Крупнейшая криптовалютная биржа Binance раскрыла первые результаты расследования масштабного взлома, произошедшего вечером 29 октября 2026 года. Предварительная оценка затронутых активов выросла до $6,3 млрд, а независимые исследователи насчитали $6,36 млрд подозрительных переводов в десяти блокчейнах. Предполагаемой точкой проникновения оказался заражённый ноутбук инженера DevOps. Биржа временно остановила вывод криптовалют, заблокировала доступ злоумышленников к скомпрометированному кошельку и пообещала компенсировать все потери клиентов. Специалисты по блокчейн-аналитике тем временем связали нападение с северокорейской группировкой TraderTraitor.
Главным событием утра 30 октября стало официальное признание несанкционированных операций. Binance больше не ограничивается расследованием подозрительных транзакций и прямо указывает, что злоумышленники могли проникнуть в её внутреннюю инфраструктуру. По предварительной версии, неизвестные сначала получили доступ к рабочему ноутбуку инженера, занимавшегося разработкой и эксплуатацией программных систем, а затем проникли в служебный контейнер и отправили через него запросы на вывод криптовалюты. При этом доказательств утечки приватных ключей кошельков компания пока не обнаружила.
Новая версия принципиально отличается от первоначальных предположений о компрометации отдельного кошелька Ethereum. Судя по характеру операций, злоумышленники могли получить доступ к инфраструктуре, которая формирует и подписывает транзакции сразу в нескольких блокчейнах. В таком случае для кражи не обязательно извлекать приватные ключи. Достаточно заставить доверенный внутренний сервис выполнять несанкционированные команды, используя уже существующие полномочия. Подобные риски возникают при компрометации контейнеров и связанных с ними систем управления, хотя Binance ещё не раскрыла, какой именно компонент был захвачен.
Компания пока не объяснила, каким способом заразили ноутбук инженера, какие учётные данные получили атакующие и почему запросы на вывод средств прошли внутренние проверки безопасности. Неизвестно также, использовали ли злоумышленники вредоносную программу, украденную служебную сессию или другой способ проникновения. Binance подчёркивает, что расследование продолжается, поэтому считать компрометацию ноутбука окончательно доказанной причиной преждевременно. Подробный технический отчёт биржа обещает опубликовать после проверки всех обстоятельств.
Самое подробное независимое расследование атаки представила компания TRM Labs. Её специалисты восстановили движение активов на десяти блокчейнах и пришли к выводу, что злоумышленники вывели криптовалюту приблизительно на $6,36 млрд. Основная часть переводов прошла примерно за 20 минут, начиная с 20:05 UTC 29 октября, или 23:05 по Москве. Позже исследователи обнаружили вторую волну операций, затронувшую кошельки Binance в сетях Avalanche и Polygon около 23:05 UTC.
Наибольшие потери, по расчётам TRM Labs, пришлись на Ethereum. Из связанных с Binance кошельков вывели около $3,79 млрд, включая 200 630 ETH и 185 других токенов. Среди них находились 1,875 млрд USDT, 823 млн USDC и 88,5 млн RLUSD. Отдельно исследователи зафиксировали перевод 18 270 биткоинов стоимостью около $1,47 млрд. В сети Tron злоумышленники получили 612,7 млн USDT и 46,4 млн TRX общей стоимостью приблизительно $628 млн.
Ещё 233,46 млн XRP стоимостью около $296 млн вывели из пяти кошельков Binance в XRP Ledger. Из Solana ушли примерно 970 500 SOL на $96 млн. Операции в Arbitrum, Optimism и Base суммарно затронули около $39 млн, включая 74,6 млн ARB. В Avalanche исследователи обнаружили переводы приблизительно на $28 млн, а в Polygon на $10 млн. Таким образом, предполагаемая атака затронула не одну программную платформу и не один механизм авторизации, а несколько независимых блокчейнов с разными криптографическими схемами.
Особенно показательна восстановленная последовательность операций. Первые подозрительные переводы прошли в XRP Ledger между 20:05 и 20:09 UTC. Следом активы начали уходить из кошельков в Solana и Optimism. В 20:20 UTC неизвестные перевели 18 270 BTC и почти сразу начали разбивать полученную сумму на более мелкие переводы, преимущественно по 100 и 1000 биткоинов. Такой способ перемещения средств называют peel chain. Последовательное дробление крупных сумм затрудняет отслеживание дальнейшего движения криптовалюты, хотя не делает транзакции невидимыми для блокчейн-аналитиков.
Дополнительное расследование позволило уточнить механизм захвата кошелька Ethereum. В 20:20 UTC злоумышленники отправили транзакцию, содержащую сразу 50 заранее подготовленных разрешений EIP-7702. Каждое разрешение позволяло передать выполнение операций определённому смарт-контракту, но было рассчитано на отдельное значение счётчика транзакций кошелька, известного как nonce. Поскольку Binance непрерывно обрабатывает клиентские операции, счётчик постоянно меняется. Подготовив 50 подписей для последовательных значений nonce, атакующие повысили вероятность того, что хотя бы одна подпись окажется действительной в момент выполнения транзакции.
Расчёт сработал. Одно из разрешений подошло, после чего кошелёк Binance начал выполнять код подконтрольного атакующим смарт-контракта. Через три минуты и 24 секунды после делегирования полномочий злоумышленники перевели с него 167 464 ETH и 63 токена, включая 1,615 млрд USDT. Делегирование оставалось активным, поэтому новые поступления можно было забирать повторно. TRM Labs выявила дополнительные операции в 20:41, 20:59, 21:04, 21:44, 22:39 и 23:56 UTC. Захваченный кошелёк также использовали для вывода 823 млн USDC с другого смарт-счёта Binance.
Однако EIP-7702 объясняет только часть происшествия. В других блокчейнах злоумышленники применяли обычные криптографически подписанные переводы, не требующие делегирования через Ethereum. Аналитики также нашли ещё один кошелёк Binance в Ethereum, с которого без использования EIP-7702 отправили 28 006 ETH, 55,7 млн USDT и 25,9 млн RLUSD. Почти одновременное получение корректных подписей для разных сетей заставило исследователей предположить, что атакующие скомпрометировали общую инфраструктуру подписания транзакций. Такая версия согласуется с предварительными выводами Binance о проникновении во внутренний сервис.
Блокчейн-аналитики выяснили, что подготовка нападения началась как минимум за 36 часов до массового вывода средств. Утром 28 октября управляющий кошелёк злоумышленников начал получать небольшие суммы через Tornado Cash. На следующий день атакующие разместили первую версию вредоносного смарт-контракта и проверили работу на двух кошельках. Затем провели ещё одну репетицию с третьим кошельком, вернув тестовые средства обратно. Примерно через четыре часа после последней проверки тот же механизм использовали против рабочего кошелька Binance. Подготовленные заранее подписи и согласованные операции в разных блокчейнах свидетельствуют о тщательно спланированном нападении.
Ещё одним важным результатом расследования стала предварительная атрибуция атаки. TRM Labs с высокой степенью уверенности связывает хищение с северокорейской группировкой TraderTraitor, которую относят к более широкой хакерской инфраструктуре Lazarus. Исследователи основывают вывод на анализе транзакций и дополнительных разведывательных сведениях. Среди характерных признаков названы предварительная подготовка кошельков через Tornado Cash, получение подписей до начала кражи и одновременный запуск большого числа операций. При этом полные материалы атрибуции не опубликованы, а сама Binance пока не назвала организаторов нападения.
Связь с TraderTraitor приобретает особое значение из-за прошлогоднего взлома Bybit. В феврале 2025 года северокорейские хакеры похитили с биржи почти $1,5 млрд, предварительно скомпрометировав компьютер разработчика, связанного с инфраструктурой управления кошельками. Тогда преступники изменили программные компоненты, участвовавшие в подготовке транзакций, и добились подписания операции, которая передала им контроль над средствами. Ответственность КНДР за нападение позднее официально подтвердило ФБР. В новом случае специалисты видят похожую последовательность с проникновением через рабочее устройство и последующим злоупотреблением доверенными средствами авторизации. Однако технические детали двух атак пока различаются, а окончательное совпадение исполнителей ещё предстоит подтвердить.
Параллельно продолжалась борьба за уже выведенные активы. Если ночью первоначальные сообщения говорили о блокировке более $2,3 млрд, то к утру 30 октября Binance увеличила официальную оценку замороженных средств примерно до $3 млрд. Компания сотрудничает с эмитентами токенов, блокчейн-аналитиками и правоохранительными органами. Независимый подсчёт TRM Labs по состоянию на 00:30 UTC подтверждал блокировку приблизительно $2,7 млрд. Разница между цифрами может объясняться временем подсчёта и составом учитываемых активов, однако подробную сверку Binance ещё не опубликовала.
По более поздним расчётам TRM Labs, Tether заблокировала около 1,77 млрд USDT на нескольких адресах в Ethereum, Tron, Avalanche и Polygon. Circle остановила движение примерно 825 млн USDC, включая 823 млн USDC, выведенных через скомпрометированный механизм управления кошельками Binance. Ripple заморозила 40,5 млн RLUSD на одном из адресов злоумышленников, а World Liberty Financial заблокировала около 27,8 млн USD1. Некоторые блокировки применили не только к адресам получателей, но и к токенам на скомпрометированном кошельке Binance, чтобы предотвратить дальнейший автоматический вывод поступлений.
Необычное вмешательство произошло в сети Arbitrum. Её Совет безопасности воспользовался экстренными полномочиями и в 00:08 UTC 30 октября принудительно вывел из-под контроля атакующих 8426 ETH и 74,6 млн ARB общей стоимостью около $30 млн. В отличие от обычной блокировки централизованных стейблкоинов, здесь использовали административные возможности самой сети. Подобная операция демонстрирует, что отдельные блокчейн-платформы сохраняют механизмы чрезвычайного вмешательства даже в отношении активов, которые не имеют централизованного эмитента.
Злоумышленники пытались опередить блокировки и перевести потенциально замораживаемые токены в криптовалюту, которую нельзя остановить решением отдельной компании. Около 325 млн USDT прошли через UniswapX и другие механизмы обмена, после чего атакующие получили приблизительно 122 300 ETH. По оценке TRM Labs, обмен оказался крайне невыгодным. За Ethereum фактически заплатили около $2650 при рыночной стоимости примерно $2300–2350. Но потеря более 10% на курсе, по всей видимости, оказалась приемлемой платой за возможность избавиться от активов, которые эмитент мог заблокировать в любой момент.
Другой способ обойти заморозку заключался в использовании кредитных протоколов. Один из связанных с атакой кошельков внёс 60 млн USDT в Aave V3 и занял под залог около 19 762 WETH, стоимость которых на тот момент составляла приблизительно $44,6 млн. Вместо прямой продажи стейблкоинов злоумышленники получили Ethereum в качестве кредита, сохранив USDT в залоге. Ещё 300 млн USDT переместили в Tron на адрес, который начал взаимодействовать с кредитным протоколом JustLend. Дополнительные суммы проходили через цепочки промежуточных кошельков и децентрализованные биржи.
Использование Aave вызвало отдельную чрезвычайную реакцию. Команда по оценке рисков заморозила рынки протокола, чтобы предотвратить дальнейшее использование потенциально похищенных активов в кредитных операциях. В общей сложности ограничения затронули 175 резервов Aave V3 в 16 блокчейнах и ещё 117 резервов Aave V4 в четырёх сетях. Пользователи временно лишились возможности открывать новые позиции по займам и размещать дополнительные средства, но сохранили возможность возвращать кредиты, выводить имеющиеся активы и проходить обычную ликвидацию позиций. Команда Aave отдельно подчеркнула, что смарт-контракты протокола не были взломаны, а обнаруженная кредитная позиция злоумышленников оставалась обеспеченной залогом.
По состоянию на 00:30 UTC исследователи TRM Labs оценивали объём активов, которые всё ещё находились вне досягаемости механизмов блокировки, примерно в $2,4 млрд. Среди них находились более 420 000 ETH и 18 270 BTC. Часть средств продолжала перемещаться между новыми кошельками, а биткоины дробились на отдельные транзакции. Аналитики ожидают дальнейших попыток переместить криптовалюту через межсетевые мосты, обменные сервисы и внебиржевых посредников. При этом $2,4 млрд нельзя автоматически считать окончательной суммой невозвратных потерь. Криптовалюта остаётся отслеживаемой, а возможность её дальнейшего обмена зависит от действий бирж и других участников рынка.
Binance тем временем перешла к ограничению собственной инфраструктуры. Компания отозвала скомпрометированное разрешение на управление кошельком, временно приостановила операции ввода и вывода средств и начала проверять связанные сервисы. Кроме того, биржа привлекла правоохранительные органы и специалистов по блокчейн-аналитике для поиска похищенной криптовалюты. Сооснователь и один из руководителей Binance И Хэ заявила, что клиентские средства находятся в безопасности, а все потери от взлома будут покрыты компанией.
Позднее ситуация с доступностью сервисов изменилась. В обновлённом сообщении Binance уточнила, что депозиты работают в обычном режиме, тогда как вывод криптовалюты остаётся приостановленным. Биржа рассчитывает начать восстанавливать вывод средств в течение ближайших 48 часов, но точное время зависит от завершения проверки безопасности. Инженеры перерабатывают связанные с выводом механизмы и контроль адресов, а расследователи продолжают восстанавливать полную последовательность проникновения через предположительно заражённый компьютер. Речь идёт о прогнозируемом начале восстановления операций, а не о гарантированном снятии всех ограничений одновременно.
Отдельный вопрос касается источников компенсации. Binance подтвердила, что планирует использовать резервный фонд SAFU и собственные средства. Фонд существует с 2018 года и предназначен для защиты пользователей при чрезвычайных происшествиях. В феврале 2026 года Binance завершила перевод его резервов в биткоины, сформировав запас из 15 000 BTC стоимостью приблизительно $1 млрд на момент формирования. Даже если бирже удастся вернуть часть активов, окончательный объём компенсаций может существенно превысить размер SAFU. Поэтому обещание покрыть все потери фактически предполагает участие собственных финансовых ресурсов компании.
После устранения последствий Binance намерена опубликовать обновлённое подтверждение резервов Proof of Reserves. Такой отчёт должен помочь пользователям оценить состояние активов платформы после инцидента. Однако само подтверждение резервов не заменяет полного финансового аудита и не позволяет автоматически оценить все обязательства компании. Пока биржа не представила обновлённые показатели и сведения о возвращённых средствах, установить реальную финансовую нагрузку от взлома невозможно.
Проблемы крупнейшей биржи затронули и других участников криптовалютного рынка. Торговые компании Wintermute и GSR раскрыли наличие активов на Binance, хотя обе заявили, что не ожидают серьёзных последствий для своей работы. Руководство GSR оценило подверженность риску менее чем в 5% собственного капитала, а Wintermute менее чем в 20%. Одновременно появились сообщения о том, что отдельные институциональные инвесторы начали сокращать остатки на централизованных криптобиржах и перераспределять активы. Подобная реакция усиливает давление на площадки, поскольку опасения клиентов могут возникать даже при отсутствии признаков компрометации конкретной биржи.
Продолжилось и падение криптовалютных котировок. В ходе торгов 30 октября биткоин опускался ниже $77 000, Ethereum дешевел более чем на 3%, а токен BNB терял свыше 8% за сутки. Акции связанных с криптовалютами публичных компаний также оказались под давлением. При этом движение рынка началось ещё до первых сообщений о взломе Binance, поэтому связывать всё снижение исключительно с происшествием нельзя. Инцидент усилил уже существовавшую нервозность и создал дополнительные опасения относительно безопасности централизованного хранения цифровых активов.
Для специалистов по информационной безопасности расследование выявило несколько особенно опасных обстоятельств. Предполагаемая компрометация одного рабочего компьютера могла открыть доступ к системе, обслуживающей кошельки сразу в десяти блокчейнах. Заранее подготовленные разрешения EIP-7702 позволили обойти проблему постоянно меняющегося счётчика транзакций. Автоматическое пополнение рабочего кошелька создало риск повторного вывода активов даже после первых признаков атаки. Наконец, массовые переводы через обычные процедуры подписания показали, что формальная криптографическая корректность транзакции ещё не доказывает её законность.
Эксперты TRM Labs рекомендуют операторам криптовалютных платформ отдельно контролировать любые делегирования EIP-7702 на служебных кошельках, запрещать неожиданные запросы на подобные подписи и заранее готовить процедуры отзыва полномочий. Дополнительное внимание предлагают уделять разделению систем подписания по блокчейнам и уровням доступа. Если один внутренний сервис способен инициировать операции сразу в нескольких независимых сетях, компрометация такого компонента превращается в угрозу для значительной части резервов компании.
К утру 30 октября расследование остаётся открытым. Binance официально оценивает масштаб инцидента примерно в $6,3 млрд, сообщает о заморозке около $3 млрд и гарантирует компенсацию потерь. Исследователи восстановили значительную часть движения средств, определили вероятный способ получения доступа и выдвинули обоснованную, но пока не подтверждённую официально версию о причастности северокорейской TraderTraitor. Главные неизвестные связаны с первоначальным заражением компьютера, полномочиями захваченного сервиса, фактической суммой безвозвратных потерь и возможностью вернуть криптовалюту, которая уже покинула контролируемые эмитентами адреса. По предварительным оценкам, даже после масштабных блокировок злоумышленники сохраняют доступ к активам на миллиарды долларов, а общий объём подозрительных переводов примерно в четыре раза превышает прежний рекорд взлома Bybit.
