Индустрия криптовалют годами создавала новую финансовую систему, привлекала миллионы пользователей и разрабатывала технологии, позволяющие людям переводить деньги, не полагаясь полностью на традиционные банки. Но каждый крупный инцидент с безопасностью вновь поднимает неудобный вопрос: насколько люди должны доверять компаниям, управляющим этими системами?
Недавняя утечка данных в системе безопасности Binance вновь привлекла внимание к этому вопросу. По данным биржи и исследователей блокчейна, 29 октября 2026 года злоумышленники похитили из кошельков, связанных с Binance, криптовалюту на сумму около 6,3 миллиарда долларов. Кража произошла в нескольких блокчейн-сетях, причём большая часть средств была переведена примерно за 20 минут. Это одна из крупнейших краж криптовалюты за всю историю. Reuters сообщило, что злоумышленники воспользовались уязвимостями в системах, которые Binance использует для подтверждения транзакций, а расследование биржи показало, что инцидент оказался сложнее, чем считалось поначалу.
Важность этого инцидента определяется не только суммой похищенных средств. Важно и то, как, судя по всему, произошла атака, какие вопросы она поднимает о безопасности криптовалютных бирж и чем восстановление балансов клиентов отличается от возврата первоначально похищенных активов.
Чтобы увидеть полную картину, полезно разобраться, зачем была создана Binance, как работают криптовалютные биржи, что удалось выяснить следователям и что этот инцидент может означать для будущего цифровых финансов.
Binance была основана в 2017 году, когда криптовалюты становились доступнее для обычных инвесторов. Bitcoin предложил идею цифровых денег, способных работать без традиционного банка, а Ethereum развил её, позволив разработчикам создавать финансовые приложения на блокчейне.
Однако напрямую покупать и продавать криптовалюту было не всегда просто. Людям нужен был удобный способ обменивать обычные деньги на цифровые активы, торговать разными криптовалютами и управлять своими средствами, не разбираясь во всех технических деталях.
Это создало возможность для криптовалютных бирж.
Binance создавалась, чтобы сделать торговлю криптовалютой проще и доступнее. Вместо того чтобы искать человека для прямой сделки, пользователи могли выставлять ордера на платформе и покупать или продавать цифровые активы в одном месте. Со временем Binance превратилась в гораздо более крупный бизнес, предлагающий переводы криптовалюты, услуги кошельков, финансовые продукты и инфраструктуру для блокчейн-транзакций.
Рост компании отражал более масштабные изменения в отрасли. Криптовалюты перестали быть уделом только технически подкованных пользователей. Они становились финансовым рынком, которым пользовались люди, желавшие получить удобный доступ к цифровым активам.
Но удобство сопряжено с важной ответственностью. Когда люди начали хранить крупные суммы криптовалюты на биржах, они стали полагаться на эти компании в вопросах защиты своих денег.
Именно здесь начинается проблема безопасности.
Криптовалютная биржа — это не просто сайт, где люди покупают и продают цифровые активы. За интерфейсом стоят системы, которые управляют балансами клиентов, обрабатывают вывод средств, одобряют транзакции и защищают кошельки с криптовалютой. Эти системы должны работать достаточно быстро, чтобы поддерживать миллионы транзакций, и при этом быть достаточно защищёнными от несанкционированного доступа.
Это непросто, поскольку криптовалютные транзакции работают не так, как традиционные банковские платежи.
Если банковский перевод оказывается мошенническим, могут существовать процедуры для расследования платежа и попытки его отменить. С криптовалютными транзакциями всё иначе. После подтверждения транзакции в блокчейне отменить её может быть чрезвычайно трудно. Если злоумышленник отправляет похищенную криптовалюту в контролируемый им кошелёк, может не найтись центрального органа, который просто вернёт средства.
Поэтому биржам необходимо уделять особое внимание предотвращению несанкционированных транзакций до того, как они произойдут. Им нужно защищать учётные записи клиентов, устройства сотрудников, внутреннее программное обеспечение и системы, отвечающие за одобрение вывода средств.
У компании может быть надёжная защита учётных записей клиентов, но при этом уязвимые внутренние системы. Кошелёк может быть технически защищён, но процесс авторизации транзакций уже может быть скомпрометирован.
Это различие стало ключевым в инциденте с Binance.
Согласно первоначальному объяснению Binance, атака была связана со взломом ноутбука инженера DevOps. Инженеры DevOps помогают поддерживать системы, благодаря которым работают онлайн-сервисы. В их обязанности могут входить управление инфраструктурой, обслуживание программного обеспечения и обеспечение взаимодействия разных частей технологической системы компании.
В силу своих обязанностей сотрудники на таких должностях могут иметь доступ к важным для работы компании системам. Если злоумышленник взломает устройство такого сотрудника, это потенциально может открыть возможности, недоступные через обычную учётную запись клиента.
Однако позднее Binance сообщила, что следователи обнаружили дополнительные точки компрометации. Это указывало на то, что инцидент был сложнее, чем компания предполагала изначально.
В более позднем комментарии со-генеральный директор Binance Ричард Тенг описал инцидент как сложную атаку, связанную со взломом ноутбука и вредоносным программным обеспечением, предназначенным для уничтожения улик. Компания также сообщила, что следователи изучают, как злоумышленникам удалось обойти стандартные процедуры одобрения.
Важно понимать, что взлом ноутбука был первоначальным объяснением, но не обязательно полным ответом на вопрос о том, как произошла атака.
В ходе расследования необходимо установить, как злоумышленник получил доступ, какие системы были затронуты, как манипулировали одобрением транзакций и почему существующие меры защиты не остановили эту деятельность. Обнаружение одного взломанного устройства само по себе не даёт ответов на эти вопросы.
Именно поэтому не следует сводить этот инцидент к тому, что кто-то просто украл пароль сотрудника.
Похоже, злоумышленники атаковали системы, которые Binance использует для авторизации криптовалютных транзакций. Специалисты по анализу блокчейна сообщили, что злоумышленники получили действительные разрешения на транзакции от кошельков, контролируемых Binance, что позволило им перемещать средства с помощью транзакций, которые сам блокчейн принял как легитимные.
Проще говоря, представьте себе банковское хранилище с надёжной дверью. Оно может быть достаточно прочным, чтобы выдержать попытки взломать его напрямую. Но если кому-то удастся скомпрометировать систему, которая одобряет снятие денег, хранилище всё равно может выдать деньги не тому человеку.
В этом и состоит разница между кражей ключа и манипулированием системой, которая решает, когда этот ключ следует использовать.
Расследование в отношении Binance заставило задуматься о втором варианте.
Один из самых интересных аспектов инцидента связан с функцией EIP-7702 в Ethereum, которая при определённых условиях позволяет обычным криптовалютным кошелькам работать с использованием кода смарт-контрактов.
Чтобы понять, почему это важно, нужно разобраться, как работает обычный кошелёк Ethereum.
Традиционный кошелёк обычно контролируется закрытым ключом. Он позволяет владельцу одобрять транзакции, а блокчейн проверяет, были ли они должным образом авторизованы.
Такая схема сравнительно проста, но у неё есть и ограничения. Обычные кошельки не могут без труда выполнять некоторые сложные задачи: например, автоматически управлять платежами, соблюдать правила расходования средств или позволять другому приложению обрабатывать отдельные этапы транзакции.
Кошельки на основе смарт-контрактов могут быть гибче, поскольку способны выполнять правила, заложенные в программное обеспечение.
EIP-7702 появилась, чтобы обычные кошельки могли пользоваться некоторыми из этих возможностей без необходимости полностью заменять уже существующие кошельки.
Эта функция стала доступна после обновления Ethereum Pectra в мае 2025 года. Она позволяет обычному кошельку временно работать с использованием кода смарт-контракта. Благодаря этому можно объединять платежи, упрощать некоторые операции с кошельком и добавлять более продвинутые функции для транзакций.
Цель EIP-7702 — сделать криптовалютные кошельки гибче и удобнее в использовании.
Но большая гибкость влечёт за собой и дополнительную ответственность.
Когда кошелёк одобряет предоставление широких полномочий, пользователи и системы безопасности должны точно понимать, что именно эти полномочия позволяют делать. Если злоумышленник может манипулировать процессом одобрения, функция, призванная сделать кошельки удобнее, потенциально может стать частью атаки.
Согласно анализу записей блокчейна, проведённому CoinDesk, злоумышленник использовал EIP-7702, чтобы кошелёк Binance работал с применением вредоносного кода. Злоумышленник получил действительные разрешения от кошелька, благодаря чему код можно было использовать без обычного процесса одобрения, которого ожидала Binance.
Затем злоумышленник использовал вредоносный код, чтобы вывести криптовалюту из затронутого кошелька.
Это не был случай, когда блокчейн Ethereum просто проигнорировал собственные правила. Транзакции были приняты, поскольку соответствующие полномочия были авторизованы. Проблема заключалась в том, что эти полномочия, по всей видимости, были получены или использованы так, что системы безопасности Binance не смогли должным образом этому помешать.
Точный способ, которым злоумышленник получил эти разрешения, остаётся одним из главных вопросов расследования.
Именно поэтому инцидент вызвал непростые вопросы о том, как следует проверять широкие полномочия кошелька до их одобрения.
Сама функция была создана, чтобы сделать кошельки гибче. Вопрос в том, были ли системы, отвечавшие за одобрение таких полномочий, достаточно хорошо защищены.
Важно также понимать, что EIP-7702 была лишь частью более масштабного инцидента. Согласно сообщениям, кража затронула несколько блокчейн-сетей, и не во всех пострадавших транзакциях использовалась функция делегирования учётных записей Ethereum.
Общей проблемой, по всей видимости, стала возможность авторизовать транзакции с кошельков, контролируемых Binance.
Это значит, что более широкую проблему безопасности нельзя решить, просто отказавшись от одной функции Ethereum. Отрасли необходимо понять, как злоумышленники получили доступ к системам одобрения транзакций и как предотвратить подобные уязвимости в разных блокчейнах.
Масштаб кражи делает этот вопрос особенно важным.
По данным Reuters, из кошельков Binance, использовавшихся для обработки транзакций, было похищено криптовалюты примерно на 6,3 миллиарда долларов. Согласно записям блокчейна, большая часть кражи произошла примерно за 20 минут.
Скорость атаки показывает, как быстро скомпрометированная система может нанести серьёзный ущерб, если у неё есть доступ к большим объёмам криптовалюты.
У традиционного финансового учреждения может быть несколько возможностей расследовать подозрительные транзакции до их завершения. Криптовалютные транзакции могут проходить гораздо быстрее, особенно если злоумышленник получил действительную авторизацию.
Когда средства начинают перемещаться между разными блокчейн-сетями, следователям и специалистам по безопасности приходится действовать быстро: выявлять транзакции и определять, можно ли заморозить или вернуть какие-либо активы.
Это подводит нас к ещё одной важной части инцидента: что произошло с похищенной криптовалютой после того, как она покинула Binance.
Криптовалютные транзакции записываются в публичные блокчейны, поэтому следователи часто могут отслеживать перемещение средств из одного кошелька в другой. Это не позволяет автоматически установить личность владельца кошелька, но может дать важную информацию о том, как перемещаются похищенные активы.
Некоторые криптовалютные активы также обладают функциями, позволяющими их эмитентам замораживать их.
Например, некоторые крупные стейблкоины могут быть заморожены компаниями, которые их выпускают. Стейблкоины — это цифровые активы, призванные сохранять относительно стабильную стоимость; часто их привязывают к традиционной валюте, например к доллару США.
Это может дать следователям возможность принять меры.
Если обнаружить похищенные стейблкоины до того, как злоумышленник успеет вывести их из-под контроля эмитента, тот может заморозить эти активы и не допустить их перевода.
Reuters сообщило, что эмитенты стейблкоинов, включая Tether, Circle и другие компании, заморозили значительную часть похищенных активов. Точная сумма, которую удастся вернуть, зависит от того, какие именно активы были похищены, и от результатов расследования.
Однако заморозка криптовалюты — не то же самое, что её возврат Binance.
Замороженный актив может стать недоступен злоумышленнику, но для его возврата всё равно необходимо пройти соответствующую процедуру. Другие криптовалюты, например Bitcoin и Ether, как правило, нельзя заморозить таким же способом через централизованного эмитента.
Это значит, что некоторые похищенные активы ограничить в использовании проще, чем другие.
Расследование также связали с группировкой TraderTraitor, спонсируемой государством Северная Корея.
Reuters сообщило, что специалисты по анализу блокчейна обнаружили сходство между инцидентом с Binance и предыдущими атаками, связанными с северокорейскими хакерами. Согласно сообщениям о ходе расследования, ФБР также приписало этот инцидент данной группировке.
Связанные с Северной Кореей группировки и раньше причастны к крупным кражам криптовалюты. Криптовалюта может привлекать злоумышленников, поскольку её можно перемещать между странами, а после перевода вернуть её бывает трудно.
Однако выявление предполагаемого злоумышленника — лишь одна часть расследования.
Установление причастности помогает следователям понять, кто может нести ответственность, но не объясняет автоматически все технические детали взлома. Для завершения расследования всё ещё необходимо выяснить, как злоумышленники получили доступ, какие системы были затронуты и как перемещались похищенные активы.
Эти детали важны, поскольку помогают другим компаниям понять, подвержены ли они аналогичным уязвимостям.
Без чёткого технического объяснения отрасль рискует считать каждую крупную атаку отдельным случаем, вместо того чтобы извлекать уроки из лежащих в её основе проблем.
Реакция Binance на инцидент — ещё одна важная часть этой истории.
Биржа заявила, что покроет убытки, а не заставит клиентов нести потери. Reuters сообщило 31 октября, что Binance выделила средства для замещения примерно 90% похищенных активов.
1 ноября Binance сообщила, что покрыла или вернула примерно 95% затронутой суммы и планирует поэтапно возобновить вывод средств. Компания объяснила оставшийся дефицит низколиквидными активами, которые может потребоваться дольше собирать в нужном объёме.
Эти события важны для клиентов, но цифры следует трактовать осторожно.
Замещение похищенных активов — не то же самое, что их возврат у злоумышленника.
Если биржа использует собственные средства для восстановления балансов клиентов, она может выполнить свои обязательства, даже если злоумышленник всё ещё контролирует часть похищенных средств.
Это означает, что восстановление средств клиентов и возврат активов — разные вещи.
Восстановление средств клиентов означает, что биржа может вернуть затронутые балансы и предоставить пользователям доступ к их активам. Возврат активов означает, что исходную криптовалюту удаётся отобрать у злоумышленника или иным образом вернуть.
Эти понятия связаны, но не означают одно и то же.
Для клиентов первостепенно важно, защищены ли их балансы и могут ли они получить доступ к своим счетам. Бирже необходимо покрыть убытки, восстановить нормальную работу и показать, что она серьёзно отнеслась к произошедшему.
Следователи по-прежнему сосредоточены на том, чтобы понять, как произошла атака и что удастся вернуть.
Это различие особенно важно, поскольку криптовалютные биржи часто хранят крупные суммы активов от имени своих клиентов.
Способность компании восстановить балансы клиентов — важная часть её реакции на инцидент с безопасностью. Но это не отменяет необходимости дать полное техническое объяснение взлома.
Инцидент с Binance также напоминает о крахе FTX в 2022 году.
Обстоятельства были разными, и эти два инцидента не следует считать одинаковыми.
FTX стала символом серьёзных нарушений в обращении со средствами клиентов. Инцидент с Binance, напротив, расследуется как крупный взлом системы безопасности.
Но обе ситуации подчёркивают важную проблему криптовалютной отрасли.
Люди часто доверяют компании, потому что она известна, популярна или кажется успешной. Такое доверие может быть опасным, если пользователи не до конца понимают, как компания работает за кулисами.
Известное имя само по себе не гарантирует защиту активов клиентов. Большое число пользователей не означает, что внутренние механизмы контроля достаточно надёжны. А финансовый успех компании не исключает возможности операционного сбоя.
Это не означает, что все биржи небезопасны или что пользователям следует заранее ожидать худшего.
Это означает, что доверие должно подкрепляться доказательствами.
Компании должны объяснять, как они защищают активы клиентов, реагируют на инциденты безопасности и какие меры принимают, чтобы снизить последствия сбоев.
Когда что-то идёт не так, прозрачность становится ещё важнее.
Главный урок инцидента с Binance заключается в том, что безопасность нельзя считать разовым проектом.
Компаниям необходимо постоянно проверять свои системы, ограничивать ненужные полномочия, отслеживать необычную активность и проверять, как их средства защиты работают при сбоях.
Им также нужно продумывать, что произойдёт, если одна из мер безопасности не сработает.
Если взлом одного устройства или получение одного одобрения может привести к выводу с платформы миллиардов долларов, возникает серьёзный вопрос: было ли предусмотрено достаточно независимых уровней защиты.
Безопасность не должна зависеть от того, сможет ли один сотрудник каждый раз принять правильное решение.
Компаниям необходимо создавать многоуровневую защиту, чтобы одна ошибка или одна скомпрометированная система не приводили автоматически к крупным потерям.
Это включает защиту устройств сотрудников, строгий контроль доступа к важным системам, проверку необычных одобрений транзакций и надлежащий контроль крупных переводов.
Отрасли также необходимо честнее говорить о разнице между техническими инновациями и практической безопасностью.
Новые функции кошельков, более быстрые транзакции и гибкие финансовые приложения могут сделать криптовалюту полезнее.
Но каждую новую возможность необходимо оценивать и с точки зрения рисков, которые она создаёт.
Вопрос не должен сводиться лишь к тому, работает ли функция.
Также важно, можно ли безопасно её использовать, понимают ли пользователи, что именно они одобряют, и способна ли система обнаруживать злоупотребления и реагировать на них.
Инцидент с Binance напоминает, что безопасность криптовалют — это гораздо больше, чем защита закрытых ключей или создание надёжного блокчейна.
Компаниям необходимо защищать весь процесс управления активами, их одобрения и перевода.
Сообщения об атаке, расследование дополнительных точек компрометации и вопросы вокруг функции EIP-7702 в Ethereum — всё это показывает, насколько сложной стала эта задача.
Сообщаемые усилия Binance по замещению затронутых активов важны для клиентов. Но финансовое возмещение и техническая ответственность — разные задачи.
Пользователям необходимо знать, защищены ли их балансы. Следователям нужно понять, как злоумышленники получили доступ. А отрасли необходимо