Криптовалютная биржа Binance сотрудничает с Федеральным бюро расследований США (ФБР), чтобы вернуть около 3 млрд долларов активов, замороженных после крупнейшего в истории хищения криптовалюты. Источник, знакомый с ситуацией, сообщил СМИ, что Binance выделила из собственных средств более 6,34 млрд долларов для покрытия убытков. Из них активы на 5 млрд долларов полностью соответствуют украденным токенам, а недостающую сумму сейчас восполняют через биржевые и внебиржевые (OTC) каналы.
В результате атаки, произошедшей 29 октября в 20:05 по всемирному координированному времени (UTC), примерно за 20 минут с адресов под контролем Binance было переведено около 6,36 млрд долларов через 10 блокчейнов. Компания по анализу блокчейна TRM Labs с высокой степенью уверенности связала атаку с северокорейской хакерской группировкой TraderTraitor, которую ФБР ранее назвало виновной в краже 1,5 млрд долларов у Bybit в феврале 2025 года. В официальном заявлении от 30 октября Binance подтвердила, что отраслевые партнеры уже заморозили около 3 млрд долларов. Компания сотрудничает с правоохранительными органами, чтобы вернуть средства, и пообещала, что в конечном итоге все пользовательские средства будут публично подтверждены с помощью механизма Proof of Reserves (PoR — доказательство резервов).
20 минут, 10 блокчейнов: как была скомпрометирована система подписания транзакций горячими кошельками
Согласно оценке TRM Labs, начиная с 20:05 UTC 29 октября, в течение примерно 20 минут злоумышленники перевели средства стоимостью около 6,36 млрд долларов с адресов под контролем Binance на один адрес атакующего. Были затронуты 10 блокчейнов. Это крупнейшая за всю историю задокументированная кража криптовалюты: её масштаб превысил потери Bybit в размере 1,5 млрд долларов в феврале 2025 года и значительно превзошёл кражу 625 млн долларов в феврале 2022 года из Ronin — сайдчейна Axie Infinity.
В публикации на официальной странице в X Binance сообщила, что предварительное расследование «указывает на то, что инцидент безопасности мог быть связан со взломом ноутбука инженера DevOps». Злоумышленники воспользовались этим, чтобы получить доступ к сервисному контейнеру и отправить несанкционированные транзакции на вывод средств. Биржа также подчеркнула, что признаков утечки приватных ключей кошельков не обнаружено. Эта деталь указывает на уязвимость в контроле доступа к процессу подписания транзакций горячим кошельком, а не на сбой базовой системы хранения ключей: злоумышленники получили «право отправлять транзакции», но не «ключ для создания подписи».
Анализ TRM Labs позволяет составить более полную картину атаки: подготовка началась как минимум за 36 часов до неё. Сначала злоумышленники проверили код на двух кошельках и отрепетировали действия на третьем, а затем выждали около четырёх часов перед началом основной атаки. Первоначальное финансирование адреса атакующего прослеживается до пополнения через Tornado Cash утром накануне атаки. Эти следы указывают на тщательно отрепетированную скоординированную атаку на систему подписания транзакций горячих кошельков в нескольких блокчейнах, а не на случайный инцидент из-за ошибки одного сотрудника. Для бирж главный урок заключается не в том, «кто нажал на вредоносную ссылку», а в том, почему многоуровневое одобрение, лимиты на вывод средств и мониторинг подозрительной активности одновременно дали сбой.
За заморозкой 3 млрд долларов: «экстренный тормоз» эмитентов стейблкоинов
Из переведённых средств на сумму 6,36 млрд долларов около 3 млрд уже заморожены. Согласно снимку данных TRM Labs на 00:30 UTC 31 октября, примерно 2,7 млрд долларов заблокировали главным образом эмитенты стейблкоинов, в том числе Tether, Circle, Ripple и World Liberty Financial. Эмитенты могут замораживать стейблкоины на определённых адресах непосредственно в блокчейне — это своего рода «экстренный тормоз» на пути движения средств. Позже Binance обновила данные, сообщив, что объём замороженных средств составляет около 3 млрд долларов.
В заявлении Binance прямо говорится: «На данный момент заморожено 3 млрд долларов. Благодарим наших отраслевых партнёров. Мы сотрудничаем с партнёрами и правоохранительными органами, чтобы вернуть замороженные активы». Эта сумма пока не включена в резервный фонд Binance в размере 6,34 млрд долларов: биржа подчеркнула, что заявленная сумма «не включает замороженные или защищённые активы, которые всё ещё находятся в процессе возврата и проверки». Иными словами, если замороженные 3 млрд долларов удастся вернуть и возместить пользователям, фактически задействованные средства компании Binance могут оказаться значительно меньше 6,34 млрд долларов.
Оставшиеся примерно 2,4 млрд долларов по-прежнему находятся у злоумышленников в виде Ethereum (ETH) и Bitcoin (BTC). Среди них — более 420 000 ETH и 18 270 BTC. У этих двух активов нет эмитентов, которые могли бы их заморозить, поэтому вернуть их значительно сложнее, чем стейблкоины. Обычно для этого требуются отслеживание транзакций в блокчейне правоохранительными органами, содействие бирж и судебная конфискация. Этим также объясняется, почему Binance пришлось привлечь такие правоохранительные органы, как ФБР: стейблкоины можно заморозить через эмитента, а для перехвата нативных активов необходимы правоохранительные органы.
Северокорейский след: TraderTraitor и цепочка атрибуции атаки на Bybit
TRM Labs с высокой степенью уверенности связала эту атаку с TraderTraitor — хакерской группировкой, связанной с Северной Кореей. В феврале 2025 года ФБР публично заявило, что эта группировка причастна к краже 1,5 млрд долларов у Bybit. Если правоохранительные органы в итоге подтвердят эту атрибуцию, это будет второй год подряд, когда северокорейская хакерская группировка совершает кражу криптовалюты на сумму в миллиарды долларов. Это также будет означать, что методы атак на горячие кошельки централизованных бирж быстро совершенствуются.
Ончейн-исследователь ZachXBT указал на ещё одну возможную связь: украденные у Binance средства и средства из кражи 388 млн долларов у Bitget в сентябре оказались на одном адресе после перевода через кроссчейн-протокол THORChain. «Вероятно, за обоими инцидентами стоит один и тот же субъект». Смешивание средств между блокчейнами и объединение адресов — характерные методы отмывания денег северокорейскими хакерскими группировками. Их цель — замаскировать движение средств и затруднить отслеживание. THORChain, не требующий разрешения протокол кроссчейн-ликвидности, оказался в центре внимания: согласно сообщениям, после новостей о краже у Binance токен RUNE протокола THORChain в какой-то момент вырос на 13%.
Важно соблюдать осторожность: Binance официально пока не назвала ни одного предполагаемого злоумышленника, сообщив лишь, что сотрудничает с правоохранительными органами для установления виновных. Вывод TRM Labs об атрибуции — это оценка сторонней аналитической компании; окончательное подтверждение должно исходить от правоохранительных органов или быть закреплено судебными документами. Ошибочная атрибуция инцидентов в сфере криптобезопасности может повлечь дипломатические и юридические риски — поэтому биржи и регулирующие органы обычно не спешат с выводами.
Обязательство Binance возместить потери и проверка PoR
Столкнувшись с рекордными потерями, Binance решила полностью покрыть ущерб. Биржа объявила, что зарезервировала более 6,34 млрд долларов средств компании для покрытия потерь: активы на сумму 5 млрд долларов уже полностью соответствуют похищенным токенам, а недостающие примерно 1,34 млрд долларов биржа закупает на рынках и через внебиржевые каналы. Binance пояснила, что этот процесс занимает время, поскольку ликвидность некоторых токенов невысока, а расчёты по внебиржевым сделкам требуют времени. Биржа также заявила, что продолжит использовать средства компании для покрытия подтверждённого дефицита и будет публиковать обновлённые данные по мере восстановления, после дополнительной проверки.
Согласно данным рейтинга резервов, Binance занимает первое место среди криптовалютных бирж по объёму резервов: совокупные активы составляют 134 млрд долларов. Несмотря на это, единовременное использование 6,34 млрд долларов средств компании станет серьёзным испытанием. По данным DeFiLlama, в течение 24 часов после инцидента чистый отток средств с Binance составил около 6 млрд долларов, что отражает давление на вывод средств со стороны пользователей в экстремальной ситуации. Вывод средств в некоторых блокчейнах, например Solana и XRP, на раннем этапе инцидента ненадолго приостанавливался; вывод BTC оставался доступен, после чего биржа постепенно восстановила работу сервисов.
Binance пообещала в заявлении: «В конечном счёте все средства пользователей будут публично проверены с помощью подтверждения резервов». PoR станет ключевым критерием того, действительно ли биржа покрыла дефицит пользовательских активов, особенно до завершения проверки принадлежности замороженных 3 млрд долларов. Любые заявления о «безопасности средств» должны подкрепляться ончейн-доказательствами. Для отрасли настоящее испытание в этой ситуации — не способность Binance расплатиться с пользователями, а способность PoR обеспечить проверяемую прозрачность в экстремальных обстоятельствах.
Последствия для отрасли: архитектура горячих кошельков, кроссчейн-отслеживание и сотрудничество с регуляторами
Этот инцидент вновь выявил системные риски, связанные с управлением горячими кошельками централизованных бирж. Будь то уязвимость в системе контроля доступа из-за взлома ноутбука инженера DevOps или одновременный сбой системы подписания транзакций в нескольких блокчейнах — всё это показывает, что отказ защиты на одном участке может вызвать цепную реакцию в разных блокчейнах. Для бирж изоляция горячих и холодных кошельков, многоуровневое одобрение, лимиты на вывод средств и мониторинг подозрительной активности — уже не дополнительные меры, а необходимое условие выживания. Способность злоумышленников перевести средства через 10 блокчейнов за 20 минут также подчёркивает сложность управления рисками для бирж в эпоху мультичейна: тревога в одном блокчейне может не успеть предотвратить вывод средств из остальных девяти.
Эффективность взаимодействия с правоохранительными органами оказалась особенно важна в этом инциденте. В феврале 2022 года Министерство юстиции США сообщило, что правоохранительные органы, включая ФБР, помогли изъять 94 000 BTC стоимостью 3,6 млрд долларов на тот момент. Эти средства были связаны с кражей у биржи Bitfinex в 2016 году. Дело Bitfinex восьмилетней давности доказывает, что даже спустя годы после перевода средств правоохранительные органы могут вернуть значительную их часть благодаря отслеживанию транзакций в блокчейне и судебным мерам. Удастся ли Binance и ФБР повторить этот успех, зависит от хода проверки замороженных активов и эффективности международного судебного сотрудничества.
На рынке инцидент вызвал цепную реакцию. Помимо краткосрочного роста RUNE, после произошедшего на рынке биткоина ликвидировали позиции примерно на 1,6 млрд долларов. Эти колебания напоминают, что последствия инцидентов с безопасностью бирж никогда не ограничиваются самой пострадавшей платформой: они распространяются на всю криптоэкосистему через кроссчейн-протоколы, цепочки ликвидаций и изменение настроений участников рынка.
В дальнейшем стоит следить за результатами проверки принадлежности замороженных активов на сумму 3 млрд долларов, сроками и охватом публикации отчёта Binance PoR, официальным подтверждением личности злоумышленников правоохранительными органами, а также тем, опубликует ли биржа более подробный план модернизации системы подписания транзакций горячими кошельками. Для пользователей после серьёзного инцидента с безопасностью важнее следить за подтверждением резервов биржи и ходом возврата средств, чем за краткосрочными колебаниями цен.