Взлом Binance - кража 6 миллиардов за двадцать минут

В 23:24 по Москве 29 октября с одного из горячих кошельков Binance за 3 минуты 24 секунды вывели 167 464 ETH и 63 вида токенов. К утру 30 октября биржа оценила ущерб в $6,3 млрд, а аналитическая компания TRM Labs назвала это крупнейшей кражей в истории криптовалют. Binance обещает покрыть потери клиентов. Разберёмся, как это произошло, что известно об атакующих и что событие значит для тех, кто хранит монеты на бирже.

Горячими называют кошельки, которые биржа держит онлайн, чтобы быстро выплачивать клиентам вывод средств. Именно с такого кошелька, Binance 14, и началась атака. По хронологии (время UTC, Москва на три часа впереди):

28 октября. Адрес атакующего получает ETH через миксер Tornado Cash.
29 октября, днём. Тот же адрес разворачивает свой смарт-контракт.
20:20. В сети Ethereum появляется транзакция, которая связывает Binance 14 с этим контрактом.
20:24. Контракт выводит с Binance 14 167 464 ETH и 63 токена одной транзакцией.
20:26. С другого кошелька, Binance 16, уходит ещё 28 005 ETH.
20:39–20:41. 195 470 ETH переводятся на новый адрес, затем с кошелька Binance Hot Wallet 34 уходят 780 млн USDC.
21:15–21:25. Основатель Binance Чанпэн Чжао пишет, что это «похоже на взлом». Circle и Tether объявляют заморозки. Binance публикует первое заявление: команды знают о возможной проблеме безопасности и расследуют её.
30 октября. Binance подтверждает инцидент и приостанавливает операции.

По данным TRM Labs, основные выводы стартовали в 20:05 UTC. Расхождение небольшое, и все источники сходятся в одном: основная часть денег ушла примерно за 20 минут.

В механике атаки есть один ход, который объясняет ее невероятную скорость и сложность. Речь о стандарте EIP-7702, который появился в Ethereum с обновлением Pectra в мае 2025 года. Он позволяет обычному адресу передать выполнение операций смарт-контракту.

Эксперты Blockaid нашли в первой транзакции 50 таких авторизаций, направленных на Binance 14. Каждая должна совпасть с текущим номером операции кошелька, а он менялся: биржа обрабатывала выводы клиентов. Поэтому атакующий подал номера от 18 914 775 до 18 914 824 и рассчитывал, что один подойдёт. Подошёл один. Он перенаправил кошелёк на непроверенный контракт с функцией вывода, и она опустошила кошелёк, оставив на комиссию 1 ETH.

Подготовка шла заранее. Адрес атакующего пополнили тремя выводами из Tornado Cash, а контракт развернули за несколько часов до удара. По оценке TRM Labs, подготовка началась не меньше чем за 36 часов.

Остаётся главный вопрос. По словам аналитика Detective Pho, 50 авторизаций были подписаны ключом самого кошелька Binance 14, но биржа уверяет, что утечки ключей не нашла. Откуда у атакующего эти подписи, пока неизвестно. Сам EIP-7702 уязвимостью не считают.

Итоговую цифру до сих пор называют по-разному:

TRM Labs оценивает вывод в $6,36 млрд в десяти блокчейнах.
Binance называет около $6,3 млрд.
Blockaid насчитал $5,5 млрд, CoinDesk пишет о более чем $5,7 млрд.
Ранние оценки первых часов составляли $2,5–3,5 млрд.

Расхождения возникли потому, что вывод шёл волнами, а часть переводов между адресами атакующего могла быть посчитана дважды, о чём предупреждает SecurityLab.

В сети Ethereum по данным Etherscan на 21:15 UTC ушло около 1,615 млрд USDT, около 780 млн USDC и 195 470 ETH (примерно $442 млн). Дальше идут токены поменьше: производные ETH wBETH, стейблкоин RLUSD, токенизированное золото XAUt, UNI, ENA, PEPE, USD1, LINK и AAVE. Кроме Ethereum, по данным отдельных источников, ушло около 18 270 BTC (примерно $1,47 млрд), более 612 млн USDT в сети Tron и более 233 млн XRP. Эти цифры по сетям пока не подтверждены независимо, и аналитик Whale Alert сомневается, что часть биткоин-переводов связана с атакой.

Binance называет предварительную версию: возможно, взломали ноутбук инженера, который отвечает за инфраструктуру. Через него атакующий получил доступ к сервисному контейнеру и отправил несанкционированные выводы. При этом биржа заявляет: «we have found no evidence of any wallet private key leak», то есть признаков утечки ключа нет. Как именно атакующий получил авторизации, окончательно не установлено.

Аналитики предлагают три объяснения: украден ключ горячего кошелька, обманута система подписи биржи или причастен человек с внутренним доступом. Ни одна версия не подтверждена. TRM Labs связывает атаку с северокорейской группой TraderTraitor и заявляет высокую уверенность в этом. Из характера атаки на разных сетях TRM делает осторожное заключение: скомпрометирована, вероятно, сама система подписи, а не протокол.

Часть похищенного удалось остановить. По приведенным данным, Tether заморозила более $1,57 млрд в USDT, Circle более $800 млн в USDC, Ripple около $200 млн в RLUSD, World Liberty $27 млн в USD1. Совет безопасности сети Arbitrum перевёл на ограниченный кошелёк 74,56 млн токенов ARB. Binance оценивает общий объём заморозок примерно в $3 млрд. Основатель Binance в своём посте называет суммы Tether и Circle иначе, около $971 млн и $823 млн, поэтому в разных сообщениях цифры не совпадают.

Главная проблема в том, что заморозить можно только то, что выпустила компания. У ETH и BTC эмитента нет, и значительная часть украденного осталась у атакующего именно в этих монетах. Кроме того, заморозка стейблкоинов не означает возврата денег Binance.

Сооснователь и сопредседатель Binance Йи Хэ заявила, что пользовательские средства в безопасности, а все убытки покроет биржа. Операции приостановлены, возобновлять вывод планируют постепенно в течение 48 часов. Чанпэн Чжао, основатель Binance, бывший глава компании и её крупнейший акционер, написал «User funds are safe!» и добавил, что как акционер ожидает полного возмещения. Опять же, это ожидание акционера, но не обязательство биржи. Американское подразделение Binance.US сообщило, что его инфраструктура не затронута.

Покрыть потери должен фонд SAFU, созданный Binance в июле 2018 года. Суммарные резервы фонда оцениваются более чем в миллиард долларов. В мае 2019 года, после кражи около 7 000 BTC, биржа уже возмещала убытки из него. В феврале 2026 года фонд перевели в биткоины. В первых сообщениях о взломе размер фонда не называют, поэтому хватит ли его на $6,3 млрд, пока неизвестно. Также Binance обещает подробный технический отчёт и сотрудничество с правоохранительными органами.

Биткоин опускался ниже $79 000, по некоторым данным, до $76 700. BNB подешевел на 8–9%, Ethereum на 4–6%. Aave заморозила кредитные рынки, но заявила, что её контракты не затронуты. По данным CoinGlass, за час ликвидировали позиции примерно на $628 млн.

Приписывать падение только взлому нельзя. По данным SecurityLab, снижение началось до первых публичных сообщений, а в тот же вечер упал индекс Nasdaq 100 из-за слабых отчётов технологических компаний.

История Binance показывает, как устроено хранение на бирже: пока монеты на её кошельках, безопасность зависит от чужой инфраструктуры и чужих решений. Binance обещает возместить убытки, но детального отчёта и итогового решения ещё нет. Биржа уже предупредила и о мошенниках, которые используют ситуацию, поэтому сейчас важно заходить только на официальный сайт и не переходить по сторонним ссылкам.

Из наших материалов о хранении можно собрать несколько правил, которые не зависят от биржи:

Разделяйте средства по задачам. Биржа подходит для оборота и конвертации, программный кошелёк для частых поступлений, аппаратный для основной суммы.
Покупайте аппаратный кошелёк у производителя. Устройство, купленное через посредника, может оказаться подделкой.
Храните seed-фразу правильно. Запишите 12 или 24 слова от руки на бумагу и держите отдельно от устройства. Не фотографируйте, не сохраняйте в облаке и мессенджерах, не вводите на сайтах.
Не складывайте всё в одно место. Кошелёк, почту биржи и резервные коды двухфакторной защиты разносите по разным устройствам. Google Authenticator хранит ключ восстановления в Google-аккаунте, и доступ к почте открывает все аутентификаторы.
Не говорите о размере баланса. Приватность защищает так же, как технические меры.
Не держите на бирже крупную сумму. Доступ к ней может измениться из-за взлома, блокировки или решения биржи.

Те же правила касаются и майнеров, которым нужно где-то хранить добытую криптовалюту. Майнинг-пул K8X, например, выплачивает вознаграждение за добытые блоки напрямую на адрес майнера, а где хранить эти монеты дальше, решает сам владелец. Мы подробно разбирали варианты в статье «Кошелек для криптовалюты в России: горячий, холодный или биржевой».

В нашем Telegram - новости рынка и оперативная помощь пользователям -