Бессонная ночь в Binance. Наша первая статья о взломе Binance заканчивалась в четверг вечером сообщением о выводе 2,5 миллиардов долларов из "горячего" кошелька Ethereum. Вектор атаки оставался неизвестным. С тех пор Binance оценила ущерб в 6,3 миллиарда долларов и указала, что наиболее вероятным местом проникновения является ноутбук одного из инженеров. Платформа также заморозила 3 миллиарда долларов с помощью эмитентов стейблкоинов и приостановила вывод средств на 48 часов. Давайте разберемся.

Вот хронология событий, произошедших в течение этой ночи, ставшей самой крупной потерей в истории криптовалютных платформ. И что это конкретно меняет для ваших средств.

Основные моменты этой статьи:

• Binance оценивает ущерб в 6,3 миллиарда долларов, а TRM Labs - в 6,36 миллиарда. Это в четыре раза больше, чем рекорд Bybit.
• Платформа указывает на ноутбук инженера как на вероятное место проникновения и утверждает, что не обнаружила никаких следов утечки приватных ключей.
• Эмитенты стейблкоинов заблокировали около 3 миллиардов долларов. Однако 2,4 миллиарда долларов в биткоинах и эфире остаются недоступными.
• Binance приостановила вывод средств в ночь на вторник, чтобы перестроить систему. Депозиты работают, и платформа обещает возобновить вывод средств в течение двух дней.

Взлом Binance: хронология ночи, стоившей 6,3 миллиарда долларов.

Все началось в 21:05, и основная часть атаки была завершена за двадцать минут. По данным TRM Labs, первые кошельки Binance начали опустошаться на XRP Ledger, Solana и Optimism. В 21:20 один из самых известных "горячих" кошельков Ethereum на платформе получил делегирование EIP-7702. Он был опустошен через три минуты.

Эта функция Ethereum была активирована после обновления Pectra в мае 2025 года. Она позволяет обычной учетной записи временно передать выполнение своих функций смарт-контракту. Что-то вроде доверенности. Злоумышленник заранее подготовил 50 подписанных разрешений. Достаточно было одного.

Ночь взлома: хронология событий.

• В 22:01 компания Tether заморозила 971 миллион долларов США в USDT на основном кошельке злоумышленника. Компания Circle заблокировала 823 миллиона долларов США в USDC через три минуты.
• В 22:15 Чанпэн Чжао написал в X, что "средства пользователей в безопасности" и что "это, похоже, взлом Binance".
• В 23:01 компания Ripple заморозила 40,5 миллиона RLUSD. Компания World Liberty Financial заморозила 27,8 миллиона USD1 девять минут спустя.
• В 00:05 вторая волна транзакций затронула сети Avalanche и Polygon.
• В 00:17 компания Aave приостановила работу своих кредитных платформ. Злоумышленник разместил на них 60 миллионов долларов США в украденном USDT, чтобы получить в кредит около 20 000 ETH, что составляет примерно 44 миллиона долларов США.
• В 00:59 соосновательница Yi He объявила, что Binance покроет все убытки. Платформа приостановила депозиты и снятие средств на время проверок.
• В 01:08 Совет безопасности сети Arbitrum осуществил две транзакции с кошелька злоумышленника: 74,56 миллиона ARB и 8 426 ETH, что составляет примерно 30 миллионов долларов США, были переведены на замороженный кошелек.
• В 03:23 Binance опубликовала «Security Incident Update» с информацией о потерях в размере 6,3 миллиарда долларов США и предположением о взломе ноутбука.
• В 05:21 Yi He заявила, что вывод средств должен возобновиться в течение 48 часов. Официальный аккаунт Binance подтвердил это. В сообщении также указано, что депозиты работают нормально, и говорится о "переработке системы безопасности сервиса вывода средств и его адресов".

То, что Чанпэн Чжао написал в X

«Средства пользователей в безопасности! Это, похоже, взлом Binance. Спасибо Tether (~971 миллиона долларов США) и Circle (~823 миллиона долларов США) за быструю блокировку средств. Я больше не управляю Binance (.com). Но как акционеру, я ожидаю, что все средства пользователей будут полностью возвращены».

Чанпэн Чжао, основатель Binance, в X

Сообщение Чанпэна Чжао в X вечером 29 октября. Источник: X/@cz_binance

«СРОЧНЫЕ НОВОСТИ: Совет безопасности сети Arbitrum осуществил транзакцию для заморозки около 30,5 миллионов долларов США, полученных в результате взлома Binance. Спасибо всем другим участникам, которые внесли свой вклад».

ZachXBT, исследователь блокчейна, в X

Исследователь ZachXBT сообщает о заморозке около 30,5 миллионов долларов США, полученных в результате взлома, Советом безопасности сети Arbitrum. Источник: X/@zachxbt

Заморозка средств: что эмитенты стейблкоинов смогли заблокировать

Общая сумма замороженных средств на блокчейне составляла 2,54 миллиарда долларов США на 00:35, а затем, согласно заявлению от 03:23, "около 3 миллиардов долларов США".

Важно четко различать заморозку и возврат средств. Заблокированный USDT больше не циркулирует. Однако он еще не вернулся на счета биржи.

Взлом: скомпрометированный ноутбук или подделанная подпись? Две версии произошедшего в Binance.

В заявлении Binance говорится в двух предложениях: «Предварительное расследование показывает, что инцидент мог быть связан с скомпрометированным ноутбуком инженера DevOps. Это позволило злоумышленнику получить доступ к сервисному контейнеру и осуществить несанкционированные транзакции по выводу средств. Мы не обнаружили никаких доказательств утечки приватных ключей кошельков».

Перевод. Инженер DevOps занимается администрированием серверов и развертыванием программного обеспечения. Сервисный контейнер — один из программных компонентов, обеспечивающих работу платформы.

Проще говоря, согласно этой версии, хакер получил контроль над машиной, имевшей право запрашивать открытие кошелька, и сделал это не прибегая к использованию приватного ключа.

Компания TRM Labs видит ситуацию несколько иначе. Эта аналитическая компания говорит о «компрометации инфраструктуры подписи горячих кошельков».

Взлом Binance: версия о причастности северокорейской группы TraderTraitor

Компания связывает эту операцию с группой TraderTraitor, северокорейским подразделением, которое, по данным ФБР, было причастно к взлому Bybit в феврале 2025 года, и делает это с "высокой степенью уверенности". Генеральный директор Chainalysis, Джонатан Левин, пришел к аналогичному выводу.

Binance, в свою очередь, скорректировала свою версию ранним утром. В своем отчете, опубликованном в 05:30, говорится о «нескольких факторах» и о скомпрометированном компьютере, который «мог быть точкой входа». Платформа объявила о подготовке полного отчета о причинах произошедшего.

Какая сумма была украдена и на каких блокчейнах?

Теперь известна сумма украденных средств по каждому блокчейну. Ethereum – 3,79 миллиарда долларов, включая 200 630 ETH, 1,875 миллиарда USDT и 823 миллиона USDC. Bitcoin – 18 270 BTC, что составляет примерно 1,47 миллиарда.

Затем следуют Tron (628 миллионов), XRP Ledger (296 миллионов), Solana (96 миллионов). Далее идут L2-решения Arbitrum, Optimism и Base (39 миллионов), а также Avalanche и Polygon (вместе 38 миллионов).

Для сравнения, если учитывать 144 миллиарда долларов активов, которые, по данным DefiLlama, находились на Binance до атаки, то украденная сумма составляет немного больше 4% от этих активов. Это все равно в четыре раза больше, чем сумма, украденная при взломе Bybit, которая с февраля 2025 года держала рекорд в 1,5 миллиарда.

На Etherscan один из адресов, принадлежащих хакеру, теперь помечен как связанный с взломом горячего кошелька Binance. Источник: Etherscan

Замороженные средства и заблокированные переводы: что ждет клиентов Binance

Для владельца счета есть три важных вопроса.

Защищены ли ваши средства?

Binance обязуется полностью компенсировать все убытки за счет фонда SAFU, а затем за счет собственных средств. Binance создала этот резервный фонд в 2018 году. Он содержит около 1 миллиарда долларов в биткоинах. Binance также обещает предоставить обновленную информацию о резервах после завершения всех необходимых корректировок.

С практической точки зрения, операции по внесению и выводу средств работают в обычном режиме, начиная с 05:30. Вывод средств временно приостановлен на время восстановления сервиса и связанных с ним адресов. Также выступили представители компаний, подвергшихся атаке. Wintermute заявляет, что менее 20% своих активов находятся на Binance. В GSR эта цифра составляет менее 5%.

Можно ли вернуть средства, украденные в результате взлома Binance?

Для централизованных стейблкоинов, таких как USDT или USDC, эмитент может заблокировать их на источнике. Затем эти средства могут быть уничтожены и перевыпущены в пользу пострадавшей стороны по решению суда. Компания Tether уже делала это.

Для биткоина и эфира это невозможно. Компания TRM Labs оценивает активы, недоступные для какого-либо эмитента, в 2,4 миллиарда долларов. Среди них более 420 000 ETH и все 18 270 BTC. На момент написания этой статьи хакер не продал ни одного биткоина. Однако он начал продавать свои UNI, PEPE и LINK в обмен на эфир.

Хорошая новость для отслеживания транзакций: компания Arkham официально включила эту сущность в свой инструмент анализа, проверив 70 адресов. Любой может отслеживать потоки средств в режиме реального времени. На данный момент этот кластер содержит 5,88 миллиарда долларов, распределенных по 65 токенам. Среди них 18 270 BTC, 460 000 ETH и 1,77 миллиарда USDT, которые уже были заморожены компанией Tether.

Как рынок отреагировал на произошедшее

Биткоин опустился ниже отметки в 77 000 долларов в течение ночи, что является самым низким уровнем за более чем месяц. Эфир потерял около 6%, а BNB — более 8%, прежде чем утром частично восстановиться.

Объем ликвидаций превысил 1,5 миллиарда долларов за 24 часа, согласно данным, собранным компанией CoinDesk, причем наибольшие потери понесли держатели длинных позиций. Единственной криптовалютой, которая выросла, является HYPE (+15%), чему способствовало партнерство с ICE, материнской компанией Нью-Йоркской фондовой биржи, объявленное в тот же день.

Цена BNB упала более чем на 8% сразу после взлома, прежде чем частично восстановиться (BNB/USDT, свечи за 15 минут, время UTC). Источник: TradingView

Объем в 6,3 миллиарда долларов, потерянный за одну ночь, более чем вдвое превышает общий объем взломов за год, который до этой ночи составлял 2,81 миллиарда долларов. Следует обратить внимание на два события: отчет о причинах взлома, который должна опубликовать Binance, и возобновление вывода средств, которое ожидается не позднее воскресного утра.