Куда исчезли 6,3 млрд долларов Binance: как произошёл рекордный взлом и вернут ли деньги

Криптовалютная биржа Binance 30 октября 2026 года сообщила о масштабной кибератаке, в ходе которой из её кошельков были выведены цифровые активы на сумму около 6,3 млрд долларов. По предварительной версии компании, злоумышленники могли проникнуть во внутреннюю инфраструктуру через скомпрометированный ноутбук DevOps-инженера и использовать служебные системы для несанкционированных переводов.

Основная часть средств была переведена примерно за 20 минут, причем операции одновременно происходили в десяти блокчейн-сетях. Binance совместно с партнерами заявила о замораживании активов на сумму около $3 млрд, однако остальная часть похищенной криптовалюты осталась вне её контроля. Binance также объявила, что зарезервировала более $6,34 млрд собственных средств для полного покрытия убытков пользователей. Из этой суммы $5 млрд уже находятся в тех же токенах, которые пострадали от атаки. Компания приступила к возврату активов клиентам.

Появились также признаки связи атаки с предыдущими кражами криптовалюты. Ончейн-исследователь ZachXBT обнаружил, что средства, похищенные в результате взломов Binance и Bitget, после перемещения через THORChain оказались на одном адресе. Аналитики TRM Labs и Chainalysis считают вероятной причастность северокорейской группировки TraderTraitor, но официально личности злоумышленников пока не установлены.

UA.News разбирается, как произошёл взлом, почему защитные механизмы не остановили транзакции, как удалось заблокировать миллиарды долларов и чем инцидент грозит пользователям и крипторынку.

Что произошло с Binance и как хакеры вывели миллиарды

Первые подозрительные операции произошли вечером 29 октября примерно в 20:05 по всемирному координированному времени UTC. По данным TRM Labs, уже в течение следующих 20 минут злоумышленники перевели значительную часть средств из «горячих» кошельков Binance, которые используются для повседневных клиентских операций. Отдельные несанкционированные переводы продолжались и после этой основной фазы.

В целом исследователи отследили активы на сумму примерно $6,36 млрд в десяти сетях: Ethereum, Bitcoin, Tron, XRP Ledger, Solana, Arbitrum, Avalanche, Optimism, Base и Polygon. Наибольшие суммы пришлись на Ethereum — около $3,79 млрд. В этой сети похитили более 200 тысяч ETH, значительные объемы USDT, USDC и других токенов. 

Еще примерно $1,47 млрд вывели в Bitcoin — 18 270 BTC. Через Tron прошли средства примерно на $628 млн, через XRP Ledger — на $296 млн, а через Solana — почти на $96 млн.

Масштаб и скорость переводов привлекли особое внимание аналитиков. Злоумышленники одновременно работали с различными блокчейнами, каждый из которых имеет собственные правила проведения транзакций. Это указывает на предварительную подготовку и возможный доступ к инфраструктуре, обслуживающей несколько сетей одновременно.

В сообщении от 30 октября Binance оценила общий ущерб от инцидента примерно в $6,3 млрд. По этой предварительной оценке атака превышает предыдущий рекорд — взлом Bybit в феврале 2025 года, когда было похищено около $1,5 млрд. Однако $6,3 млрд — это стоимость активов, затронутых атакой, а не окончательные безвозвратные убытки: часть средств уже заблокирована, а цены на криптовалюты меняются.

Как взломанный ноутбук мог открыть доступ к кошелькам Binance

Основная версия проникновения связана с рабочим устройством одного из сотрудников биржи. Binance сообщила, что хакеры могли скомпрометировать ноутбук DevOps-инженера, а затем получить доступ к служебному контейнеру и отправлять через него несанкционированные запросы на вывод средств.

DevOps-специалисты обслуживают технологическую инфраструктуру, развертывание программ и автоматизацию внутренних процессов. В крупных финансовых компаниях соответствующие инструменты могут взаимодействовать с сервисами, обрабатывающими транзакции. Сам по себе взлом ноутбука не дает права распоряжаться криптовалютой, но доступ к критически важной служебной среде способен создать такой риск.

Важно, что биржа не обнаружила доказательств кражи приватных ключей кошельков. Частный ключ позволяет криптографически подтверждать операции с активами. В данном случае злоумышленники, вероятно, использовали другой путь — заставили штатную инфраструктуру Binance формировать и подписывать переводы на контролируемые ими адреса.

В пользу этой версии свидетельствует анализ TRM Labs: транзакции имели действительные цифровые подписи соответствующих кошельков Binance. Для блокчейна они выглядели технически корректными, хотя фактически проводились без разрешения компании. Таким образом, слабым местом могли стать не криптографические алгоритмы сетей, а механизмы доступа к системе, управляющей подписанием операций.

В то же время соисполнительный директор Binance Ричард Тенг уточнил, что атака была значительно сложнее, чем просто использование доступа одного сотрудника. 

«Хочу подчеркнуть: злоумышленник не просто воспользовался правами доступа одного инженера, и речь не идет об одном действии «в один клик». Атака была более сложной и состояла из нескольких этапов. На данный момент наше расследование не установило ответственности ни одного конкретного сотрудника», — рассказал Ричард Тенг.

Таким образом, компрометация рабочего устройства остается одной из предварительных версий проникновения, но не объясняет все этапы атаки. Binance продолжает выяснять, каким образом злоумышленники получили доступ к внутренним сервисам и смогли инициировать переводы. Компания обещает обнародовать подробный технический отчет по завершении расследования.

Почему система безопасности не остановила транзакции

Биржи хранят активы в холодных и горячих кошельках. Первые изолированы от постоянного подключения к интернету, вторые обеспечивают быстрое пополнение счетов и вывод криптовалюты. Автоматизация «горячих» кошельков ускоряет обслуживание клиентов, но делает особенно важной защиту внутренних механизмов подтверждения переводов.

Самая сложная часть атаки произошла в Ethereum. Исследователи TRM Labs установили, что хакеры использовали возможности EIP-7702 — механизма, внедренного во время обновления Pectra в мае 2025 года. Он позволяет обычному адресу Ethereum, после подписания специальной авторизации, выполнять логику смарт-контракта.

По данным аналитиков, злоумышленники заранее подготовили 50 таких авторизаций для одного из основных кошельков Binance, рассчитанных на различные состояния адреса. После активации соответствующего разрешения кошелек начал выполнять программный код, контролируемый злоумышленником. Примерно за три минуты с него вывели 167 464 ETH и десятки других токенов, в том числе около 1,615 млрд USDT.

Проблема не ограничилась одной операцией. Делегирование оставалось в силе, поэтому средства, поступавшие на скомпрометированный адрес позже, также могли быть выведены. Исследователи зафиксировали несколько таких переводов в течение следующих часов.

В то же время EIP-7702 не объясняет взлом всех кошельков. В сетях Bitcoin, Tron, Solana и других злоумышленники использовали обычные подписанные транзакции. Это усиливает предположение о более широком доступе к внутренним сервисам Binance, а не об одной изолированной уязвимости в Ethereum.

Подготовка началась заранее: TRM Labs отследила активность связанных адресов как минимум за 36 часов до основной атаки. Злоумышленники создавали программный код, проверяли его работу и готовили адреса для получения средств. Почему система мониторинга не остановила крупные переводы раньше, а также какие полномочия имели скомпрометированные сервисы, ещё предстоит установить.

Как удалось заморозить около $3 млрд активов

Сразу после обнаружения атаки Binance начала координировать действия с эмитентами стейблкоинов, блокчейн-аналитиками и правоохранительными органами. Именно это позволило быстро ограничить движение значительной части похищенных токенов.

В отличие от Bitcoin, где нет централизованного эмитента, некоторые стейблкоины имеют механизмы блокировки определенных адресов. Их эмитенты могут заморозить токены, связанные с преступными операциями, при наличии соответствующих оснований.

Tether заблокировала примерно 1,77 млрд USDT, а Circle — около 825 млн USDC. Также были ограничены операции с другими стейблкоинами, в частности RLUSD и USD1. Команда Arbitrum с помощью чрезвычайных полномочий переместила в защищенный кошелек 8426 ETH и 74,6 млн ARB общей стоимостью примерно $30 млн.

По состоянию на ранние часы 30 октября аналитики подтвердили блокировку активов примерно на $2,7 млрд. Сама Binance сообщила о сумме около $3 млрд. Разница объясняется моментом оценки и тем, какие операции учитывали исследователи и биржа.

Замораживание не равнозначно автоматическому возврату денег. Токены могут оставаться на адресе злоумышленника, но он уже не сможет свободно ими распоряжаться. Для окончательного возмещения могут потребоваться дополнительные технические и юридические процедуры.

Куда переместили криптовалюту, которую не успели заблокировать

Хакеры пытались опередить блокировку стейблкоинов и быстро обменять их на Bitcoin, Ethereum и другие активы, не подпадающие под централизованный механизм замораживания. Для этого они использовали децентрализованные торговые и кредитные протоколы.

Примерно 325 млн USDT было обменено на 122,3 тысячи ETH через UniswapX и другие инструменты. Злоумышленники соглашались даже на невыгодные курсы, поскольку скорость была важнее потери части стоимости активов. Через кредитную платформу Aave они также внесли около 60 млн USDT в качестве обеспечения и одолжили примерно 19 760 ETH.

На одном из ранних этапов расследования аналитики оценили неконтролируемые эмитентами активы злоумышленников — более 420 тысяч ETH и 18 270 BTC — примерно в $2,4 млрд. Эти показатели не являются окончательным балансом похищенного: часть адресов могла участвовать в последующих обменах, а стоимость монет меняется вместе с рынком.

Что связывает взломы Binance и Bitget

30 октября ончейн-исследователь ZachXBT сообщил о связи между денежными потоками двух криптовалютных атак. Согласно обнародованным данным, средства, похищенные с Binance, и активы из предыдущего взлома Bitget после переводов через протокол THORChain поступили на один криптовалютный адрес.

THORChain позволяет обменивать активы между различными блокчейнами без традиционной централизованной биржи. Это легальный технологический инструмент, но его могут использовать и преступники для быстрого перемещения криптовалюты между сетями. Когда средства, похищенные в результате различных инцидентов, сходятся на одном адресе, у исследователей появляются основания проверить, не связаны ли между собой исполнители или посредники этих операций.

По данным ZachXBT, общим пунктом перемещения стал адрес 0x15104a9ce0f08a8f0075a0869ae80e795fe0feb7. Взлом Bitget, который исследователь связал с этой схемой, ранее оценивался примерно в $388 млн. К тому же он уже фигурировал в расследованиях деятельности группы TraderTraitor, связанной с Северной Кореей.

Почему подозревают северокорейскую группировку TraderTraitor

Версию о северокорейском следе поддерживают сразу несколько исследователей. TRM Labs заявила о высокой степени уверенности в причастности TraderTraitor. Среди аргументов — заблаговременная подготовка инфраструктуры, способ получения авторизаций, характер движения средств и использование сервисов, затрудняющих отслеживание криптовалюты.

В частности, связанные с злоумышленниками адреса ещё до основного взлома получали небольшие переводы через Tornado Cash. Этот сервис может скрывать прямую связь между адресами отправителя и получателя. Сам факт его использования не доказывает участия конкретной группировки, но учитывается наряду с другими техническими признаками.

Подобные выводы обнародовала Chainalysis. Её руководство связало возможных организаторов с предыдущими взломами, при этом предостерегло от окончательной атрибуции до завершения расследования. В комментарии Reuters представитель Chainalysis отметил, что компания продолжает анализ обстоятельств инцидента. По предварительной оценке, её специалисты проследили перемещение как минимум $5,912 млрд.

TraderTraitor уже фигурировала в одном из самых масштабных криптокраж предыдущих лет. В феврале 2025 года с биржи Bybit похитили около $1,5 млрд. ФБР США официально связало эту атаку с Северной Кореей и описало быстрое перемещение активов между криптовалютами и многочисленными адресами.

Еще один показательный случай — взлом японской DMM Bitcoin в 2024 году, когда было похищено более $300 млн. По результатам расследования, злоумышленники воспользовались социальной инженерией: выдавали себя за рекрутеров и через вредоносное тестовое задание получили доступ к рабочей среде сотрудника партнерской компании. 

История показывает, что объектом атаки может стать не блокчейн, а человек с доступом к финансовой инфраструктуре. Однако доказательств аналогичной схемы с фальшивой вакансией в случае с Binance пока нет.

Северокорейские группировки привлекают внимание правоохранительных органов не только из-за масштаба отдельных краж. США и другие страны связывают их деятельность с попытками получать финансовые ресурсы в обход международных санкций. Криптовалютные платформы являются привлекательной целью из-за концентрации крупных активов и возможности быстро переводить их между юрисдикциями.

Потеряют ли клиенты Binance свои деньги

30 октября Binance сообщила о новых мерах по компенсации убытков пользователей. Биржа уже зарезервировала более $6,34 млрд собственных средств для полного покрытия возможного дефицита активов.

Из этой суммы $5 млрд уже находятся в тех же криптовалютах и токенах, которых коснулся инцидент. Остальные необходимые активы компания приобретает на открытом рынке и через внебиржевые сделки (OTC).

По объяснению Binance, этот процесс может занять некоторое время из-за ограниченной ликвидности отдельных токенов и длительности расчетов по крупным внебиржевым операциям. При этом компания уже приступила к возврату активов пользователям, пострадавшим от атаки.

«Binance уже приступила к возврату активов пользователей, затронутых инцидентом, и продолжает сотрудничать с правоохранительными органами, эмитентами, компаниями в сфере блокчейн-аналитики и другими участниками индустрии для отслеживания, замораживания и возврата дополнительных средств», — говорится в официальном заявлении.

Важно, что зарезервированные $6,34 млрд не включают примерно $3 млрд активов, которые уже удалось заморозить. Эти средства находятся в процессе возврата и дополнительной проверки. 

Компания подчеркнула, что будет использовать собственные ресурсы для покрытия любого подтвержденного дефицита. После завершения процесса сохранности клиентских средств планируется публично подтвердить это через обновленный отчет Proof of Reserves.

Как атака повлияла на биткоин и криптовалютный рынок

Новости о взломе Binance быстро отразились на ценах цифровых активов. 30 октября биткоин потерял более 3% и опустился примерно до $76,4 тыс. — шестинедельного минимума. Ethereum также подешевел более чем на 3%, примерно до $2,18 тыс. Негативная реакция затронула и акции компаний криптовалютного сектора, в частности Coinbase и Strategy.

Экспертов беспокоила не только стоимость похищенного, но и возможный дефицит ликвидности. Binance играет важную роль в глобальной торговле криптовалютами. Если клиенты и маркетмейкеры не могут быстро вывести средства, им сложнее перемещать капитал между площадками и поддерживать стабильные цены покупки и продажи.

Представитель маркетмейкера GSR Аравинд Сринивасан сообщил, что в момент наибольшей напряженности разница между ценами покупки и продажи биткоина на спотовом рынке Binance была примерно в пять раз выше обычной, а для Ethereum — примерно в 2,5 раза.

Ограничения на переводы создают проблемы и для трейдеров, использующих кредитное плечо. Когда средства заблокированы на одной платформе, их невозможно своевременно перевести на другую для обеспечения позиций. Это может привести к принудительным ликвидациям и дополнительным колебаниям рынка.

Аналитики обращают внимание, что дальнейшая реакция зависит от скорости возобновления работы Binance, объема возвращенных активов и убедительности гарантий безопасности. Именно поэтому последствия инцидента выходят далеко за пределы непосредственных финансовых потерь биржи.

Что должно измениться в защите криптовалютных бирж после атаки на Binance 

Binance временно приостановила вывод средств для комплексной проверки соответствующих сервисов и криптовалютных адресов, а также отозвала авторизацию адреса, связанного с инцидентом.

К расследованию привлечены правоохранительные органы и компании, специализирующиеся на анализе блокчейн-транзакций. Они помогают отслеживать дальнейшее перемещение похищенных активов, выявлять связанные адреса и обеспечивать возврат средств.

«Наши команды работают круглосуточно, чтобы обеспечить безопасное и комплексное устранение последствий инцидента. Мы тесно сотрудничаем с правоохранительными органами для установления личностей злоумышленников и привлечения их к ответственности», — отметили в Binance.

Для самой Binance ключевыми задачами остаются полное возобновление операций, выполнение обязательств перед пользователями и публикация технического отчета. Он должен объяснить, как постороннее лицо получило доступ к системам подтверждения переводов и почему контрольные механизмы не сработали достаточно быстро.

Параллельно исследователи продолжают отслеживать криптовалюту. Обнаруженная ZachXBT связь между средствами из взломов Binance и Bitget может помочь восстановить более широкую картину перемещения активов и проверить версию о TraderTraitor. Пока же главный вывод из инцидента заключается в том, что для криптобирж недостаточно просто защитить ключи: необходимо столь же надежно контролировать людей, устройства и программы, имеющие право распоряжаться миллиардами долларов.