Binance взломали на $6,3 млрд: как за 20 минут обчистили крупнейшую биржу
Binance лишилась около $6,3 млрд: это крупнейшая кража в истории криптовалют. Как шла атака, северокорейский след, заморозки средств и что будет дальше.
SECURITY & HACKSEXCHANGESANALYSIS
Lukas Brenner
10/30/20261 мин чтение
Около двадцати минут понадобилось злоумышленникам вечером 29 октября, чтобы опустошить горячие кошельки Binance, крупнейшей криптобиржи мира, в десяти блокчейнах. Сама Binance оценивает ущерб примерно в $6,3 млрд. TRM Labs, которая считает стоимость каждого перевода на момент его совершения, насчитала $6,36 млрд. При любом подсчете это крупнейшая кража в истории криптовалют, примерно вчетверо больше $1,5 млрд, похищенных у Bybit в феврале 2025 года. К утру пятницы было заморожено более $2,5 млрд, Binance пообещала возместить клиентам все потери, а вывод средств оставался приостановлен.
Двадцать минут, десять блокчейнов
Ончейн-данные, восстановленные TRM Labs, показывают быструю и четко выстроенную операцию. С 20:05 до 20:09 UTC пять кошельков Binance в XRP Ledger отправили 233,46 млн XRP на один адрес, оставив на каждом лишь минимальный баланс. Следом пошли кошельки в Solana и Optimism. В 20:20 UTC горячий биткоин-кошелек Binance перевел атакующему 18 270 BTC одиннадцатью транзакциями, и все они были подтверждены в одном блоке. Еще через две минуты горячий кошелек в сети Tron отдал 612,7 млн USDT и 46,4 млн TRX.
Самый тяжелый удар пришелся на Ethereum. Через несколько минут после 20:20 атакующий вывел весь баланс горячего кошелька с меткой Binance 14: 167 464 ETH и 63 токена, в том числе 1,615 млрд USDT. Второй кошелек в Ethereum тем же способом отправил 28 006 ETH, а дальнейшие выводы продолжались почти до полуночи. Около 23:05 UTC вторая волна накрыла кошельки Binance в Avalanche и Polygon. По подсчетам TRM, добыча составила более 200 000 ETH, 1,875 млрд USDT, 823 млн USDC, 18 270 BTC, около 970 500 SOL и 88,5 млн стейблкоина RLUSD от Ripple.
Как атакующий проник в систему
Предварительные выводы Binance указывают на скомпрометированный ноутбук DevOps-инженера: через него злоумышленник получил доступ к сервисному контейнеру, который используется для отправки транзакций на вывод. Позже биржа сообщила, что расследование выявило и другие точки проникновения, не уточнив какие, и что признаков утечки приватных ключей от кошельков не обнаружено. Полный технический разбор инцидента обещан.
В Ethereum атака опиралась на EIP-7702. Этот механизм появился вместе с обновлением Pectra в мае 2025 года и позволяет обычному кошельку исполнять код смарт-контракта после подписания авторизации. По данным TRM, оператор отправил одну транзакцию с 50 заранее подписанными авторизациями под последовательные nonce, чтобы хотя бы одна оставалась действительной, как бы быстро ни рос счетчик транзакций горячего кошелька. Одна совпала, и Binance 14 превратился в «пылесос», который подчинялся только атакующему и работал, пока авторизацию не отозвали. В остальных девяти сетях украденные средства ушли обычными переводами с корректными подписями. По оценке TRM, злоумышленник получил возможность заставить систему подписи горячих кошельков Binance одобрять транзакции сразу в нескольких сетях, и это важнее любой отдельной функции Ethereum.
Северокорейский след
TRM Labs с высокой степенью уверенности приписывает атаку группировке TraderTraitor, северокорейскому подразделению, которое ФБР считает виновным в краже у Bybit. На Пхеньян указывают также Chainalysis, Blockaid и независимый расследователь ZachXBT. Почерк знакомый: операторский кошелек утром 28 октября пополнили небольшими выводами из Tornado Cash, код атаки за несколько часов до кражи отрепетировали на тестовых кошельках, а заранее полученные подписи исполнили одним залпом. Глава направления политики TRM Ари Редборд назвал атаку переломным моментом и предупредил, что кражи такого масштаба помогают финансировать оружейные программы.
Гонка заморозок
Эмитенты стейблкоинов отреагировали необычно быстро. Tether заморозила 971,1 млн USDT на основном кошельке-получателе в 21:01 UTC, через 37 минут после главного вывода, а ее гендиректор Паоло Ардоино позже оценил общий объем заморозок Tether более чем в 1,57 млрд USDT. Circle тремя минутами позже, в координации с правоохранительными органами, заблокировала около 823 млн USDC. Ripple заморозила 40,5 млн RLUSD, прежде чем остаток успели продать, World Liberty Financial заморозила 27,8 млн USD1, а Совет безопасности Arbitrum вскоре после полуночи принудительно вывел из кошелька атакующего ETH и ARB примерно на $30 млн. По словам Binance, с помощью партнеров и правоохранителей заморожено около $3 млрд.
Проблема в том, до чего эмитенты дотянуться не могут. 18 270 BTC через цепочку дробления (peel chain) разошлись по 19 кошелькам, на 17 из которых лежит ровно по 1000 BTC; к утру пятницы ни один из них не двигался. У биткоина нет эмитента, способного внести адрес в черный список, поэтому эти монеты можно остановить лишь тогда, когда они попадут на биржу, OTC-деск или в своп-сервис. Кроме того, атакующий через intent-based своп-контракты продал около 325 млн USDT примерно за 122 300 ETH, согласившись на дисконт более 10%, лишь бы уйти от заморозок, а также занял около 20 000 ETH в Aave под залог украденных USDT, прежде чем Aave заморозил затронутые рынки. По оценке TRM, более 420 000 ETH и все 18 270 BTC, около $2,4 млрд, остаются вне досягаемости любого эмитента.
Баланс Binance и вопрос о деньгах клиентов
Один из гендиректоров Binance И Хэ заявила, что биржа покроет все потери, а основатель Чанпэн Чжао, ныне крупнейший акционер, сказал, что рассчитывает на полное возмещение пользователям. 30 октября Binance сообщила, что зарезервировала более $6,34 млрд: около $5 млрд корпоративных средств уже хранились в затронутых токенах, а оставшуюся недостачу биржа докупает на открытом рынке и во внебиржевом порядке. Ее аварийный фонд SAFU, созданный в 2018 году, обычно держал около $1 млрд в биткоинах. Примерно $3 млрд, замороженные партнерами, в этот резерв не включены, так что любой возврат средств станет дополнительным.
Данные о резервах показывают, почему это обещание так важно. Кошелек Binance 14 фигурировал в отчете биржи о подтверждении резервов (proof of reserves) от 1 октября, то есть украденные монеты учитывались как обеспечение клиентских балансов. По оценке CoinDesk, похищенный ETH составляет около 5,6% резервов Binance в ETH. Следующий срез, который ожидается 1 ноября, покажет, закрыта ли дыра. Binance, у которой до взлома, по данным DefiLlama, было активов примерно на $144 млрд, заявила, что все средства пользователей будут публично подтверждены через proof of reserves.
Последствия для рынка
Реакция была резкой, но без паники. 29 октября биткоин подешевел почти на 5%, опустившись ниже $77 000, эфир потерял около 6%, BNB подешевел на 8%, а ликвидации маржинальных позиций достигли примерно $1,57 млрд. Индийская CoinDCX приостановила открытие новых фьючерсных позиций, сославшись на перебои с ликвидностью. В пятницу биткоин торговался чуть ниже $78 000, а биржа заявила, что по-прежнему рассчитывает возобновить вывод средств примерно через 45–48 часов.
За чем следить дальше
Чем закончится эта история, решат четыре фактора. Первый — биткоины: если 19 кошельков придут в движение, биржам и OTC-дескам придется проверять и замораживать средства в реальном времени. Второй — технический разбор от Binance, который должен объяснить, как одна скомпрометированная машина смогла авторизовать переводы в десяти сетях. Третий — срез резервов 1 ноября. Четвертый — регуляторы, которые, скорее всего, поставят вопрос, не сделать ли лимиты на горячие кошельки, разделение подписей и мониторинг EIP-7702 формальными требованиями. Для пользователей вновь актуален старейший урок криптоиндустрии: активы на любой бирже защищены ровно настолько, насколько защищен ее самый слабый ноутбук.
Источник: TRM Labs, CoinDesk, Binance, Chainalysis, TechCrunch, Al Jazeera, DefiLlama