Шесть миллиардов без возможности отследить отправителя. Когда сейф опустевает, первый вопрос всегда: "Сколько?". Второй, гораздо более неудобный, вопрос: "Кому?". С момента взлома Binance в четверг вечером, все подсчитывают убытки. Почти никто не задается вопросом, кому принадлежали эти деньги. Клиентам, платформе, Tether или, возможно, Пхеньяну?

Ответ скрыт в контракте. Мы изучили его, вместе с доказательствами резервов, кодом стейблкоинов и несколькими интересными решениями судов. Вот кто владеет чем, и, что самое главное, кто заплатит.

Основные моменты этой статьи:

• Адреса, с которых были украдены средства, входили в резервы, предназначенные для покрытия обязательств перед клиентами. После атаки покрытие составляло всего 94%.
• С января контракт Binance хранит активы клиентов в трасте, в отличие от Celsius.
• Стейблкоины, которые были заблокированы, по-прежнему принадлежат жертвам. Однако для их возврата потребуются месяцы судебных разбирательств.
• Примерно 2,4 миллиарда долларов в BTC и ETH остаются недоступными, находясь в руках северокорейских хакеров.

Четверг вечером, 21:24: взлом, совершенный в одной транзакции.

Все началось в среду, незаметно. Анонимный кошелек трижды вывел по 0,1 ETH из Tornado Cash, популярного сервиса для анонимизации транзакций. Несколько сотен долларов, не больше. В четверг около 17:00 этот же кошелек развернул смарт-контракт.

К тому времени Binance 14 уже был скомпрометирован. Благодаря EIP-7702, функции Ethereum, позволяющей адресу передать управление своим транзакциям программе, горячий кошелек теперь подчинялся контракту хакера. Как нападающему удалось получить необходимую подпись, остается неясным.

В 21:16 первые подозрительные переводы начали поступать из сетей Base и Optimism. Через четыре минуты 18 270 BTC покинули горячий кошелек биткоинов Binance. Затем, в 21:24, одна транзакция опустошила Binance 14, выведя сразу 64 токена. Общая сумма: 2,54 миллиарда долларов.

Хакер немедленно начал обменивать USDT на ETH на платформах Uniswap и 1inch. В 22:14 Tether и Circle впервые заблокировали средства. Ирония судьбы: вечером на Binance 14 все еще поступило 200,4 миллиона USDT. Контракт хакера немедленно поглотил их, а Tether заблокировал их по прибытии. Эта хронология, восстановленная компаниями Octav и Arkham Intelligence, занимает всего полтора часа.

Взлом Binance: девять блокчейнов опустошены за одну ночь.

Приступаем к инвентаризации, и результаты ошеломляют. Отслеживающие системы Octav и Arkham Intelligence зафиксировали 5,98 миллиарда долларов, выведенных из горячих кошельков Binance. За одну ночь пострадало девять блокчейнов.

Ethereum открыла список с 3,78 миллиарда долларов, из которых 2,54 миллиарда принадлежали Binance 14. Bitcoin следует за ней с 1,44 миллиарда, разделенным на пакеты по 1000 BTC и распределенным по двадцати новым адресам. Tron, Solana и Arbitrum значительно отстают, с 32 до 628 миллионов долларов соответственно.

В составе активов, похищенных хакером, нет ничего необычного, поскольку эти кошельки использовались для ежедневных операций по выводу средств. В пятницу днем хакер владел преимущественно 1,76 миллиарда USDT и 825 миллионов USDC. За ними следуют 1,4 миллиарда в биткоинах, 1,18 миллиарда в эфире и другие токены.

Ловушка, установленная на Binance 14, продолжала работать и после взлома. Вторая операция позволила похитить около сотни небольших токенов, от ARKM до CHZ, на общую сумму около 38 миллионов долларов.

Были ли украдены криптовалюты, находящиеся в стейкинге?

В основном, нет. "Горячие" кошельки позволяют проводить выводы средств за считанные секунды, в то время как эфиры, находящиеся в стейкинге через Binance, хранятся в "валидаторах" Ethereum. Для их изъятия необходимо пройти очередь на вывод. Ни одна украденная подпись не могла вывести их за двадцать минут.

Тем не менее, часть активов, находящихся в стейкинге, оказалась в добыче. Когда клиент размещает свои ETH в стейкинге на Binance, он получает wBETH, токен, представляющий его эфир, находящийся в стейкинге. Хакер похитил 29 934 wBETH, что составляет примерно 74 миллиона долларов. Это оказалось неудачной попыткой, поскольку Binance самостоятельно выпускает этот токен и заблокировала его. Таким образом, хакер получил заблокированный "квитанцию". Эфиры, находящиеся в стейкинге, остались в валидаторах Binance.

Клиенты Binance: владельцы по документам, но возмещение по обещанию

Вернемся к началу. Binance 14 потеряла 167 464 ETH в 21:24 в четверг. При этом этот адрес четко указан в файле доказательства резервов от 1 октября, как сообщило CoinDesk. Этот файл содержит список кошельков, которые должны обеспечивать остатки средств клиентов. Таким образом, Binance использовала эти эфиры для обеспечения своих обязательств перед клиентами, а не для пополнения собственной кассы.

Выдержка из файла PR01OCT26_HotCold.csv, опубликованного Binance вместе с доказательством резервов от 1 октября 2026 года: украденный адрес 0x28c6…1d60 указан среди резервов клиентов. Источник: Binance.

В файле содержится 1395 строк. Адрес 0x28c6…1d60 упоминается 37 раз, по одному разу для каждого актива, от 1INCH до USDT. Таким образом, Binance сама относила этот адрес к резервам своих клиентов.

Три эфира в качестве "подушки безопасности" перед взломом

В тот же день платформа заявляла о наличии 3 799 136 ETH, предназначенных для клиентов. На ее адресах находилось 3 799 139 ETH. Таким образом, "подушка безопасности" составляла всего три эфира, что практически ничего не значит. Хакер вынес около 200 000 ETH с Binance 14 и Binance 16. По данным CoinDesk, покрытие эфиром снизилось с 100% до примерно 94%.

Отчет Binance о подтверждении резервов на 1 октября 2026 года: 3 799 136 ETH, принадлежащих клиентам, при наличии 3 799 139 ETH, что составляет 100,00 %. Источник: Binance.

Биткойн следует той же тенденции. В отчете указано, что компания владеет 691 004 BTC, а клиентам полагается 688 573 BTC, то есть разница в 2 431 BTC. 18 270 BTC, украденные в четверг, аннулируют этот переизбыток более чем в семь раз. На основе данных на 1 октября, соотношение упадет примерно до 97,7 %.

Эти остатки также касаются французских пользователей. С 1 июля Binance больше не позволяет им покупать или вносить средства. Те, кто оставил криптовалюту на платформе, все же могут найти ее в этих резервах, но только в режиме вывода средств. Мы вернемся к этому позже.

Binance 14 был "горячим" кошельком, кассовым аппаратом платформы, ключ к которому постоянно подключен к интернету для обработки депозитов и снятий средств. В это пятничное утро Blockscout показывает на нем всего 0,8 ETH.

Адрес 0x28C6…1d60, помеченный как "Binance: Hot Wallet", содержит всего 0,8 ETH на утро 30 октября 2026 года. Источник: Blockscout.

Контракт, который помещает ваши криптовалюты в траст

Затем возникает неприятный вопрос: кому принадлежали эти средства? Условия использования от 5 января 2026 года отвечают на этот вопрос с редкой точностью. Ваши криптовалюты хранятся компанией Nest Clearing and Custody Limited (NCCL), расположенной в Абу-Даби. Согласно пункту 8.2 контракта, NCCL "владеет активами для вас в качестве траста".

Контракт предоставляет вам "индивидуальное право, в форме бенефициарного интереса" на количество, указанное на вашем счете. Токены хранятся в "общих" кошельках, "которые находятся в трасте". Таким образом, 6,3 миллиарда украденных средств принадлежали клиентам, пропорционально их долям.

Пункт 8.2 условий использования Binance, действующих с 5 января 2026 года: NCCL "владеет активами для вас в качестве траста". Источник: Binance.

Однако, пожалуйста, прочитайте предложение до конца, именно там юристы обычно "прячут" важные детали. Этот статус траста действует "при условии и в соответствии" с условиями контракта. В остальном, NCCL "не действует как траст или доверитель". Таким образом, траст защищает ваши активы от кредиторов NCCL в случае банкротства. Однако он ничего не говорит о том, кто будет возмещать убытки после кражи.

Сравните это с Celsius, которая оставила неприятные воспоминания. 4 января 2023 года судья Мартин Гленн постановил, что компания Celsius должна вернуть 4,2 миллиарда долларов, находящихся на счетах Earn. Условия этого решения фактически "передавали право собственности" на эти активы платформе. В результате, 600 000 вкладчиков стали обычными кредиторами. В случае с Binance, текст говорит совершенно обратное.

Траст без страховки от кражи

Однако, остальная часть договора вызывает опасения. Пункт 18.2 гласит, что Binance "не обязана страховать цифровые активы". На странице 3 также указано, что "вы можете понести убытки в случае кибератаки". Наконец, пункт 8.4.2 разрешает взимать комиссии за ликвидацию с активов, находящихся в трасте, "пропорционально".

Обещание полной компенсации убытков, данное И (Yi He) через фонд SAFU и собственные средства, является, по сути, коммерческим обязательством, заявленным в Twitter. В договоре это нигде не закреплено. Если Binance выполнит свое обещание, убытки клиентов станут убытками компании. Компания уже делала это в 2019 году, компенсировав 7000 биткоинов, а Bybit – в 2025 году, 1,5 миллиарда.

Замороженные стейблкоины: право собственности жертв и власть Tether

Перейдем к стейблкоинам, самой большой и легко замораживаемой группе активов. Tether заблокировала более 1,57 миллиарда USDT, а Circle – более 800 миллионов USDC. Ripple заморозила 200 миллионов RLUSD, а World Liberty – 27 миллионов USD1. Общая сумма, таким образом, составляет "около 2,8 миллиардов долларов", согласно отчету Chainalysis, опубликованному в пятницу.

Хакер прекрасно это знал. С первых минут он перевел 500 миллионов долларов в стейблкоинах на кошелек биржи. Менее чем за двадцать минут он конвертировал 325 миллионов в эфир. Первые заморозки произошли в 22:14 по парижскому времени. Это классическая гонка со временем, поскольку один стейблкоин блокируется, а эфир – нет.

Заморозка, уничтожение и повторная эмиссия

Эти замороженные токены остаются на адресах хакера. Заморозка – это, по сути, лишь запись в черном списке контракта эмитента. В случае с Tether, следующий этап имеет прямое название – destroyBlackFunds. Эта функция обнуляет баланс и, соответственно, уменьшает общее предложение. Только мультиподпись Tether может активировать эту функцию, а не судья или Binance.

Затем следует повторная эмиссия, на адрес, указанный судом, или жертве, чьи права подтверждены. Компания BlockSec оценивает срок между заморозкой и уничтожением в гражданских делах от шести до восемнадцати месяцев. Кроме того, Tether оставляет за собой право взимать комиссии "до 10% от суммы", по своему "исключительному и безоговорочному усмотрению".

1,57 миллиарда долларов, которые были заморожены, имеют законного владельца – траст клиентов Binance. Однако, есть также держатель, который больше не может ничего с ними сделать, и частный арбитр, который единолично определяет график действий.

Часть этих стейблкоинов даже успела переодилась до заморозки. Хакер разместил украденные USDT на платформе Aave, чтобы получить кредит в 20 000 WETH, что составляет 44 миллиона долларов. В результате, Aave оказалась с замороженными активами в качестве залога по кредиту, который никогда не будет возвращен. Если Tether уничтожит эти USDT, чтобы вернуть их Binance, убытки перейдут к вкладчикам Aave. Только соглашение между двумя сторонами может этого избежать.

Аналогичная ситуация сложилась и в Arbitrum, где Security Council в ночь на [дата] заморозил 74,56 миллиона ARB и 8 426 ETH. Двенадцать человек приняли решение, и затем держатели ARB проголосуют о дальнейшей судьбе этих активов.

Украденные биткоины и эфиры: собственность клиентов и "добыча" Северной Кореи.

Последняя сумма не имеет "кнопки выключения". Компания TRM Labs оценивает активы, находящиеся вне досягаемости любого эмитента, в 2,4 миллиарда долларов. Сюда входят 18 270 биткоинов, распределенных по 19 кошелькам, и более 420 000 эфиров.

В большинстве стран правовая система четко определяет, что кража не передает права собственности. Верховный суд Таиланда напомнил об этом в 2025 году, постановив, что биткоин является имуществом, которое можно украсть. Следовательно, эти биткоины по-прежнему принадлежат трасту клиентов Binance.

Они просто находятся в руках TraderTraitor, подразделения Северной Кореи, которое TRM Labs называет "с высокой степенью уверенности". Компания Chainalysis пришла к тому же выводу, но другим путем. Ее аналитики в "реальном времени" наблюдали, как украденные у Binance средства смешиваются с средствами, полученными в результате взлома Bitget, который уже был приписан Пхеньяну в прошлом месяце.

Из 5,8 миллиардов долларов, находящихся у злоумышленника, USDT и USDC (светло-синий цвет) заморожены компаниями Tether и Circle. Биткоины и эфиры остаются свободными для перемещения. Источник: Octav x Arkham, 30 октября 2026 года.

Таким образом, собственность и владение будут долгое время разделены. В случае Bybit, компания Chainalysis помогла заморозить только 40 миллионов долларов из 1,5 миллиарда украденных, то есть менее 3%. Пхеньян никогда не возвращает деньги. Он отмывает их небольшими суммами, проявляя терпение часовщика. На данный момент, 18 270 BTC не изменили своего местоположения ни на один сатоши.

Клиенты Binance во Франции: счета, доступные только для вывода средств, и защита вне рамок MiCA.

Последняя деталь, которая напрямую касается французских пользователей, и она вовсе не является незначительной. Компания Binance не получила лицензию MiCA. В конце переходного периода, 1 июля 2026 года, платформа прекратила предоставление услуг жителям Франции. Торговля, депозиты, стейкинг и программа Simple Earn были закрыты. На следующий день французский регулятор AMF автоматически исключил компанию Binance France SAS из списка поставщиков услуг виртуальных активов.

В настоящее время возможны только вывод средств, и Binance заявляет, что активы остаются "доступными в любое время". Таким образом, французские резиденты должны владеть криптовалютами на Binance только по инерции, на заблокированном счете. Однако эти средства хранятся в тех же общих кошельках и в той же трастовой структуре. Следовательно, они подвержены риску кражи так же, как и активы других клиентов.

В других странах Европейского союза Binance продолжает обслуживать клиентов из Абу-Даби благодаря схеме "обратного привлечения клиентов", которая находится на рассмотрении ESMA и нескольких национальных регуляторов с начала октября. Таким образом, для французского клиента, остающегося на Binance, защита обеспечивается законодательством о трастах в Абу-Даби и обещаниями И Хэ.

Однако, MiCA должна была внести ясность. Пункт 83 регламента охватывает любые убытки, "включая кибератаку или кражу", а статья 75 делает это обязательством в размере рыночной стоимости активов. Таким образом, клиент платформы, получившей лицензию во Франции, не должен был ждать твита, чтобы узнать, кто будет возмещать убытки.

Случай французских экспатов

Как для MiCA, так и для Binance, важна страна проживания, а не паспорт. Француз, проживающий за пределами Европейского союза, например, в Дубае, подчиняется правилам своей страны пребывания. Он может продолжать использовать платформу, если она там разрешена. Однако экспат, проживающий в другой стране Европейского союза, подчиняется правилам этой страны, с теми же неопределенностями.

Binance опубликует свой следующий отчет о подтверждении наличия резервов 1 ноября. В нем будет указано, вернулся ли объем эфира с 94% до 100%, то есть, восполнила ли платформа за счет собственных средств убытки своих клиентов.