29 октября 2026 года злоумышленник за 31 минуту похитил с Binance около 6,15 миллиарда долларов — это одна из крупнейших краж в истории криптовалют, а точнее, в истории интернета.
Сначала Binance оценила ущерб в 6,3 миллиарда долларов; согласно отслеживанию каждой транзакции аналитической компанией BitOK, он составил 6,15 миллиарда долларов в девяти блокчейнах.
Злоумышленник не похищал приватные ключи Binance. Вместо этого он заставил собственные системы Binance одобрить кражу. В этом руководстве мы шаг за шагом разберём ограбление и по ходу объясним каждый технический термин. Всё время указано по UTC.
Основы: как биржа переводит деньги
Горячие кошельки — это онлайн-кошельки биржи, которые постоянно подключены к сети, чтобы быстро отправлять средства при выводе.
Подписание. Каждый перевод нужно одобрить приватным ключом кошелька — секретным числом. Биржи используют автоматизированные системы, чтобы подписывать тысячи выплат в день.
Nonce — это счётчик транзакций Ethereum-кошелька. У активно используемого кошелька nonce постоянно растёт.
Замораживаемые монеты. Эмитенты стейблкоинов, такие как Tether (USDT) и Circle (USDC), могут замораживать адреса. Никто не может заморозить нативные монеты, такие как BTC, ETH или TRX.
28 октября: подготовка перед взломом
Каждая транзакция в блокчейне требует небольшой комиссии. Чтобы пополнить кошельки и не оставить следов, злоумышленник использовал Tornado Cash — «миксер», который объединяет монеты многих пользователей, чтобы нельзя было связать вывод средств с их внесением.
Шесть выводов из Tornado Cash пополнили кошелёк оператора и кошельки двух помощников.
29 октября, 02:28–16:47 UTC: две репетиции
Прежде чем атаковать Binance, злоумышленник потренировался на собственных кошельках — примерно так же, как взломщик мог бы сначала проверить отмычку на двери собственного дома.
Инструментом был смарт-контракт: программа, работающая в Ethereum и выполняющая в точности то, что предписано её кодом. Этот контракт создали для опустошения любого кошелька, который разрешит ему действовать от своего имени. (Функция EIP-7702 в Ethereum позволяет выдавать такие разрешения; подробнее об этом ниже.)
02:28 — злоумышленник публикует тестовую версию программы для вывода средств.
13:51–14:24 — первая репетиция. Злоумышленник переводит небольшие суммы USDT и USDC в два собственных кошелька, разрешает тестовой программе распоряжаться ими и запускает её. Оба кошелька опустошены. Инструмент работает.
15:59 — публикуется финальная версия, которую позже используют против Binance.
16:20–16:47 — вторая репетиция: тест повторяют с финальной версией.
У финальной версии появилась дополнительная возможность: она могла заставить кошелёк выполнить что угодно, а не только отправить токены. В ту ночь это позволило ей приказать кошельку Binance перевести 823 млн USDC. Столь узкоспециализированный инструмент наводит на мысль, что злоумышленник уже знал, как устроены кошельки Binance.
«Разница между двумя версиями была принципиальной. Основной контракт содержал функцию, которая могла выполнять произвольные вызовы от имени кошелька, делегировавшего ему управление. Позже злоумышленник воспользовался этой функцией, чтобы вывести 823 млн USDC из смарт-кошелька Binance», — пояснили в BitOK.
29 октября, 20:04 UTC: вывод средств за 31 минуту
С 20:04:52 до 20:35:53 злоумышленник опустошил горячие кошельки Binance в сетях XRP Ledger, Solana, Bitcoin, Ethereum, Tron, Base, Optimism, Arbitrum и Avalanche. Добыча включала:
18,270.2 BTC,
197,540 ETH,
2.49 млрд USDT,
823 млн USDC,
233.46 млн XRP,
970,522 SOL и десятки других токенов.
Каждый перевод был подписан собственными кошельками Binance. BitOK распознала их по характерным признакам: комиссии в 2–2.7 раза выше обычных, форматы транзакций, которые не использует программа Binance для выплат, а в Ethereum — поддельные переводы, вклинивавшиеся между реальными выплатами клиентам.
Злоумышленник взломал ноутбук DevOps-инженера, а затем использовал сервисный контейнер (упакованную программу, работающую внутри систем Binance), чтобы отправить поддельные заявки на вывод средств.
Это был самый хитрый ход за ночь. Целью стал активно используемый горячий Ethereum-кошелёк под названием Binance 14.
План. С помощью EIP-7702 кошелёк может подписать разрешение — так называемую авторизацию, — которое позволяет смарт-контракту действовать от его имени. Если бы Binance 14 подписал такую авторизацию, указав контракт злоумышленника, тот получил бы контроль над кошельком.
Проблема. Разрешение действует, только если в нём указан текущий номер транзакции кошелька — его nonce. Binance 14 постоянно отправлял клиентам средства, поэтому этот номер всё время менялся. Разрешение с неверным номером просто игнорируется.
Хитрость. В 20:20:59 злоумышленник заставил систему подписания Binance подписать сразу 50 разрешений, каждое с разным номером. Это всё равно что одновременно попробовать 50 ключей в одном замке: подойдёт только один. Один подошёл. Теперь Binance 14 принимал команды от контракта злоумышленника, но продолжал работать как обычно, поэтому деньги продолжали поступать.
Результат. Несколько минут спустя одна транзакция опустошила кошелёк на 65 разных токенов общей стоимостью более $2.2 млрд, включая 1.615 млрд USDT и 167,464 ETH. В 20:41 и 20:59 контракт также заставил другой кошелёк Binance отправить 823 млн USDC.
Binance 16. Второй горячий кошелёк ограбили более простым способом. В систему Binance подали девять поддельных переводов, которые она подписала и отправила вместе с реальными выплатами клиентам. В них содержалось 28,005.6 ETH и 55.7 млн USDT.
В сети Ethereum 500 млн USDT покинули основной адрес для получения средств менее чем за шесть минут. С 20:34 до 21:09 злоумышленник обменял 435 млн USDT на ETH через Uniswap — децентрализованную биржу, работающую на коде. Ещё 60 млн USDT он внёс в Aave, протокол кредитования, и занял под них 19,762 ETH, оставив замораживаемый залог.
В сети Tron из кошелька Binance-Hot 7 вывели 612.7 млн USDT. В ходе 16 обменов на SunSwap, главной децентрализованной бирже Tron, злоумышленник обменял 234 млн USDT на 638.2 млн TRX.
Чтобы заморозить USDT, Tether требовалось три подтверждения с кошелька с мультиподписью — системы, для которой нужно несколько подписей. Каждая заморозка занимала до 2 минут 36 секунд, а ожидающие запросы были видны в блокчейне. Злоумышленник замечал приближение заморозки и успевал действовать первым: один кошелёк перевёл 130 млн USDT всего за 48 секунд до заморозки. Но на одном адресе злоумышленник замешкался и потерял почти 175 млн USDT.
Все 823 млн USDC по-прежнему находились на одном адресе, и их заморозили одной транзакцией.
Заморожено Tether и CircleСуммаEthereum USDT$1.38 млрдEthereum USDC$823 млнTron USDT$378.7 млнAvalanche USDt$8.4 млнИтого$2.59 млрд
Другие эмитенты заморозили USD1, XAUt, PAXG, wBETH и FDUSD, а эмитент BEAM сжёг 984 млн украденных токенов. Совет безопасности Arbitrum — чрезвычайный орган из 12 членов — изъял 8,426 ETH и 74.56 млн ARB.
Всего было заморожено, сожжено или изъято около $2.79 млрд. Однако 669 млн USDT уже успели превратиться в ETH и TRX.
21:43–00:10 UTC: кошелёк, который продолжали грабить
Binance 14 всё ещё находился под контролем злоумышленника.
21:43:59 — в ходе обычного пополнения Binance переводит 200 млн USDT на Binance 14. Через двенадцать секунд контракт их забирает. USDT поступают на уже замороженный адрес, но почти 370 ETH удаётся вывести.
22:39 — очередной вывод забирает 128.49 ETH.
23:56 — через минуту после поступления выводят 2,961.91 ETH.
00:10:35, 30 октября — Binance наконец отменяет передачу средств.
Злоумышленник удерживал кошелёк под контролем почти четыре часа.
Куда делись 18,270 BTC
В 20:20:06 одиннадцать транзакций вывели 18,270.2 BTC из горячего кошелька Binance, заплатив комиссию вдвое выше обычной. Монеты распределили по 19 адресам, на 17 из которых поступило по 1,000 BTC. По состоянию на 30 октября ни одна из них не переместилась. Публичный реестр Bitcoin позволяет отследить эти монеты, но заморозить их никто не может.
Главная находка BitOK: украденные средства Binance поступили на тот же адрес Ethereum, на который уже переводили средства, полученные в результате взлома Bitget в сентябре 2026 года.
Злоумышленник переводил TRX и USDT через THORChain — протокол для обмена монет между блокчейнами, — а затем получил ETH на адрес 0x15104a9ce0f08a8f0075a0869ae80e795fe0feb7.
Этот адрес уже получал ETH, связанный со взломом Bitget. Средства поступили с биткоин-адресов из опубликованного Bitget списка кошельков злоумышленников, которые были активны с 23 октября, и изначально представляли собой ZEC — монету, которую у Binance не крали.
К 06:20 на этот адрес поступили восемь выплат, связанных с Bitget (349.46 ETH), и пять — связанных с Binance (13.63 ETH), после чего смешанные средства отправили на новые кошельки. Само по себе совпадение адреса не позволяет установить, кто стоит за тем или иным взломом.
В обоих случаях злоумышленники проникли во внутренние системы, не похищая приватные ключи, а за взлом Bitget ответственность взяла на себя Северная Корея. BitOK также отмечает признаки, которые связывает с северокорейскими группами: репетиции, финансирование через Tornado Cash, мгновенный обмен на незамораживаемые токены и подготовка в рабочие часы по UTC+9.
«Обнаруженный общий адрес, использовавшийся для отмывания средств, — более весомое свидетельство операционной связи, чем одни лишь сходства в тактике. По оценке BitOK, обе кражи могут быть связаны с одной и той же северокорейской группой, а за выявленными потоками отмывания стоял один оператор. Это аналитическая атрибуция, а не доказательство реальной личности каждого участника», — заявили в BitOK.
Ответ Binance
Около 20:36 Binance приостановила вывод средств из горячих кошельков Bitcoin и Tron, при этом ввод средств продолжался. Биржа пообещала покрыть все убытки клиентов из чрезвычайного фонда SAFU и собственных средств.
Я хочу напрямую рассказать вам о том, что произошло.Итог — ваши деньги в безопасности, и мы возместим все потери.Наше предварительное расследование показывает, что этот инцидент с безопасностью мог начаться со взлома ноутбука DevOps-инженера. Это дало злоумышленнику доступ к…
— Ричард Тенг (@_RichardTeng) 30 октября 2026 года
По данным Coinglass, за 24 часа на всём рынке были ликвидированы позиции с кредитным плечом на сумму $1.58 млрд.
Какие активы сейчас у злоумышленников?
По состоянию на 06:20 30 октября BitOK связала злоумышленника со следующими активами:
197,460 ETH,
18,270.2 BTC,
233.46 млн XRP,
около 970,500 SOL,
675.9 млн TRX,
и 1.61 млн AVAX.
Только ETH, BTC, XRP и SOL стоили около $2.95 млрд.
Злоумышленники перехватили систему, которая подписывает выводы средств Binance. BitOK поделилась уроками, которые криптоиндустрии следует извлечь из взлома Binance.
«Инцидент с Binance показывает, почему одной лишь защиты приватных ключей недостаточно. Биржам также необходим контроль над полномочиями на подписание, защита от подозрительных распоряжений о выводе средств, оперативный отзыв скомпрометированных разрешений и непрерывный мониторинг перемещения активов между сетями».