29–30 октября 2026 года Binance столкнулась с инцидентом безопасности редкого масштаба, последствия которого, однако, удалось в значительной степени смягчить. Ключевые факты таковы: несколько горячих кошельков за очень короткое время подверглись аномальной «очистке». Отслеживаемый объём средств, выведенных с балансов, достигал десятков миллиардов долларов, однако эмитенты основных стейблкоинов быстро заморозили большую часть связанных с инцидентом средств. По оценке CZ, фактический чистый ущерб составил чуть более 1 млрд долларов. Binance пообещала покрыть его полностью.
Аномальный вывод средств: несколько горячих кошельков подряд подверглись «очистке»
Отправной точкой инцидента стала транзакция sweep (консолидации): около 4:24 утра 30 октября по тайбэйскому времени (20:24 UTC 29 октября) горячий кошелёк, обозначенный Binance как «Binance 14», за один раз перевёл около 167 464 ETH и 63 токена ERC-20, включая примерно 1,615 млрд USDT. На тот момент их стоимость оценивалась примерно в 2,5 млрд долларов.
Вскоре аномальная активность продолжилась:
· Всего через 24 секунды другой горячий кошелёк — «Binance 16» — перевёл на тот же адрес около 28 005 ETH, а также активы на сумму около 55,74 млн USDT, 25,94 млн RLUSD и другие.
· Примерно через 17 минут (в 4:41) «Hot Wallet 34» перевёл на тот же адрес 780 млн USDC; позднее последовал ещё один перевод USDC на 43 млн долларов.
Поскольку средства за короткое время поступили с нескольких независимых горячих кошельков на адрес, созданный в тот же день, первоначально ончейн-системы оповещения даже не исключали вероятность «планового перемещения средств для обслуживания». Однако вскоре новые свойства адреса-получателя, быстрое повторное перемещение активов и использование функции sweep убедили рынок в том, что это была атака.
Метод атаки: проблема была не в приватных ключах, а в «подписи авторизации»
Техническая особенность этого инцидента заключается в том, что, по всей видимости, злоумышленники не похитили напрямую приватные ключи кошельков Binance.
Ончейн-анализ указывает на злоупотребление механизмом EIP-7702 в Ethereum. Этот механизм позволяет внешнему аккаунту делегировать право выполнения операций определённому коду посредством «подписи авторизации». Предположительно, злоумышленники получили такую подпись с помощью фишинга или другими способами, установили в связанных с Binance кошельках вредоносный код с функцией «сбора» средств, а затем вызвали sweep, чтобы массово перевести активы. Специалисты по безопасности отмечают: если бы злоумышленники действительно завладели приватными ключами, им не понадобились бы ни ретранслятор (Relayer), ни процедура авторизации — они могли бы напрямую перевести активы одной атомарной транзакцией. Поэтому более правдоподобное объяснение состоит в том, что они получили только подпись авторизации EIP-7702.
Это означает, что порог для проведения атаки существенно снизился: взламывать приватный ключ не нужно — достаточно обманом получить одну подпись авторизации, чтобы адрес стал доступен для «сбора» средств. Тот факт, что после первого сбора с того же кошелька удалось повторно вывести активы, также подтверждает, что некоторое время после инцидента эта авторизация оставалась действительной.
Заморозка средств и квалификация инцидента: от «идёт расследование» до «это действительно была атака»
После инцидента публичные заявления Binance заметно менялись и становились всё более определёнными. В первоначальном сообщении говорилось лишь, что компания «расследует потенциальную проблему безопасности» и что «влияние на средства пользователей пока не подтверждено». Примерно за десять с лишним минут заявление изменили несколько раз. В окончательной версии утверждалось, что «средства пользователей полностью в безопасности», однако тогда компания ещё официально не называла произошедшее «кражей» или «взломом».
Поворотным моментом стало заявление CZ (Чанпэна Чжао). Он прямо сказал: «Похоже, это действительно хакерская атака на Binance», одновременно подчеркнув, что средства пользователей в безопасности, и поблагодарив Tether и Circle за оперативную заморозку средств. CZ также сообщил, что больше не управляет повседневной деятельностью Binance, но как акционер ожидает, что все средства пользователей будут полностью покрыты.
Параллельно с квалификацией инцидента эмитенты стейблкоинов заморозили средства:
· Tether заморозила более 1,567 млрд USDT (по другим сообщениям — около 971 млн долларов);
· Circle заморозила около 823 млн USDC.
В общей сложности обе компании заморозили около 2,39 млрд долларов. Именно этим объясняется огромный разрыв между последующими оценками «средств, выведенных по данным блокчейна» и «фактического ущерба».
Цифры по движению средств и реальный ущерб: почему сумма в миллиарды превратилась в «немногим более миллиарда»
Поскольку атака затронула несколько кошельков, блокчейнов и десятки токенов, оценки общей суммы вывода средств по данным блокчейна поначалу сильно расходились: от примерно 2,5 млрд и 2,8 млрд долларов в ранних сообщениях до около 3,3 млрд долларов по более поздним данным. Некоторые аналитические сервисы оценивали сумму даже более чем в 5,8 млрд долларов.
Однако речь главным образом шла об объёме переводов, а не об окончательном невозмещаемом ущербе. Оценка основателя DefiLlama 0xngmi даёт более ясное представление: после масштабной заморозки USDT и USDC общий ущерб от инцидента составил около 1 млрд долларов — всего 0,69% от примерно 144 млрд долларов активов Binance под хранением, что компания вполне могла покрыть за счёт своего баланса. CZ поделился этой оценкой и добавил: «Ущерб может быть немного больше, но он будет полностью покрыт».
Эти цифры соотносятся следующим образом: из активов, выведенных злоумышленниками, эмитенты заморозили стейблкоины примерно на 2,4 млрд долларов. Сумма, которая действительно вышла из-под контроля Binance и не была заморожена в краткосрочной перспективе, в итоге составила около 1 млрд долларов. Таким образом, Binance понесла покрываемый чистый ущерб, а не потеряла безвозвратно всю сумму в несколько миллиардов долларов.
Приостановка вывода средств и реальные последствия для пользователей
На время проверки безопасности Binance приостановила вывод средств. Сначала компания заявила, что некоторые пользователи не могут выводить средства из-за «технической ошибки», а затем уточнила, что «вывод средств возобновится после полного устранения проблемы безопасности», вновь заверив пользователей в сохранности их средств. Таким образом, для обычных пользователей основным непосредственным последствием инцидента стала кратковременная приостановка вывода средств, а не обнуление балансов. Заявления CZ и Binance совпадали: средства пользователей «полностью в безопасности», а ущерб покроет платформа.
В целом картина произошедшего такова: масштабная несанкционированная операция по сбору средств из горячих кошельков Binance с использованием механизма авторизации EIP-7702. По данным блокчейна, сумма выведенных активов достигала нескольких миллиардов долларов, но благодаря заморозке стейблкоинов и финансовой устойчивости платформы фактический чистый ущерб сократился примерно до 1 млрд долларов. Пользователи не понесли прямых потерь, а вывод средств возобновили после подтверждения безопасности. Личность злоумышленников и конкретный способ получения подписи авторизации пока не раскрыты; расследование и отслеживание средств продолжаются.