Вечером 29 октября злоумышленник вывел с кошельков криптобиржи Binance активы на сумму около 6,3 млрд долларов. Биржа подтвердила инцидент, приостановила вывод средств и пообещала полностью возместить ущерб. Средства пользователей, по заявлению биржи, в безопасности. Это крупнейшая кража криптовалюты за всю историю: предыдущий рекорд, взлом биржи Bybit в феврале 2025 года, обошелся ей примерно в 1,5 млрд долларов.
Binance связала взлом со скомпрометированным ноутбуком инженера
В 01:33 МСК 30 октября Binance сообщила, что проводит проверку безопасности и приостановила вывод средств. Через несколько часов компания опубликовала первые результаты расследования.
По предварительной версии Binance, злоумышленник мог получить доступ к ноутбуку одного из инженеров DevOps – специалистов, которые обслуживают серверы и внутреннюю инфраструктуру биржи. Через него атакующий проник в служебный контейнер и отправил несанкционированные транзакции на вывод средств. Признаков утечки закрытых ключей кошельков компания не обнаружила. Подробный технический отчет Binance обещает опубликовать после завершения расследования.
Ущерб биржа оценила примерно в 6,3 млрд долларов. Вместе с партнерами из блокчейн-индустрии ей удалось заморозить около 3 млрд долларов непосредственно в блокчейне. Ущерб Binance возместит из фонда SAFU (Secure Asset Fund for Users), созданного в 2018 году для защиты пользователей при взломах, и из собственных средств. После устранения последствий компания опубликует обновленное подтверждение резервов (Proof of Reserves).
Кроме приостановки операций, Binance отозвала авторизацию затронутого адреса и привлекла правоохранительные органы и компании по блокчейн-аналитике, чтобы отследить и вернуть средства. В 03:13 МСК биржа приостановила и ввод средств. В сообщении co-CEO Binance Yi He, опубликованном в 07:17 МСК, уточняется, что ввод работает в обычном режиме, а вывод биржа рассчитывает начать восстанавливать в течение 48 часов.
Пользователям Binance советует получать новости только из официальных каналов биржи и, как отмечает РБК, не реагировать на подозрительные ссылки, сообщения и запросы данных аккаунта.
Как проходила атака
Подробную картину по данным блокчейнов восстановила компания TRM Labs. По ее подсчетам, злоумышленник вывел из кошельков Binance в десяти блокчейнах около 6,36 млрд долларов по ценам на момент переводов. Основная часть средств ушла примерно за 20 минут. Первые переводы начались 29 октября в 23:05 МСК в сети XRP Ledger, а в 23:20 МСК горячий кошелек Binance в сети Bitcoin отправил атакующему 18 270 BTC.
Подготовка, по данным TRM Labs, началась как минимум за 36 часов до кражи. Кошелек оператора атаки получил небольшие суммы через миксер Tornado Cash, после чего код для атаки проверили на нескольких собственных кошельках злоумышленника.
В сети Ethereum атакующий использовал механизм EIP-7702, который появился в обновлении Pectra в мае 2025 года. Он позволяет обычному кошельку передать управление смарт-контракту, подписав разрешение. Злоумышленник заранее получил 50 таких разрешений с подписью горячего кошелька Binance – по одному на каждый следующий номер транзакции, потому что кошелек постоянно обрабатывает выводы клиентов. Сработало одно из них, и кошелек перешел под управление контракта атакующего. Одной транзакцией с него ушли 167 464 ETH и 1,615 млрд USDT, а затем контракт еще несколько раз забирал новые поступления.
В остальных сетях, включая Bitcoin, Tron, Solana и XRP Ledger, кошельки Binance отправили средства обычными подписанными переводами. В TRM Labs считают, что злоумышленник получил возможность подписывать нужные ему транзакции через систему подписи горячих кошельков биржи. Binance пока не раскрыла, как именно атакующий получил подписи.
Распределение выведенных средств по сетям, по данным TRM Labs:
| Сеть | Выведенные активы | Сумма |
|---|---|---|
| Ethereum | 200 630 ETH, 1,875 млрд USDT, 823 млн USDC, 88,5 млн RLUSD и другие токены | около 3,79 млрд долларов |
| Bitcoin | 18 270 BTC | около 1,47 млрд долларов |
| Tron | 612,7 млн USDT и 46,4 млн TRX | около 628 млн долларов |
| XRP Ledger | 233,46 млн XRP | около 296 млн долларов |
| Solana | 970 500 SOL | около 96 млн долларов |
| Arbitrum, Optimism и Base | в том числе 74,6 млн ARB | около 39 млн долларов |
| Avalanche | разные токены | около 28 млн долларов |
| Polygon | разные токены | около 10 млн долларов |
Атаку связывают с хакерами КНДР
TRM Labs с высокой степенью уверенности приписывает атаку TraderTraitor – подразделению северокорейских хакеров, которое ФБР ранее назвало ответственным за взлом Bybit. Компания опирается на данные блокчейнов и сведения из других источников. С прежними атаками, которые связывают с КНДР, в том числе со взломом Bybit и атакой на KelpDAO в апреле 2026 года, совпадают финансирование через Tornado Cash, долгая подготовка и заранее полученные подписи, которые использовали за один заход.
По мнению блокчейн-исследователя ZachXBT, вероятный исполнитель – северокорейская группировка Lazarus. На связь с КНДР указывают и в компании Blockaid. Официально причастность КНДР не подтверждена.
Эмитенты стейблкоинов заморозили около 2,7 млрд долларов
Часть похищенного удалось заблокировать, потому что эмитенты стейблкоинов могут замораживать токены на конкретных адресах. По словам главы Tether Паоло Ардоино, компания заморозила более 1,567 млрд USDT. Circle заблокировала около 825 млн USDC в координации с правоохранительными органами, Ripple – 40,5 млн RLUSD, World Liberty Financial – 27,8 млн USD1. Совет безопасности сети Arbitrum принудительно перевел с кошелька атакующего 8426 ETH и 74,6 млн ARB, это около 30 млн долларов. Всего, по подсчетам TRM Labs на 03:30 МСК 30 октября, заморожено около 2,7 млрд долларов.
В первые часы злоумышленник обменивал стейблкоины на активы, которые нельзя заморозить. Около 325 млн USDT было продано маркетмейкерам через UniswapX и похожие контракты примерно за 122 300 ETH со скидкой более 10% к рыночному курсу. Еще 60 млн USDT атакующий внес в кредитный протокол Aave и занял под них около 19 760 ETH, после чего Aave заморозил затронутые рынки.
По оценке TRM Labs, вне досягаемости эмитентов у злоумышленника остаются более 420 тыс. ETH и 18 270 BTC – около 2,4 млрд долларов. Биткоины атакующий дробит на части по 1000 и 100 BTC, чтобы их было сложнее отследить. Дальше средства, вероятно, пойдут через кроссчейн-мосты, сервисы обмена и внебиржевых брокеров.
Реакция рынка
На новостях о взломе подешевели основные криптовалюты. По данным РБК, биткоин за сутки потерял более 4% и опустился ниже 77 тыс. долларов. По словам основателя Binance Чанпэна Чжао, произошедшее «похоже на взлом». Чанпэн Чжао больше не руководит биржей, но как акционер рассчитывает, что биржа полностью возместит ущерб пользователям.
Глава SpaceX Илон Маск прокомментировал новость о взломе фразой «Каждый день – нулевой день». Она отсылает к уязвимостям нулевого дня, о которых разработчики не знают до начала атак и для которых еще нет исправлений.
