Binance взломали и похитили 6,3 млрд долларов: кто стоит за атакой и что будет с деньгами пользователей

Крупнейшая в мире криптовалютная биржа Binance подверглась масштабной хакерской атаке, в результате которой злоумышленники вывели цифровые активы на сумму около 6,3 миллиарда долларов. Это может стать крупнейшей кражей криптовалюты за всю историю отрасли. Предположительно, за нападением стоят хакеры из Северной Кореи, которых ранее связывали с другими громкими кибератаками. Биржа временно остановила вывод средств, привлекла правоохранительные органы и пообещала компенсировать все потери за собственный счёт. При этом часть похищенных активов уже удалось заблокировать, а расследование обстоятельств взлома продолжается.

Инцидент произошёл вечером 29 октября 2026 года, когда системы мониторинга блокчейна зафиксировали необычно крупные переводы из криптокошельков Binance. По данным Reuters, основная часть средств была выведена примерно за 20 минут, хотя отдельные подозрительные операции продолжались и позднее. После появления первых сообщений о возможной краже руководство биржи подтвердило серьёзный инцидент безопасности и начало экстренное расследование. В официальном заявлении Binance от 30 октября предварительный масштаб ущерба оценили примерно в 6,3 миллиарда долларов. Компания также сообщила, что около половины затронутых активов удалось заморозить при содействии других участников криптовалютного рынка.

Как взломали Binance и что именно украли хакеры

По предварительной версии Binance, атака могла начаться с компрометации рабочего ноутбука DevOps-инженера — специалиста, занимающегося обслуживанием и автоматизацией программной инфраструктуры. Получив доступ к устройству, злоумышленники предположительно проникли во внутреннюю сервисную среду биржи и смогли отправлять несанкционированные заявки на вывод криптовалюты. При этом первоначальная версия оказалась неполной: в дальнейшем расследование выявило дополнительные точки проникновения. Как сообщает BleepingComputer, соруководитель Binance Ричард Тенг подчеркнул, что подобную атаку нельзя объяснить действиями одного сотрудника или использованием его обычных полномочий. Речь идёт о сложной многоэтапной операции, подробная техническая картина которой пока устанавливается.

Особенно важно, что Binance не обнаружила доказательств утечки закрытых ключей криптокошельков. Эти ключи позволяют распоряжаться криптовалютой и подписывать транзакции, поэтому их компрометация считается одним из наиболее опасных сценариев взлома. Однако в данном случае злоумышленники, судя по результатам предварительного анализа, могли использовать саму инфраструктуру биржи, отвечающую за подтверждение переводов. Проще говоря, им не обязательно было похищать ключи напрямую, если они получили возможность заставить внутреннюю систему подписывать операции в свою пользу. Как объясняет Reuters в подробном разборе атаки, такой способ позволяет обойти часть механизмов защиты, рассчитанных именно на предотвращение кражи ключей.

Под удар попали так называемые горячие кошельки Binance — хранилища криптовалюты, подключённые к интернету и используемые для проведения повседневных операций. В отличие от холодных кошельков, которые обычно изолированы от сети, горячие необходимы бирже для оперативного обслуживания переводов и вывода средств клиентов. Именно поэтому они становятся привлекательной целью для злоумышленников. Согласно расследованию Bitquery, с 20:04 до 23:56 по всемирному координированному времени 29 октября из 17 горячих кошельков Binance были отправлены активы общей стоимостью около 6,3 миллиарда долларов. Исследователи проследили цепочки переводов и установили, что операции затронули сразу несколько блокчейн-сетей.

Одной из особенностей нападения стало использование механизма Ethereum под названием EIP-7702, который позволяет обычному криптокошельку временно выполнять функции смарт-контракта при наличии соответствующей авторизации. По данным аналитической компании TRM Labs, атакующие заранее подготовили десятки разрешений, благодаря которым получили возможность управлять переводами из одного из горячих кошельков Binance. Аналитики обнаружили 50 предварительно подписанных авторизаций, использованных для выполнения операций. Однако это не означает, что сам механизм EIP-7702 был взломан или содержит подтверждённую уязвимость. Предполагаемая проблема заключалась в том, каким образом злоумышленники получили возможность использовать разрешения и инфраструктуру подписания транзакций биржи.

Масштаб похищения оказался огромным даже по меркам криптовалютной индустрии. Согласно подробному анализу TRM Labs, среди выведенных активов находились примерно 18 270 биткоинов, 200 630 ETH, крупные объёмы стейблкоинов USDT и USDC, а также XRP, SOL и другие токены. Только стоимость похищенных биткоинов на момент операции составляла около 1,47 миллиарда долларов. Кроме того, злоумышленники вывели примерно 823 миллиона USDC и значительные суммы USDT из сетей Ethereum и Tron. Итоговая оценка TRM Labs составила около 6,36 миллиарда долларов, тогда как Elliptic оценила ущерб примерно в 6,43 миллиарда. Разница объясняется особенностями определения затронутых транзакций и оценки стоимости активов, а окончательные цифры ещё могут уточняться.

При этом говорить, что хакеры взломали личные аккаунты всех клиентов Binance, неправильно. Основной подтверждённый инцидент касается инфраструктуры самой биржи и криптовалютных кошельков, используемых для обслуживания операций. Публичных доказательств массового взлома пользовательских учётных записей или утечки персональных данных в рамках этой атаки пока не представлено. Однако часть затронутых кошельков, как установили журналисты CoinDesk при изучении отчётности Binance, использовалась для обеспечения клиентских балансов. Поэтому вопрос восстановления резервов имеет непосредственное значение для пользователей, даже если их отображаемые суммы на счетах не изменились.

Кто стоит за взломом Binance и почему подозревают Северную Корею

Главными подозреваемыми стали хакеры из Северной Кореи, предположительно связанные с группировкой TraderTraitor. К такому выводу пришли специалисты TRM Labs и Chainalysis, занимающиеся отслеживанием криптовалютных транзакций и расследованием финансовых киберпреступлений. Как сообщает Associated Press, TRM Labs оценила свою уверенность в причастности северокорейской группировки как высокую. Аналитики обнаружили сходства между нынешней атакой и предыдущими операциями, в которых использовались заранее подготовленные адреса, получение полномочий для подписания транзакций и быстрое перемещение активов между несколькими блокчейнами. При этом подобные выводы остаются аналитической атрибуцией, а не окончательным юридическим установлением виновных.

TraderTraitor уже фигурировала в расследовании одного из крупнейших предыдущих взломов криптовалютных бирж. В феврале 2025 года злоумышленники похитили около 1,5 миллиарда долларов с платформы Bybit. Тогда Федеральное бюро расследований США официально возложило ответственность на северокорейских хакеров, использовав для обозначения их деятельности название TraderTraitor. По данным американских властей, похищенная криптовалюта распределялась между многочисленными адресами и конвертировалась в другие цифровые активы, чтобы затруднить отслеживание средств. Именно сходство отдельных элементов этой схемы с нападением на Binance стало одним из оснований для новых подозрений.

Дополнительные признаки возможной подготовки атаки обнаружили специалисты TRM Labs. По их данным, некоторые адреса, связанные с операцией, начали получать небольшие суммы через сервис Tornado Cash ещё 28 октября, примерно за полтора дня до массового вывода активов. Затем злоумышленники проверяли подготовленный код на отдельных кошельках, прежде чем перейти к основной операции. Это свидетельствует о том, что нападение могло готовиться заранее и не являлось случайным использованием обнаруженной в последний момент ошибки. Как отмечает специализированное издание The Record, для криптовалютной индустрии происшествие стало особенно тревожным из-за сочетания огромной суммы ущерба и предполагаемого доступа к внутренним механизмам подтверждения транзакций.

Вместе с тем сама Binance пока не назвала конкретных виновных. Представители биржи заявили, что продолжают работать с правоохранительными органами и специалистами по блокчейн-аналитике, чтобы установить личности злоумышленников и выяснить полный механизм нападения. Северная Корея традиционно отвергает обвинения в организации подобных кибератак, а её дипломатические представительства не предоставили оперативных комментариев по этому случаю журналистам Reuters. Поэтому утверждение, что взлом уже официально раскрыт и виновные установлены, было бы преждевременным. На данный момент северокорейское происхождение атаки остаётся основной версией ряда независимых исследовательских компаний.

Сколько денег удалось вернуть и что будет с клиентами Binance

После обнаружения подозрительных переводов Binance начала сотрудничать с эмитентами стейблкоинов и другими участниками криптовалютной инфраструктуры. Это позволило быстро заблокировать часть похищенных активов, которые ещё находились на определённых адресах. По данным Reuters, компания Tether заморозила около 1,57 миллиарда долларов в USDT, а Circle — более 800 миллионов долларов в USDC. В блокировании участвовали также Ripple, World Liberty Financial и другие организации. В результате общая сумма замороженных средств, по заявлению Binance, достигла примерно трёх миллиардов долларов.

Однако важно понимать, что замороженные деньги ещё не означают возвращённые деньги. Эмитенты некоторых криптовалют обладают технической возможностью блокировать определённые токены на конкретных адресах, из-за чего злоумышленники теряют возможность их свободно переводить или обменивать. Но для фактического возвращения активов пострадавшей стороне могут понадобиться дополнительные процедуры, взаимодействие с правоохранительными органами и решения уполномоченных структур. Как объясняет Reuters, биткоин и эфир отличаются от централизованных стейблкоинов: у них нет единого эмитента, который мог бы по своему решению заблокировать монеты на определённом адресе. Поэтому вернуть такие активы значительно сложнее, особенно если злоумышленники продолжают контролировать ключи от своих кошельков.

Часть похищенных средств хакеры успели обменять ещё до введения блокировок. Аналитики Bitquery установили, что около 729 миллионов долларов в USDT были конвертированы в другие активы до того, как соответствующие адреса удалось заморозить. Кроме того, злоумышленники использовали децентрализованные финансовые сервисы, позволяющие получать криптовалютные займы под залог токенов. Такие операции затрудняют возврат средств, поскольку создают дополнительные цепочки транзакций и вовлекают другие финансовые платформы. При этом движения криптовалюты остаются видимыми в публичных блокчейнах, что позволяет специалистам продолжать отслеживание подозрительных кошельков. Однако публичность транзакций сама по себе не гарантирует обнаружения реальных владельцев адресов и возвращения похищенного.

Для обычных пользователей Binance последствия пока проявляются прежде всего в ограничениях на проведение операций. Сразу после обнаружения инцидента биржа временно остановила ввод и вывод криптовалюты, чтобы провести проверки безопасности и исключить новые несанкционированные переводы. Позднее, согласно обновлению официального аккаунта Binance, пополнение счетов продолжило работать, тогда как вывод средств оставался приостановленным. Представители компании рассчитывают восстановить соответствующий сервис примерно в течение 45–48 часов, однако точное время зависит от завершения проверки. Следовательно, считать работу биржи полностью восстановленной по состоянию на 30 октября пока нельзя.

Руководство Binance неоднократно заявило, что клиенты не должны понести финансовых потерь из-за взлома. Компания намерена компенсировать ущерб за счёт специального страхового резерва SAFU и собственных средств. SAFU, или Secure Asset Fund for Users, представляет собой резервный фонд, созданный для защиты пользователей в чрезвычайных ситуациях, в том числе при серьёзных нарушениях безопасности. По информации Reuters, на момент атаки его объём составлял около одного миллиарда долларов в биткоинах. Это существенно меньше общей суммы похищенных активов, поэтому одного фонда недостаточно для покрытия всего ущерба без дополнительных ресурсов компании или возвращения части средств.

Вопрос достаточности резервов уже привлёк внимание аналитиков. Как выяснил CoinDesk, некоторые из затронутых кошельков фигурировали в опубликованных Binance данных о резервах, обеспечивающих обязательства перед пользователями. По оценке издания, если ориентироваться на состояние резервов на 1 октября, похищение части эфира могло временно создать разрыв между объёмом соответствующих активов биржи и обязательствами перед клиентами. Однако такая оценка не учитывает возможное последующее пополнение резервов и не доказывает, что пользователи уже потеряли свои средства. Binance пообещала опубликовать обновлённый отчёт Proof of Reserves после завершения восстановительных мероприятий, чтобы показать состояние обеспечения клиентских балансов.

Отдельный риск связан с мошенниками, которые могут воспользоваться новостями о масштабном взломе. После подобных инцидентов обычно появляются поддельные сообщения от службы поддержки, фальшивые сайты и предложения срочно перевести криптовалюту на якобы безопасный адрес. Как предупреждает TechCrunch со ссылкой на представителей Binance, пользователям не следует доверять неофициальным ссылкам, сообщениям и запросам личной информации. Проверять статус вывода средств необходимо непосредственно через приложение или официальный сайт биржи. Сообщения с предложением заплатить комиссию за восстановление доступа либо самостоятельно перевести деньги на неизвестный кошелёк следует рассматривать как потенциальное мошенничество.

Что теперь будет с Binance и криптовалютным рынком

Взлом уже вызвал заметную реакцию на криптовалютном рынке. После появления сообщений об атаке биткоин подешевел более чем на 3% и опускался примерно до 76,4 тысячи долларов, а эфир достиг минимальных значений за последние два месяца. Как отмечает The Guardian, снижение затронуло и акции компаний, работающих с цифровыми активами. В частности, ценные бумаги Coinbase потеряли около 4,8%, а акции Strategy снизились почти на 6% в ходе расширенных торгов. Однако связывать всё движение криптовалют исключительно со взломом Binance было бы неправильно: на рынок также влияют процентные ставки, состояние мировой экономики и спрос со стороны крупных инвесторов.

По предварительным оценкам, нынешнее происшествие стало крупнейшим зафиксированным хищением криптовалюты, значительно превзойдя взлом Bybit в феврале 2025 года. Как пишет Fortune, масштабы атаки заставили специалистов вновь обсуждать безопасность централизованных бирж и механизмов хранения клиентских средств. Особенное внимание теперь будет уделяться системам подтверждения операций, разделению полномочий сотрудников и защите инфраструктуры от проникновения через рабочие устройства. Даже при использовании защищённых криптографических ключей внутренние программные системы могут оказаться уязвимыми, если злоумышленники получат возможность управлять процедурами подписания транзакций.

В ближайшее время Binance предстоит решить сразу несколько задач. Компании необходимо полностью восстановить безопасную работу ввода и вывода средств, выяснить все обстоятельства проникновения, заблокировать дополнительные подозрительные адреса и продолжить поиск похищенных активов. Одновременно биржа должна подтвердить возможность выполнения обязательств перед пользователями и раскрыть результаты технического расследования. Как сообщает агентство AFP, представители компании уже признали, что нападение оказалось сложнее первоначальных предположений, поскольку специалисты выявили несколько точек компрометации инфраструктуры. Поэтому окончательные выводы о причинах взлома и размере безвозвратных потерь пока делать рано.

Главный вопрос для пользователей заключается в том, сможет ли Binance выполнить обещание о полном возмещении ущерба. На данный момент компания утверждает, что клиентские средства защищены, однако независимое подтверждение полного восстановления резервов ещё не опубликовано. При этом заморозка около трёх миллиардов долларов значительно ограничила возможности злоумышленников распорядиться частью похищенного, но не означает автоматического возврата этих денег. Ситуация остаётся развивающейся, а окончательный размер ущерба будет зависеть от результатов расследования и успешности дальнейших операций по возврату криптовалюты.

Таким образом, Binance действительно подверглась одной из крупнейших хакерских атак в истории цифровых активов. Злоумышленники получили возможность выводить криптовалюту из внутренних кошельков биржи, а предварительные данные связывают нападение с северокорейской группировкой TraderTraitor. Компания обещает компенсировать потери, восстановить работу сервисов и представить подробный отчёт о причинах произошедшего. Однако пока не установлены все участники атаки, не возвращены все похищенные средства и не опубликованы обновлённые данные о резервах, считать последствия инцидента полностью устранёнными нельзя.

Читайте также на LeaksMedia: «Диктатор Мбаппе»: что за мем с футболистом и почему из-за него разгорелся скандал в Китае