Крупнейшая криптовалютная биржа Binance расследует возможный взлом горячих кошельков после подозрительных переводов на миллиарды долларов. Аналитики допускают потери до $5,8 млрд, а Tether и Circle уже заморозили более $2,3 млрд. Сама биржа пока не подтвердила факт кражи.
Подозрительные операции начались вечером 29 октября 2026 года. Первоначально исследователи оценили отток средств в $2,5–3,3 млрд, однако дальнейший анализ показал более масштабное движение криптовалют. Специалист по блокчейну Конор Гроган из Coinbase оценил возможные потери в сумму до $5,8 млрд. Расчёты остаются предварительными, а подтверждённый размер ущерба неизвестен.
Binance подтвердила расследование возможного инцидента безопасности и заверила клиентов, что их средства находятся в полной сохранности. Компания пока не объяснила причину необычных транзакций, не раскрыла технические подробности и не признала компрометацию кошельков. Сооснователь биржи Чанпэн Чжао, который больше не руководит Binance, считает происходящее похожим на взлом и ожидает, что возможные потери пользователей будут компенсированы.
Первую крупную операцию зафиксировали 29 октября в 20:24 UTC, или 23:24 по Москве. С кошелька Binance 14 на недавно созданный адрес отправили 167 464 ETH, около 1,615 млрд USDT и более 60 других токенов. Примерно через две минуты с Binance 16 перевели ещё 28 005 ETH. В 20:41 UTC последовала операция с 780 млн USDC из Binance Hot Wallet 34. Все три перевода исследователи связали с одной подозрительной активностью.
Наиболее существенная новая подробность касается предполагаемого механизма атаки. Специалисты Defimon обнаружили признаки злоупотребления механизмом EIP-7702, который появился в Ethereum после обновления Pectra в мае 2025 года. По версии исследователей, неизвестные получили возможность выполнять операции от имени одного из рабочих кошельков биржи через подконтрольный смарт-контракт.
Механизм EIP-7702 позволяет обычному криптовалютному адресу передавать выполнение операций программному контракту. Для передачи полномочий требуется специальная криптографическая подпись владельца адреса. В случае Binance такая делегация, согласно анализу транзакций, появилась в 20:20 UTC. Спустя несколько минут связанный с ней контракт начал массовый вывод активов.
Исследователи обнаружили, что управление переводами осуществлял отдельный адрес, получивший средства через криптомиксер Tornado Cash. Через подобные сервисы можно затруднить отслеживание происхождения цифровых активов. Откуда появилась необходимая подпись Binance, пока неизвестно. Возможные объяснения включают компрометацию приватного ключа либо получение подписи обманным путём. Сам механизм EIP-7702 не признан уязвимым.
Атака, предположительно, продолжилась и после первых сообщений о подозрительных транзакциях. В 21:44 UTC исследователи Defimon зафиксировали ещё один перевод на сумму около $201,2 млн. Среди выведенных активов находились 200,4 млн USDT, почти 370 ETH и несколько других криптовалют. Операцию выполнили через тот же механизм делегирования полномочий.
Конор Гроган предупредил, что подозрительные переводы могли продолжаться даже после обнаружения проблемы. По его наблюдениям, система Binance по-прежнему автоматически собирала клиентские поступления на рабочий кошелёк, откуда активы затем уходили на посторонний адрес. Исследователь рекомендовал временно воздержаться от новых депозитов. Binance не подтвердила такую последовательность событий и не объявила о полной остановке операций.
Часть потенциально похищенных средств удалось заблокировать благодаря вмешательству эмитентов долларовых стейблкоинов. Генеральный директор Tether Паоло Ардоино подтвердил заморозку более 1,567 млрд USDT, связанных с предполагаемым взломом. Руководитель Circle Джереми Аллэйр объявил о блокировке свыше 800 млн USDC при взаимодействии с правоохранительными органами. Общая сумма превысила $2,367 млрд.
USDT и USDC представляют собой стейблкоины, стоимость которых привязана к доллару. Их эмитенты способны блокировать токены на определённых адресах, запрещая дальнейшие переводы через функции смарт-контрактов. Однако заморозка не означает, что деньги уже вернули Binance или её клиентам. Обычный Ethereum нельзя заблокировать таким способом, поэтому судьба переведённых ETH и других активов остаётся отдельной проблемой.
Масштаб возможной кражи пока вызывает разногласия. Анализ блокчейна показал поступления примерно на $3,55 млрд на один из подозрительных адресов, после чего почти $900 млн переместились дальше. Другие наблюдатели включают в расчёты операции в нескольких сетях, в том числе переводы биткоинов. Однако часть движения средств может относиться к внутренним операциям биржи, а повторные переводы одних активов способны искусственно увеличивать общую сумму.
Сообщения о взломе усилили напряжённость на криптовалютном рынке. Биткоин опускался ниже $79 000, Ethereum дешевел более чем на 4%, а токен Binance BNB в отдельные моменты терял до 9%. По данным мониторинга CoinGlass, за один час принудительно закрылись позиции трейдеров примерно на $628 млн, преимущественно ставки на рост криптовалют. При этом падение рынка началось ещё до первых публичных сообщений об инциденте, поэтому напрямую связывать все потери с Binance нельзя.
Если первоначальные предположения подтвердятся, произошедшее может стать крупнейшим хищением за всю историю криптовалютной индустрии. Прежним рекордным случаем считается взлом Bybit в феврале 2025 года, когда злоумышленники похитили почти $1,5 млрд. Тогда преступники скомпрометировали программное обеспечение, связанное с управлением кошельками, и добились подписания вредоносной транзакции. Расследование связало нападение с северокорейскими хакерами.
Binance уже сталкивалась с крупными кражами. В мае 2019 года хакеры вывели с биржи около 7000 биткоинов, после чего компания покрыла убытки за счёт специального резервного фонда SAFU. В феврале 2026 года биржа сообщила о завершении перевода этого фонда в биткоины. Однако пока руководство не объявляло, потребуется ли использовать резерв для возмещения возможного ущерба от нынешнего инцидента.
Отдельное заявление выпустила Binance.US, американская площадка, работающая независимо от международной Binance.com. Компания сообщила, что её инфраструктура не затронута предполагаемым инцидентом, клиентские средства защищены, а сервисы продолжают работать в обычном режиме.
По состоянию на ночь 30 октября расследование продолжается. Ключевые вопросы касаются происхождения подписи EIP-7702, фактического контроля над кошельками, окончательной суммы несанкционированных переводов и возможности дальнейшего вывода криптовалюты. Доказательств кражи именно $5,8 млрд пока недостаточно, хотя зафиксированные операции и массовая заморозка активов указывают на серьёзный инцидент. Binance обещает опубликовать проверенные результаты и предупреждает клиентов о мошенниках, которые могут воспользоваться ситуацией.