rafail.a 30 октября 2026

У Binance похитили $6,3 млрд: биржа проверяет взлом ноутбука DevOps-инженера

Из кошельков Binance вывели около $6,3 млрд. Разбираем предварительную версию о взломе ноутбука инженера, механизм атаки на Ethereum и заморозку части средств.

В ночь на 30 октября из кошельков Binance вывели криптовалюту примерно на $6,3 млрд. Биржа подтвердила инцидент и сообщила о заморозке около $3 млрд. Ввод и вывод средств временно остановлены на время проверки безопасности.

По предварительной версии Binance, атакующий проник во внутренний сервис через скомпрометированный ноутбук DevOps-инженера. Исследователи восстановили часть подготовки: перед кражей оператор тестировал код на других кошельках, а после неё обменивал стейблкоины, опережая блокировки.

Binance обещает полностью покрыть потери из резервного фонда SAFU и собственных средств. В заявлении от 30 октября компания сообщила, что средства пользователей защищены.

Ноутбук сотрудника мог открыть доступ к системе вывода средств

В первом техническом сообщении Binance описала предполагаемый путь проникновения: ноутбук DevOps-инженера, служебный контейнер и несанкционированные заявки на вывод. Контейнер — изолированная среда, в которой работает отдельный сервис. Как именно был скомпрометирован компьютер сотрудника, биржа пока не раскрыла.

Компания не обнаружила свидетельств утечки приватных ключей кошельков. Подробный разбор причин она обещает опубликовать после расследования. Версия о ноутбуке в этом сообщении обозначена как предварительная.

Данные блокчейнов показывают следующий этап. По анализу Bitquery, средства уходили из 17 горячих кошельков с действительными подписями Binance. Такие кошельки постоянно подключены к сети и обслуживают повседневные выплаты клиентов. Исследователи установили, что инфраструктура биржи подписывала переводы на адреса атакующего.

Перед кражей атакующий проверил код на трёх кошельках

Исследователи TRM Labs проследили подготовительные операции до утра 28 октября. Кошелёк оператора получил три небольших перевода из Tornado Cash — сервиса, который затрудняет отслеживание происхождения криптовалюты.

Подготовка заняла не менее 36 часов:

утром 29 октября оператор развернул первую версию кода и проверил её на двух кошельках;
позднее протестировал окончательный вариант на третьем адресе и вернул тестовые средства себе;
примерно через четыре часа тот же код появился на горячем кошельке Binance.

По расчётам TRM, значительная часть похищенного ушла примерно за 20 минут. Компания оценивает общую сумму в $6,36 млрд по стоимости активов на момент переводов. Крупнейшие объёмы пришлись на Ethereum — около $3,79 млрд, Bitcoin — $1,47 млрд и Tron — $628 млн.

Кошелёк Ethereum продолжал отдавать новые поступления

Для атаки на Ethereum-кошелёк использовали EIP-7702. Этот механизм позволяет обычному адресу делегировать выполнение операций коду смарт-контракта. В штатном сценарии он нужен, например, для объединения нескольких действий в одну операцию и оплаты комиссии другой стороной.

Для делегирования требуется подписанное разрешение. В нём учитывается счётчик операций кошелька — nonce. По мере выполнения транзакций значение меняется, поэтому заранее подготовленное разрешение может перестать подходить.

По данным Bitquery, атакующий подготовил 50 разрешений для последовательных значений счётчика. Одно совпало с текущим состоянием кошелька. После этого адрес Binance начал выполнять подконтрольный атакующему код.

Разрешение продолжало действовать после первого вывода. Атакующий повторно забирал средства, которые поступали на кошелёк Binance.

Первый крупный перевод включал 167 464 ETH, около 1,6 млрд USDT и ещё десятки токенов. Последний повторный вывод Bitquery зафиксировала в 23:56 UTC 29 октября — в 02:56 МСК 30 октября.

Стейблкоины замораживали, а атакующий менял их на ETH

Эмитенты стейблкоинов могут блокировать свои токены на определённых адресах. После обнаружения атаки блокировки вводили Tether, Circle и другие участники. Binance оценила общий объём замороженных активов примерно в $3 млрд.

Атакующий параллельно обменивал активы. По подсчётам Bitquery, до блокировок удалось конвертировать около $729 млн стейблкоинов в ETH и TRX. Шесть из одиннадцати отслеженных исследователями блокировок Tether пришлись на уже опустевшие кошельки.

На 06:43 UTC 30 октября Bitquery оценивала оставшиеся у атакующего средства примерно в $3,2 млрд, преимущественно в ETH и BTC. Эта оценка относится к конкретному моменту: распределение средств и их стоимость меняются вместе с переводами и рыночными ценами.

Binance остановила переводы и обещает возместить потери

В ответ на инцидент биржа приостановила ввод и вывод средств. Компания также отозвала затронутое разрешение адреса и подключила правоохранительные органы к поиску средств.

В заявлении Binance перечислены дальнейшие действия:

отслеживать и возвращать активы вместе с правоохранительными органами и компаниями, которые анализируют блокчейны;
покрыть потери из фонда SAFU и собственного капитала;
после устранения последствий опубликовать обновлённое подтверждение резервов — Proof of Reserves;
подготовить технический отчёт после завершения расследования.

SAFU существует с июля 2018 года. При запуске Binance направляла в фонд 10% торговых комиссий. В январе 2022 года компания объявила, что его стоимость достигла $1 млрд. Актуальный размер фонда в заявлении о нынешней атаке не указан.

Исследователи связывают взлом с группой, которая атаковала Bybit

TRM Labs с высокой уверенностью приписывает атаку северокорейской группе TraderTraitor. Компания ссылается на сведения из блокчейнов и других источников. Binance исполнителей пока не назвала и сообщает, что устанавливает их личности вместе с правоохранительными органами.

TraderTraitor фигурировала в расследовании взлома Bybit 21 февраля 2025 года. Тогда похитили криптоактивы примерно на $1,5 млрд. Через пять дней ФБР официально связало кражу с Северной Кореей. По данным бюро, похищенное конвертировали и распределяли по тысячам адресов.

В случае Bybit атаковали поставщика кошелька — Safe{Wallet}. В техническом разборе Elastic описана компрометация компьютера разработчика и последующий доступ к облачной инфраструктуре AWS. Затем атакующие подменили JavaScript в веб-интерфейсе, чтобы изменить операцию Bybit, которую подписанты считали штатной.

В 2019 году Binance уже останавливала вывод после кражи 7000 BTC

Предыдущий крупный взлом Binance произошёл 7 мая 2019 года. Тогда атакующие одной транзакцией вывели 7000 BTC. Биржа сообщала о краже пользовательских API-ключей, кодов двухфакторной аутентификации и использовании фишинга и вредоносного ПО.

Пострадал один горячий Bitcoin-кошелёк, в котором находилось около 2% всех BTC биржи. По объяснению Binance, перевод прошёл существовавшие проверки безопасности, а сигналы тревоги сработали уже после исполнения. Компания остановила вывод и объявила проверку систем, на которую отвела примерно неделю.

Тогда Binance также обещала полностью покрыть потери через SAFU. Нынешняя атака затронула кошельки в нескольких блокчейнах, а заявленная сумма достигла $6,3 млрд. В новом обязательстве биржи отдельно указаны резервный фонд и собственный капитал компании.