Вечером 29 октября 2026 года крупнейшая в мире криптовалютная биржа Binance столкнулась с крупнейшей киберкражей в своей истории. По данным нескольких аналитических компаний, работающих с блокчейном, включая TRM Labs, Chainalysis и Elliptic, примерно за 20 минут злоумышленники вывели из горячих кошельков Binance активы на сумму около 6,3–6,4 млрд долларов, задействовав не менее 10 блокчейнов. Масштаб кражи намного превысил хищение 1,5 млрд долларов у Bybit в 2025 году.
Предварительное расследование Binance показало, что инцидент мог начаться со взлома ноутбука инженера DevOps. Затем хакеры проникли в контейнер сервиса и отправили несанкционированные транзакции на вывод средств. Компания подчеркнула, что пока не обнаружила утечки приватных ключей кошельков. В ходе дальнейшего расследования были выявлены «дополнительные точки проникновения»; также Binance заявила, что это не было операцией, выполненной одним человеком нажатием одной кнопки. Binance пообещала полностью возместить потери пользователей за счёт фонда SAFU и собственных средств компании. Около 3 млрд долларов активов уже заморожены в блокчейне.
I. Подготовка длилась не менее 36 часов — это указывает на высокую степень организации
Анализ блокчейна, проведенный TRM Labs, показывает, что атака не была спонтанной:
• Начиная с утра 28 октября, злоумышленник трижды получил небольшие суммы на свои кошельки из Tornado Cash.
• Рано утром 29 октября развернул первую версию кода атаки и протестировал ее на двух кошельках.
• Позже в тот же день отрепетировал финальную версию на третьем кошельке, после чего вернул тестовые средства.
• Примерно через 4 часа после репетиции тот же код установили на горячий кошелек Binance.
В сети Ethereum злоумышленник использовал механизм делегирования EIP-7702 и заранее подготовил 50 предварительно подписанных разрешений с последовательными nonce, чтобы гарантировать, что одно из них вступит в силу. Через три минуты началось массовое опустошение кошельков. Эта схема — «сначала тестирование, затем репетиция и, наконец, масштабная кража» — очень похожа на действия в ряде предыдущих инцидентов, приписываемых связанным с Северной Кореей группам.
II. Движение средств и атрибуция
TRM Labs и Chainalysis с «высокой степенью уверенности» связали этот инцидент с TraderTraitor — элитной хакерской группой из Северной Кореи, относящейся к Lazarus Group. Среди основных оснований — методы подготовки, схема пополнения через Tornado Cash и синхронный вывод средств в нескольких блокчейнах; все это соответствует атаке на Bybit в 2025 году, которую ФБР приписало той же группе.
Еще примечательнее, что ончейн-следователи ZachXBT и Chainalysis обнаружили: часть украденных у Binance средств прошла через THORChain и поступила на тот же адрес, куда в сентябре 2026 года были переведены средства из Bitget после кражи примерно 388 млн долларов. Ранее несколько сторон также приписали атаку на Bitget той же организации.
III. Аномальное время сделок на рынке опционов
Это самый привлекающий внимание аспект на данный момент. По словам Николаса Куатраво, руководителя подразделения EMEA в Paradigm (институциональной сети ликвидности), сказанным CoinDesk:
• Первая крупная блочная сделка с пут-опционами состоялась в 20:38 UTC — примерно через 15 минут после первого оттока средств из кошелька Binance, когда новости еще не были обнародованы.
• Сделка заключалась в покупке 250 пут-опционов на BTC со сроком истечения 31 октября и страйком 78 000 долларов (номинальная стоимость — около 20 млн долларов).
• Через 3 минуты была заключена еще одна сделка с таким же объемом и теми же контрактами; покупатель заплатил примерно на 35% больше в виде премии.
• В течение 8 часов после инцидента Paradigm провела блочные сделки с опционами на BTC номинальной стоимостью около 590 млн долларов, явно ориентированные на снижение цены.
• Покупки были сосредоточены вблизи текущей цены, в диапазоне 74 000–78 000 долларов, а самая активная торговля пришлась даже на время до публикации заявления Binance.
Крупные покупки ближних пут-опционов, появившиеся после начала оттока средств из блокчейна, но до широкого распространения новостей, могли быть как быстрой страховкой профессиональных трейдеров, заметивших аномально крупные переводы, так и действиями тех, кто заранее располагал информацией. Открытых доказательств, прямо подтверждающих последнее, нет, однако временное окно действительно крайне узкое.
IV. Вопросы, которые пока остаются без ответа
• Как был взломан ноутбук инженера?
• Каковы конкретные технические детали «дополнительной точки проникновения»?
• Каков полный путь злоупотребления системой подписания?
• Кто купил те самые ранние опционы и откуда поступили средства?
• Куда направились примерно 2,4 млрд долларов, которые не удалось заморозить (в основном ETH и BTC)?
Binance заявила, что опубликует подробный технический отчет по завершении расследования и обновит данные о Proof of Reserves.
Техническая подготовка, темп исполнения и связь средств с предыдущими инцидентами указывают на высокую степень организации и заблаговременное планирование. Аномальное время сделок на рынке опционов — сейчас самый бросающийся в глаза аспект, который труднее всего объяснить простым совпадением. Это не обязательно неопровержимое доказательство инсайдерской торговли, но определенно тревожный сигнал, за которым стоит следить.
На рынке криптовалют безопасность и прозрачность информации всегда имеют ключевое значение. Этот инцидент вновь напоминает, что стоит внимательно следить за контролем внутренних прав доступа на биржах, инфраструктурой подписания, а также поведением участников рынка до и после крупных событий.
Как вы считаете, что в этом инциденте заслуживает более пристального изучения: техническая уязвимость или совпадение во времени? Делитесь мнением в комментариях ниже.
#幣安 #Binance #加密貨幣 #安全事件 #鏈上分析
