30 октября 2026 года Binance заявила, что зарезервировала более 6,3 млрд долларов США для покрытия убытков от взлома криптовалютной платформы Binance, произошедшего накануне. По данным TRM Labs, было похищено около 6,36 млрд долларов США в десяти блокчейнах, причём большая часть средств — примерно за 20 минут. Это крупнейшая кража криптовалюты из всех, что зафиксировала компания.

Главное

• Binance пообещала покрыть все убытки за счёт средств компании.

• TRM с высокой степенью уверенности связывает кражу с группировкой TraderTraitor из Северной Кореи.

• Злоумышленники использовали вредоносное делегирование в Ethereum, чтобы неоднократно опустошать кошельки.

• По последней оценке Binance, объем замороженных активов достиг примерно 3 млрд долларов США.

В результате взлома Binance криптовалюта была выведена из кошельков в десяти блокчейнах

По данным TRM, кража началась 29 октября 2026 года в 20:05 UTC, а основная часть средств была выведена примерно за 20 минут. Оценка в 6,36 млрд долларов США рассчитана по ценам активов на момент каждого перевода и примерно вчетверо превышает сумму кражи у Bybit в феврале 2025 года — 1,5 млрд долларов США.

На Ethereum пришлось 3,79 млрд долларов США, включая 200 630 ETH и 185 других токенов. Среди них были 1,875 млрд USDT, 823 млн USDC и 88,5 млн RLUSD. Из биткоин-кошельков вывели в общей сложности 18 270 BTC — примерно на 1,47 млрд долларов США.

TRM отследила около 628 млн долларов США в сети Tron, 296 млн долларов США в XRP Ledger и 96 млн долларов США в Solana. В Arbitrum, Optimism и Base вместе было потеряно около 39 млн долларов США; в Avalanche — около 28 млн, а в Polygon — около 10 млн. Еще одна волна переводов затронула Avalanche и Polygon примерно в 23:05 UTC.

Binance подтвердила инцидент безопасности, приостановила вывод средств в нескольких сетях и заявила, что средства пользователей в безопасности. 30 октября биржа сообщила, что 5 млрд долларов США из резервов для замещения уже соответствовали затронутым токенам, а закупка оставшейся части продолжалась. В эти резервы не входят замороженные активы, подлежащие возврату и проверке.

Как разрешения Ethereum позволили совершить серию краж

По данным TRM, злоумышленник использовал делегирования EIP-7702, чтобы заставить горячий кошелек Binance в сети Ethereum выполнять код под его контролем. Эта функция Ethereum позволяет обычному кошельку разрешить смарт-контракту управлять его работой.

В 20:20 UTC оператор отправил 50 заранее подписанных разрешений для последовательных значений счетчика транзакций. Одно из них совпало с текущим значением счетчика кошелька и активировало контракт-сборщик, который принимал только команды оператора.

Через три минуты и 24 секунды в ходе одной операции было переведено 167 464 ETH и 63 токена, включая 1,615 млрд USDT. Делегирование осталось активным, что позволило провести еще шесть таких операций по мере поступления новых депозитов. Взломанный кошелек также контролировал отдельный смарт-аккаунт с 823 млн USDC, который Circle впоследствии заморозила.

В других сетях использовались обычные переводы с подписью. По оценке TRM, злоумышленник, вероятно, получил доступ к инфраструктуре подписания транзакций горячих кошельков Binance в разных сетях. Binance сообщила, что первоначальное расследование указывало на взломанный ноутбук, однако дальнейшая проверка выявила и другие точки проникновения.

TRM связывает атаку с TraderTraitor

TRM с высокой степенью уверенности приписывает взлом Binance группе TraderTraitor — хакерскому подразделению, спонсируемому государством Северная Корея. Вывод основан на данных из блокчейна и внешних источников. Генеральный директор Chainalysis Джонатан Левин независимо пришел к выводу, что атаку, вероятно, совершила TraderTraitor.

TRM проследила подготовку как минимум за 36 часов до атаки: она включала небольшие снятия средств с Tornado Cash, развертывание вредоносного кода и репетиции. Компания выявила сходство с предыдущими кражами, связанными с Северной Кореей. Ранее ФБР приписало той же группе атаку на Bybit в феврале 2025 года.

Заморозка заблокировала миллиарды, но возврат средств — отдельный процесс

По подсчетам TRM, к 00:30 UTC 30 октября было заморожено около 2,7 млрд долларов США; позднее Binance оценила общую сумму примерно в 3 млрд. В подсчет TRM вошли 2,67 млрд долларов США в стейблкоинах и около 30 млн долларов США, защищенных в Arbitrum.

Tether заморозила около 1,77 млрд USDT, Circle — около 825 млн USDC, Ripple — 40,5 млн RLUSD, а World Liberty Financial — 27,8 млн USD1. Совет по безопасности Arbitrum вывел из-под контроля злоумышленника 8 426 ETH и 74,6 млн ARB.

Злоумышленник продал около 325 млн USDT через маркетмейкеров и контракты на основе намерений, получив примерно 122 300 ETH. Кроме того, он внес 60 млн USDT в Aave и занял около 19 760 ETH; после этого Aave заморозила затронутые рынки.

TRM отследила более 420 000 ETH и 18 270 BTC — примерно 2,4 млрд долларов США, которые нельзя заморозить силами эмитентов. Биткоины переводили через «цепочки дробления», чтобы затруднить отслеживание.

Ари Редборд из TRM пояснил, что для возврата замороженных средств необходимы судебные процедуры. Руководитель исследовательского отдела Chainalysis Эрик Жардин отметил, что на возврат могут уйти месяцы или годы.

Биржи призвали проверять депозиты и средства контроля подписания транзакций

TRM рекомендует проверять депозиты и контрагентов на совпадения с выявленными адресами злоумышленника, а также отслеживать кошельки казначейства на предмет неожиданных делегирований EIP-7702. Компания также советует отклонять незапланированные разрешения и разделять инфраструктуру подписания по блокчейнам и уровням кошельков.

30 октября Binance сообщила, что приступила к возврату затронутых активов и сотрудничает с правоохранительными органами и партнерами, чтобы отследить, заморозить и вернуть дополнительные средства.

Статья подготовлена при содействии искусственного интеллекта и проверена редакцией.