Куди зникли $6,3 млрд Binance: як відбувся рекордний злам і чи повернуть гроші

Криптовалютна біржа Binance 30 жовтня 2026 року повідомила про масштабну кібератаку, під час якої з її гаманців вивели цифрові активи на суму близько $6,3 млрд. За попередньою версією компанії, зловмисники могли проникнути до внутрішньої інфраструктури через скомпрометований ноутбук DevOps-інженера та використати службові системи для несанкціонованих переказів.

Основну частину коштів перемістили приблизно за 20 хвилин, причому операції одночасно відбувалися в десяти блокчейн-мережах. Binance разом із партнерами заявила про заморожування активів приблизно на $3 млрд, однак решта викраденої криптовалюти залишилася поза її контролем. Binance також оголосила, що зарезервувала понад $6,34 млрд власних коштів для повного покриття втрат користувачів. Із цієї суми $5 млрд уже перебувають у тих самих токенах, яких торкнулася атака. Компанія розпочала повернення активів клієнтам.

З'явилися також ознаки зв'язку атаки з попередніми криптовалютними крадіжками. Ончейн-дослідник ZachXBT виявив, що кошти зі зламів Binance і Bitget після переміщення через THORChain опинилися на одній адресі. Аналітики TRM Labs і Chainalysis вважають імовірною причетність північнокорейського угруповання TraderTraitor, але офіційно особи нападників поки не встановлені.

UA.News розбирається, як відбувся злам, чому захисні механізми не зупинили транзакції, як вдалося заблокувати мільярди доларів і чим інцидент загрожує користувачам та крипторинку.

Що сталося з Binance та як хакери вивели мільярди

Перші підозрілі операції відбулися ввечері 29 жовтня приблизно о 20:05 за всесвітнім координованим часом UTC. За даними TRM Labs, уже протягом наступних 20 хвилин нападники перемістили значну частину коштів із гарячих гаманців Binance, які використовуються для повсякденних клієнтських операцій. Окремі несанкціоновані перекази тривали й після цієї основної фази.

Загалом дослідники простежили активи приблизно на $6,36 млрд у десяти мережах: Ethereum, Bitcoin, Tron, XRP Ledger, Solana, Arbitrum, Avalanche, Optimism, Base та Polygon. Найбільші суми припали на Ethereum — близько $3,79 млрд. У цій мережі викрали понад 200 тисяч ETH, значні обсяги USDT, USDC та інших токенів. 

Ще приблизно $1,47 млрд вивели в Bitcoin — 18 270 BTC. Через Tron пройшли кошти приблизно на $628 млн, через XRP Ledger — на $296 млн, а через Solana — майже на $96 млн.

Масштаб і швидкість переказів привернули особливу увагу аналітиків. Зловмисники одночасно працювали з різними блокчейнами, кожен із яких має власні правила проведення транзакцій. Це вказує на попередню підготовку та можливий доступ до інфраструктури, що обслуговує кілька мереж одночасно.

У повідомленні від 30 жовтня Binance оцінила загальний вплив інциденту приблизно в $6,3 млрд. За цією попередньою оцінкою атака перевищує попередній рекорд — злам Bybit у лютому 2025 року, коли викрали близько $1,5 млрд. Проте $6,3 млрд — це вартість активів, зачеплених атакою, а не остаточні безповоротні збитки: частину коштів уже заблокували, а ціни криптовалют змінюються.

Як зламаний ноутбук міг відкрити доступ до гаманців Binance

Основна версія проникнення пов'язана з робочим пристроєм одного зі співробітників біржі. Binance повідомила, що хакери могли скомпрометувати ноутбук DevOps-інженера, а потім отримати доступ до службового контейнера та надсилати через нього несанкціоновані запити на виведення коштів.

DevOps-фахівці обслуговують технологічну інфраструктуру, розгортання програм і автоматизацію внутрішніх процесів. У великих фінансових компаніях відповідні інструменти можуть взаємодіяти із сервісами, які обробляють транзакції. Сам по собі злам ноутбука не надає права розпоряджатися криптовалютою, але доступ до критичного службового середовища здатний створити такий ризик.

Важливо, що біржа не знайшла доказів викрадення приватних ключів гаманців. Приватний ключ дозволяє криптографічно підтверджувати операції з активами. У цьому випадку нападники, імовірно, використали інший шлях — змусили штатну інфраструктуру Binance формувати та підписувати перекази на контрольовані ними адреси.

На користь цієї версії свідчить аналіз TRM Labs: транзакції мали дійсні цифрові підписи відповідних гаманців Binance. Для блокчейну вони виглядали технічно коректними, хоча фактично проводилися без дозволу компанії. Отже, слабким місцем могли стати не криптографічні алгоритми мереж, а механізми доступу до системи, яка керує підписанням операцій.

Водночас співвиконавчий директор Binance Річард Тенг уточнив, що атака була значно складнішою, ніж використання доступу одного співробітника. 

«Хочу наголосити: зловмисник не просто скористався правами доступу одного інженера, і не йдеться про одну дію "в один клік". Атака була складнішою та складалася з кількох етапів. Наразі наше розслідування не встановило відповідальності жодного конкретного працівника,» — розповів Річард Тенг.

Таким чином, компрометація робочого пристрою залишається однією з попередніх версій проникнення, але не пояснює всі етапи атаки. Binance продовжує встановлювати, яким чином нападники отримали доступ до внутрішніх сервісів і змогли ініціювати перекази. Компанія обіцяє оприлюднити детальний технічний звіт після завершення розслідування.

Чому система безпеки не зупинила транзакції

Біржі зберігають активи на холодних і гарячих гаманцях. Перші ізольовані від постійного підключення до інтернету, другі забезпечують швидке поповнення рахунків та виведення криптовалюти. Автоматизація гарячих гаманців прискорює обслуговування клієнтів, але робить особливо важливим захист внутрішніх механізмів підтвердження переказів.

Найскладніша частина атаки відбулася в Ethereum. Дослідники TRM Labs встановили, що хакери використали можливості EIP-7702 — механізму, запровадженого під час оновлення Pectra у травні 2025 року. Він дозволяє звичайній адресі Ethereum, після підписання спеціальної авторизації, виконувати логіку смартконтракту.

За даними аналітиків, нападники заздалегідь підготували 50 таких авторизацій для одного з основних гаманців Binance, розрахованих на різні стани адреси. Після активації відповідного дозволу гаманець почав виконувати програмний код, контрольований зловмисником. Приблизно за три хвилини з нього вивели 167 464 ETH та десятки інших токенів, зокрема близько 1,615 млрд USDT.

Проблема не обмежилася однією операцією. Делегування залишалося чинним, тому кошти, які надходили на скомпрометовану адресу пізніше, також могли бути виведені. Дослідники зафіксували кілька таких переказів протягом наступних годин.

Водночас EIP-7702 не пояснює злам усіх гаманців. У Bitcoin, Tron, Solana та інших мережах нападники використовували звичайні підписані транзакції. Це посилює припущення про ширший доступ до внутрішніх сервісів Binance, а не одну ізольовану вразливість в Ethereum.

Підготовка почалася завчасно: TRM Labs простежила активність пов'язаних адрес щонайменше за 36 годин до основної атаки. Зловмисники створювали програмний код, перевіряли його роботу та готували адреси для приймання коштів. Чому система моніторингу не зупинила великі перекази швидше, а також які повноваження мали скомпрометовані сервіси, ще належить встановити.

Як вдалося заморозити близько $3 млрд активів

Одразу після виявлення атаки Binance почала координувати дії з емітентами стейблкоїнів, блокчейн-аналітиками та правоохоронними органами. Саме це дозволило швидко обмежити рух значної частини викрадених токенів.

На відміну від Bitcoin, де немає централізованого емітента, деякі стейблкоїни мають механізми блокування визначених адрес. Їхні емітенти можуть заморозити токени, пов'язані зі злочинними операціями, за наявності відповідних підстав.

Tether заблокувала приблизно 1,77 млрд USDT, а Circle — близько 825 млн USDC. Також були обмежені операції з іншими стейблкоїнами, зокрема RLUSD та USD1. Команда Arbitrum за допомогою екстрених повноважень перемістила до захищеного гаманця 8426 ETH і 74,6 млн ARB загальною вартістю приблизно $30 млн.

Станом на ранні години 30 жовтня аналітики підтвердили блокування активів приблизно на $2,7 млрд. Сама Binance повідомила про близько $3 млрд. Різниця пояснюється моментом оцінювання та тим, які операції враховували дослідники й біржа.

Заморожування не дорівнює автоматичному поверненню грошей. Токени можуть залишатися на адресі нападника, але він уже не зможе їх вільно переміщувати. Для остаточного відшкодування можуть знадобитися додаткові технічні та юридичні процедури.

Куди перемістили криптовалюту, яку не встигли заблокувати

Хакери намагалися випередити блокування стейблкоїнів і швидко обміняти їх на Bitcoin, Ethereum та інші активи без централізованого механізму заморожування. Для цього вони використовували децентралізовані торгові та кредитні протоколи.

Приблизно 325 млн USDT було обміняно на 122,3 тисячі ETH через UniswapX та інші інструменти. Нападники погоджувалися навіть на невигідні курси, оскільки швидкість була важливішою за втрату частини вартості активів. Через кредитну платформу Aave вони також внесли близько 60 млн USDT як забезпечення та позичили приблизно 19 760 ETH.

На одному з ранніх етапів розслідування аналітики оцінювали непідконтрольні емітентам активи нападників — понад 420 тисяч ETH і 18 270 BTC — приблизно в $2,4 млрд. Ці показники не є остаточним балансом викраденого: частина адрес могла брати участь у подальших обмінах, а вартість монет змінюється разом із ринком.

Що пов'язує злами Binance та Bitget

30 жовтня ончейн-дослідник ZachXBT повідомив про зв'язок між грошовими потоками двох криптовалютних атак. За оприлюдненими даними, кошти, викрадені з Binance, та активи з попереднього зламу Bitget після переказів через протокол THORChain надійшли на одну криптовалютну адресу.

THORChain дозволяє обмінювати активи між різними блокчейнами без традиційної централізованої біржі. Це законний технологічний інструмент, але його можуть використовувати й злочинці для швидкого переміщення криптовалюти між мережами. Коли кошти з різних інцидентів сходяться на одній адресі, дослідники отримують підстави перевірити, чи не пов'язані між собою виконавці або посередники цих операцій.

За даними ZachXBT, спільним пунктом переміщення стала адреса 0x15104a9ce0f08a8f0075a0869ae80e795fe0feb7. Злам Bitget, який дослідник пов'язав із цією схемою, раніше оцінювали приблизно у $388 млн. До того ж він уже фігурував у розслідуваннях діяльності групи TraderTraitor, пов'язаної з Північною Кореєю.

Чому підозрюють північнокорейське угруповання TraderTraitor

Версію про північнокорейський слід підтримують одразу кілька дослідників. TRM Labs заявила про високий ступінь упевненості у причетності TraderTraitor. Серед аргументів — завчасна підготовка інфраструктури, спосіб отримання авторизацій, характер руху коштів і застосування сервісів, що ускладнюють відстеження криптовалюти.

Зокрема, пов'язані з нападниками адреси ще до основного зламу отримували невеликі перекази через Tornado Cash. Цей сервіс може приховувати прямий зв'язок між адресами відправника й одержувача. Сам факт його використання не доводить участі конкретного угруповання, але враховується разом з іншими технічними ознаками.

Подібні висновки оприлюднила Chainalysis. Її керівництво пов'язало можливих організаторів з попередніми зламами, водночас застерігши від остаточної атрибуції до завершення розслідування. У коментарі Reuters представник Chainalysis зазначив, що компанія продовжує аналіз обставин інциденту. За ранньою оцінкою, її спеціалісти простежили переміщення щонайменше $5,912 млрд.

TraderTraitor уже фігурувала в одній із наймасштабніших криптокрадіжок попередніх років. У лютому 2025 року з біржі Bybit викрали близько $1,5 млрд. ФБР США офіційно пов'язало цю атаку з Північною Кореєю та описало швидке переміщення активів між криптовалютами й численними адресами.

Інший показовий випадок — злам японської DMM Bitcoin у 2024 році, коли викрали понад $300 млн. За результатами розслідування, нападники скористалися соціальною інженерією: видавали себе за рекрутерів і через шкідливе тестове завдання отримали доступ до робочого середовища співробітника партнерської компанії. 

Історія демонструє, що об'єктом атаки може стати не блокчейн, а людина з доступом до фінансової інфраструктури. Проте доказів аналогічної схеми з фальшивою вакансією у випадку Binance поки немає.

Північнокорейські угруповання привертають увагу правоохоронців не лише через масштаб окремих крадіжок. США та інші країни пов'язують їхню діяльність зі спробами отримувати фінансові ресурси в обхід міжнародних санкцій. Криптовалютні платформи є привабливою ціллю через концентрацію великих активів та можливість швидко переказувати їх між юрисдикціями.

Чи втратять клієнти Binance свої гроші

30 жовтня Binance повідомила про нові заходи для компенсації втрат користувачів. Біржа вже зарезервувала понад $6,34 млрд власних коштів для повного покриття можливого дефіциту активів.

Із цієї суми $5 млрд уже перебувають у тих самих криптовалютах і токенах, яких торкнувся інцидент. Решту необхідних активів компанія купує на відкритому ринку та через позабіржові угоди (OTC).

За поясненням Binance, цей процес може потребувати часу через обмежену ліквідність окремих токенів і тривалість розрахунків за великими позабіржовими операціями. При цьому компанія вже розпочала повернення активів користувачам, які постраждали від атаки.

«Binance вже розпочала повернення активів користувачів, яких торкнувся інцидент, і продовжує співпрацювати з правоохоронними органами, емітентами, компаніями у сфері блокчейн-аналітики та іншими учасниками індустрії для відстеження, замороження й повернення додаткових коштів», — йдеться в офіційній заяві.

Важливо, що зарезервовані $6,34 млрд не включають приблизно $3 млрд активів, які вже вдалося заморозити. Ці кошти перебувають у процесі повернення та додаткової перевірки. 

Компанія наголосила, що використовуватиме власні ресурси для покриття будь-якого підтвердженого дефіциту. Після завершення процесу збереження клієнтських коштів планують публічно підтвердити через оновлений звіт Proof of Reserves.

Як атака вплинула на Bitcoin і криптовалютний ринок

Новини про злам Binance швидко відобразилися на цінах цифрових активів. 30 жовтня Bitcoin втратив понад 3% і опустився приблизно до $76,4 тис. — шеститижневого мінімуму. Ethereum також подешевшав більш ніж на 3%, приблизно до $2,18 тис. Негативна реакція зачепила й акції компаній криптовалютного сектору, зокрема Coinbase та Strategy.

Експертів непокоїла не лише вартість викраденого, а й можливий дефіцит ліквідності. Binance відіграє важливу роль у глобальній торгівлі криптовалютами. Якщо клієнти та маркетмейкери не можуть швидко вивести кошти, їм складніше переміщувати капітал між майданчиками та підтримувати стабільні ціни купівлі й продажу.

Представник маркетмейкера GSR Аравінд Срінівасан повідомив, що під час найбільшої напруженості різниця між цінами купівлі та продажу Bitcoin на спотовому ринку Binance була приблизно вп'ятеро вищою за звичайну, а для Ethereum — приблизно у 2,5 раза.

Обмеження на перекази створюють проблеми й для трейдерів, які використовують кредитне плече. Коли кошти заблоковані на одному майданчику, їх неможливо своєчасно переказати на інший для забезпечення позицій. Це може спричиняти примусові ліквідації та додаткові коливання ринку.

Аналітики звертають увагу, що подальша реакція залежить від швидкості відновлення роботи Binance, обсягу повернутих активів і переконливості гарантій безпеки. Саме тому наслідки інциденту виходять далеко за межі безпосередніх фінансових втрат біржі.

Що має змінитися в захисті криптовалютних бірж після атаки на Binance 

Binance тимчасово призупинила виведення коштів для комплексної перевірки відповідних сервісів і криптовалютних адрес, а також відкликала авторизацію адреси, пов'язаної з інцидентом.

До розслідування залучили правоохоронні органи та компанії, які спеціалізуються на аналізі блокчейн-транзакцій. Вони допомагають відстежувати подальше переміщення викрадених активів, встановлювати пов'язані адреси та забезпечувати повернення коштів.

«Наші команди працюють цілодобово, щоб забезпечити безпечне й комплексне усунення наслідків інциденту. Ми тісно співпрацюємо з правоохоронними органами для встановлення осіб зловмисників і притягнення їх до відповідальності», — зазначили в Binance.

Для самої Binance ключовими завданнями залишаються повне відновлення операцій, виконання зобов'язань перед користувачами та публікація технічного звіту. Він має пояснити, як стороння особа отримала доступ до систем підтвердження переказів і чому контрольні механізми не спрацювали достатньо швидко.

Паралельно дослідники продовжують відстежувати криптовалюту. Виявлений ZachXBT зв'язок між коштами зі зламів Binance та Bitget може допомогти відновити ширшу картину переміщення активів і перевірити версію про TraderTraitor. Поки ж головний висновок інциденту полягає в тому, що для криптобірж недостатньо захистити ключі: необхідно так само надійно контролювати людей, пристрої та програми, які мають право розпоряджатися мільярдами доларів.