Вечером 29 октября 2026 года, примерно в 20:05 UTC, собственные системы подписания Binance одобрили переводы на сумму около 6,3 миллиарда долларов из её горячих кошельков в десяти блокчейнах. Большая часть средств была выведена примерно за 20 минут. Это в четыре раза превышает предыдущий рекорд, установленный Bybit в феврале 2025 года, и, по данным Elliptic, почти наверняка является крупнейшей кражей любого рода за всю историю.
Binance приостановила вывод средств, заявила, что средства пользователей в безопасности, и выделила 6,34 миллиарда долларов из ресурсов компании для покрытия убытков. TRM Labs и Chainalysis с высокой степенью уверенности связывают атаку с TraderTraitor — северокорейской группировкой, связанной с Lazarus. Ни одно правительство пока не подтвердило эту атрибуцию.
Что произошло — простыми словами
Горячий кошелёк — это онлайн-кошелёк, который биржа использует для обработки выводов средств. Злоумышленник опустошил горячие кошельки Binance в сетях Ethereum, Bitcoin, Tron, XRP Ledger, Solana и других. Binance заявляет, что не обнаружила признаков утечки приватных ключей. Злоумышленник заставил собственную систему подписания Binance — механизм, одобряющий каждую выплату, — подписать переводы.
В сети Ethereum злоумышленник использовал EIP-7702 (обновление мая 2025 года) и 50 заранее подписанных разрешений, чтобы превратить горячий кошелёк в кошелёк-сборщик, контролируемый злоумышленником. В других сетях переводы представляли собой обычные подписанные транзакции. Всё указывает на компрометацию инфраструктуры подписания, а не на классическую кражу приватных ключей.
Первоначальное расследование Binance указывало на ноутбук инженера DevOps, который был скомпрометирован и через который получили доступ к контейнеру службы. Позже компания заявила о «дополнительных точках проникновения» и более сложной атаке. Полный технический разбор инцидента пока не опубликован.
Приблизительные потери по блокчейнам (TRM Labs, стоимость на момент кражи)
По данным TRM Labs (стоимость на момент каждого перевода): Ethereum — около $3,79 млрд (200 630 ETH и токены, включая крупные объёмы USDT и USDC), Bitcoin — 18 270 BTC (около $1,47 млрд), Tron — около $628 млн, XRP Ledger — около $296 млн, Solana — около $96 млн, остальное — в других сетях. Всего — около $6,36 млрд. По оценке Elliptic, сумма составляет $6,43 млрд.
Кнопка заморозки и её ограничения
У замораживаемой монеты есть эмитент, который может заблокировать кошелёк (Tether для USDT, Circle для USDC). У незамораживаемой монеты, такой как нативные bitcoin или ether, такой возможности нет.
По данным TRM, Tether, Circle, Ripple, World Liberty Financial и Совет безопасности Arbitrum заморозили или изъяли около $2,7 млрд в течение нескольких часов. Binance говорит примерно о $3 млрд замороженных средств. Почти всё, что удалось остановить, относилось к активам с эмитентом. Ни один украденный bitcoin таким образом остановить не удалось.
Приблизительная доля замороженных и оставшихся украденных средств
Злоумышленник пытался опередить заморозку: продал сотни миллионов USDT за ETH и TRX, а также внес USDT в Aave, чтобы занять ETH. Заморозка не означает возврат средств. Для их возврата требуется отдельная юридическая процедура.
Криптография ключей не подвела. Сбой произошёл в операционной среде вокруг них. Кнопка заморозки, которая не нравится многим пуристам, за несколько часов остановила почти половину добычи.
Сможет ли Binance покрыть убытки?
Да, согласно заявлению компании. Она зарезервировала более $6,34 млрд собственных средств. Около $5 млрд уже хранилось в тех же токенах, которых коснулся инцидент; остальное закупается на открытом рынке и внебиржевом рынке (OTC). Кроме того, у компании есть SAFU (Фонд безопасных активов для пользователей), объём которого исторически составлял около $1 млрд в BTC.
Соруководитель компании И Хэ заявила, что затронутая сумма составляла примерно 2% активов пользователей и публичных резервов. Согласно данным сайта Binance и опубликованному 1 октября подтверждению резервов, активы клиентов составляли около $129,4 млрд, а коэффициенты резервирования по основным активам были не ниже 100%.
Вывод средств был приостановлен; планировалось возобновить его к воскресенью, 1 ноября, а обновлённое подтверждение резервов обещали опубликовать в понедельник. Ввод средств оставался доступен. Компания настаивает, что средства пользователей в безопасности и что она покроет все убытки.
Что укрепляет или ослабляет безопасность биржи
Доверие поддерживает сочетание трёх уровней: надёжный операционный контроль над ключами, способность быстро реагировать (заморозка, страхование, резервы) и прозрачность (частые проверки резервов с аудитом). В данном случае операционный уровень дал сбой, но уровень реагирования сработал лучше, чем ожидали многие.
Доверие подрывают зависимость от горячих кошельков с крупными остатками, сложность систем подписания транзакций в нескольких сетях и риск компрометации ноутбуков или учётных записей с привилегированным доступом. У государственных структур (которые, как предполагается, стояли за этой атакой) больше ресурсов и терпения, чем у большинства обычных преступных групп. То, что приватные ключи не утекли, — позитивный факт, но он также показывает, что слабое место переместилось в инфраструктуру и человеческий фактор.
За чем следить в ближайшие дни
Опубликует ли Binance подробный технический разбор инцидента и обновлённое подтверждение резервов, подтверждающее покрытие в соотношении 1:1.
Какая часть замороженной суммы действительно будет возвращена и в какие сроки.
Начнут ли перемещаться примерно $2,4–3,2 млрд, остающиеся под контролем злоумышленника (главным образом BTC и ETH), в сторону мостов, внебиржевых площадок или миксеров.
Объявят ли другие биржи или кастодианы о проверке своих систем подписания и горячих кошельков.
Появится ли официальное подтверждение атрибуции атаки группе TraderTraitor (со стороны ФБР или других органов).
Что спросить на этой неделе у своей биржи, эмитента стейблкоина и совета директоров
Каков максимальный остаток средств в горячих кошельках и как он распределён?
Какие средства контроля окружают систему подписания? Есть ли лимиты на отдельные транзакции, согласование несколькими лицами в реальном времени или обнаружение аномалий?
Когда в последний раз проводилось тестирование на проникновение или учения red team для процесса вывода средств?
Какую долю активов можно заморозить и с какими эмитентами у вас заключены соглашения о быстром реагировании?
Как часто вы публикуете подтверждение резервов и какой внешний аудитор его проверяет?
Покрывает ли страховой фонд (SAFU или аналогичный) событие такого масштаба и сформирован ли он в тех же активах?
Пользователям: диверсификация между биржами, хранение крупных сумм на самостоятельном хранении и предпочтение активов с хорошей ликвидностью на нескольких площадках снижают риск единой точки отказа.
Заключение
Крупнейшая кража криптовалюты в истории произошла не из-за сбоя криптографии. Подвела человеческая и операционная система, обеспечивающая работу с ключами. В то же время этот случай показал, что возможность эмитентов стейблкоинов замораживать средства способна существенно и быстро ограничить ущерб. Binance заявляет, что возместит всё за счёт собственных средств и что пользователи не понесут убытков. Рынок и регуляторы будут следить за тем, соответствуют ли реальные действия и прозрачность этим заявлениям.
Этот инцидент ставит перед всей отраслью практический вопрос: насколько ваши риски зависят от безупречного контроля биржи над системой подписания и насколько — от способности эмитента нажать кнопку паузы?
Если вы хотите регулярно получать подобную аналитику, подпишитесь здесь: https://cryptopress.substack.com/subscribe
Публикация «Взлом Binance на $6,3 млрд: ключи уцелели, система подписания дала сбой, кнопка заморозки спасла почти половину средств» впервые появилась на Cryptopress.