Хакеры вывели с Binance около $6,34 млрд — крупнейший взлом в истории крипторынка

29 октября 2026 года с горячих кошельков Binance ушли активы на сумму около $6,34 млрд. Это крупнейший взлом в истории криптоиндустрии: прежний рекорд принадлежал атаке на Bybit в феврале 2025 года. Злоумышленники вывели средства в десяти блокчейнах, а по Binance подготовка заняла несколько месяцев.

Как злоумышленники попали во внутреннюю сеть

Сначала Binance связывала инцидент с компрометацией ноутбука одного из DevOps-инженеров, но почти сразу уточнила, что проверка выявила и другие точки проникновения. По её данным, атакующие использовали фальшивые собеседования, заражённое программное обеспечение и скомпрометированные устройства сотрудников. В итоге они получили доступ к сервису подписания транзакций.

По описанию биржи, в июне 2026 года один из сотрудников Wallet DevOps загрузил поддельный установщик Homebrew, который выдавал себя за инструмент для программирования с ИИ. Служба безопасности устройство заменила и обновила учётные данные, но злоумышленники уже получили сведения о сотруднике и его коллегах. В сентябре другому разработчику предложили фальшивое собеседование: он загрузил репозиторий под видом тестового задания. Внутри была вредоносная программа, которая подменила компонент pyenv. По словам Binance, средства защиты эту угрозу не выявили.

20 октября злоумышленники через скомпрометированный компьютер и внутренний ИИ-инструмент получили доступ к системам ещё двух сотрудников и нашли токен с правами на развёртывание контейнеров. 29 октября они запустили вредоносный контейнер и начали вывод.

Как вывод прошёл через механизм делегирования

Центральным эпизодом стала компрометация горячего кошелька Binance 14. Атакующий использовал механизм делегирования EIP-7702, появившийся в Ethereum с обновлением Pectra. Он отправил транзакцию с 50 авторизациями, подписанными для Binance 14, с номерами nonce от 18 914 775 до 18 914 824. Поскольку кошелёк продолжал работать, его текущий nonce менялся. Одна из заготовленных авторизаций совпала с нужным значением.

Одной транзакцией функция sweep вывела из Binance 14 около $2,5 млрд, в том числе 167 464 ETH и 1,615 млрд USDT. Через 24 секунды с кошелька Binance 16 ушли ещё 28 005 ETH. В течение следующих 12 минут каскадный вывод затронул горячие кошельки биржи в сетях Optimism, Arbitrum и Avalanche.

Делегирование оставалось активным и не требовало новых подписей для каждой операции. Поэтому в течение следующих нескольких часов злоумышленник повторно вывел более $1 млрд в USDC и USDT, которые поступали на биржевой кошелёк от других пользователей.

Приостановка вывода на бирже не остановила атаку: авторизации уже были записаны в блокчейне и работали независимо от её инфраструктуры. Binance использует MPC (многостороннние вычисления) для управления горячим кошельком, поэтому единого приватного ключа, которым можно было бы сразу подписать отмену, не существует. Команде пришлось разработать и выполнить отдельную процедуру отзыва разрешений. Последний несанкционированный перевод на 2961,9 ETH подтвердился в 23:56 UTC 29 октября, а очистка делегирования прошла в 00:10 UTC 30 октября.

Переводы в других сетях шли иначе. По данным TRM Labs, первые выводы пришли в XRP Ledger, а из сетей биткоина, Tron и Solana средства уходили обычными подписанными транзакциями без EIP-7702. TRM Labs считает, что совокупность переводов указывает на компрометацию всей инфраструктуры подписания транзакций Binance.

Оценки длительности атаки расходятся. По одной версии, основной вывод занял около 20 минут. Повторные выводы в любом случае продолжались несколько часов.

Что стало с украденными средствами

Злоумышленники быстро переводили стейблкоины в активы, которые нельзя заблокировать решением централизованного эмитента. По данным TRM Labs, около 325 млн USDT они обменяли через UniswapX и другие сервисы примерно на 122 300 ETH. Ещё 60 млн USDT внесли в протокол Aave в качестве обеспечения и получили около 19 760 ETH стоимостью $44,6 млн. В ответ команда Aave временно заморозила рынки кредитования в версиях V3 и V4 в нескольких сетях.

TRM Labs в своём материале связывает атаку с северокорейскими хакерами. В доступных материалах официального подтверждения этой версии от Binance или правоохранительных органов нет.

Сколько удалось заморозить

Binance приостановила ввод и вывод, отозвала разрешение на использование скомпрометированного адреса и подключила правоохранительные органы. Эмитенты стейблкоинов и блокчейн-аналитические компании помогали блокировать активы, которые ещё не успели отмыть.

Оценки замороженного различаются. Ончейн-аналитик ZachXBT оценил заморозку примерно в $2,8 млрд. Blockaid сообщила, что Tether и Circle заморозили около $1,8 млрд на основном адресе сбора средств. Сама Binance позже заявила, что партнёры заморозили активы на $3 млрд. Разница объясняется тем, что подсчёты велись в разные моменты и по разным адресам.

Александр Горлан, CTO HackenProof, отметил: «Это важный результат: скорость реагирования напрямую влияет на масштаб последствий атаки».

Компенсация и возобновление вывода

Binance заявила, что покроет подтверждённые потери пользователей собственными ресурсами и за счёт страхового фонда SAFU. Биржа зарезервировала более $6,34 млрд. По её данным, около $5 млрд хранились в тех же токенах, которые пострадали при взломе. Остальные активы биржа закупает на рынке и во внебиржевых сделках. Binance предупредила, что этот процесс может занять больше времени из-за низкой ликвидности отдельных активов.

1 ноября 2026 года Binance открыла вывод отдельных активов в сетях Ethereum и BNB Smart Chain. Остальные активы и сети будут открываться постепенно после проверок безопасности, а очерёдность определяется спросом пользователей за предыдущую неделю. 31 октября биржа опубликовала подтверждение резервов Proof of Reserves.

Binance продолжает работать с правоохранительными органами, эмитентами токенов и блокчейн-аналитическими компаниями, чтобы отслеживать и возвращать украденные активы.