zabieraj portfel z ograniczonym saldem. Nie ma powodu, aby główny kapitał znajdował się na urządzeniu używanym podczas licznych spotkań.
• Zabezpiecz kopię zapasową. Nie przechowuj seed phrase jako zdjęcia ani w zwykłej chmurze.
• Weryfikuj podpisy i uprawnienia. Portfel sprzętowy nie ochroni przed świadomym zaakceptowaniem szkodliwej operacji.
• Stosuj oddzielne środowiska. Im większa kwota, tym większy sens ma separacja urządzeń oraz metod autoryzacji.
• Nie ufaj ofertom odzyskania środków z DM. To popularny sposób na kolejną kradzież.

Uwaga na drugą falę oszustw

Po dużych kradzieżach pojawiają się fałszywe profile podszywające się pod analityków, firmy bezpieczeństwa i osoby rzekomo potrafiące odzyskać kryptowaluty.

Jeśli ktoś prosi o seed phrase, eksport klucza prywatnego albo instalację podejrzanego oprogramowania, może próbować przeprowadzić kolejny atak.

Czy Frogman odzyska skradzione pieniądze?

Na moment przygotowania materiału nie ma potwierdzenia odzyskania większości aktywów.

Możliwość obserwowania adresów i wykrywania sald nie oznacza automatycznie możliwości cofnięcia transakcji. W niektórych przypadkach giełdy i organy ścigania mogą współpracować przy blokowaniu środków, ale skuteczność takich działań zależy od konkretnej sytuacji.

Najciekawsze będzie teraz ustalenie, czy wskazane przez SolSentry konta i depozyty rzeczywiście stanowią część nadal kontrolowanych przez sprawcę środków oraz czy uda się potwierdzić nieudowodnione połączenia między protokołami.

Podsumowanie

Frogman zgłosił stratę ponad 4 mln USD. Analitycy odtworzyli część transferów i wskazali szereg adresów, usług cross-chain oraz potencjalnych miejsc przechowywania dalszych wpływów.

Jednak wciąż brakuje odpowiedzi na najważniejsze pytanie: jak atakujący uzyskał możliwość podpisania nieautoryzowanych transakcji?

Do momentu poznania mechanizmu incydentu pozostają nam wnioski dotyczące zarządzania ryzykiem, separacji portfeli i ochrony kluczy prywatnych.

Inne materiały, które mogą Cię zainteresować