Вечером 29 октября с кошельков крупнейшей в мире криптобиржи Binance начали исчезать миллиарды долларов. За считаные минуты неизвестные вывели биткоины, эфир и другие криптовалюты сразу из нескольких блокчейнов. Общая сумма достигла $6,3 млрд. Часть денег удалось заблокировать, но активы на миллиарды долларов остались под контролем злоумышленников. Следователи подозревают северокорейских хакеров, а сама Binance предполагает, что всё началось со взлома рабочего ноутбука одного из инженеров.
$6,3 млрд за один вечер. Что произошло с Binance?
Атака началась около 20:05 по всемирному времени 29 октября. Первыми пострадали кошельки Binance в сети XRP Ledger. За четыре минуты с пяти адресов вывели 233,46 млн XRP стоимостью примерно $296 млн.
Затем злоумышленники добрались до Solana, Bitcoin, Ethereum и Tron. В 20:20 с одного из биткоин-кошельков Binance ушли 18 270 BTC, оценённые приблизительно в $1,47 млрд. Спустя несколько минут с кошелька Ethereum вывели 167 464 ETH и десятки других токенов, включая 1,615 млрд USDT.
По данным аналитической компании TRM Labs, большая часть средств покинула Binance примерно за 20 минут. В последующие часы последовали дополнительные переводы.
Всего исследователи насчитали операции на $6,36 млрд в десяти блокчейнах. Другая аналитическая платформа, Bitquery, зафиксировала вывод около $6,3 млрд из 17 горячих кошельков в девяти сетях. Разница связана с охватом и методикой анализа транзакций.
Сама Binance подтвердила инцидент и оценила его масштаб приблизительно в $6,3 млрд. Если эти данные окончательно подтвердятся, произошедшее станет крупнейшей кражей криптовалюты в истории.
Причём здесь ноутбук инженера?
Предварительное расследование Binance указывает на неожиданную точку проникновения: рабочий ноутбук DevOps-инженера компании.
DevOps-инженеры отвечают за работу и обслуживание технологической инфраструктуры. По версии биржи, злоумышленник скомпрометировал устройство сотрудника, получил доступ к служебному контейнеру и смог отправлять несанкционированные запросы на вывод криптовалюты.
При этом Binance утверждает, что не обнаружила свидетельств утечки приватных ключей кошельков. Это важная деталь: хакерам необязательно было красть сами ключи, если они получили возможность заставить систему биржи подтверждать нужные им операции.
TRM Labs обнаружила ещё одну особенность атаки. Для взлома одного из кошельков Ethereum преступники использовали механизм EIP-7702, появившийся в сети после обновления Pectra в мае 2025 года.
Эта технология позволяет обычному криптокошельку временно выполнять код смарт-контракта при наличии специальной цифровой авторизации.
Злоумышленник подготовил 50 подписанных разрешений. Одно из них сработало и передало управление кошельком вредоносному контракту. Спустя три минуты и 24 секунды с него ушли 167 464 ETH и другие токены.
Более того, программа продолжала работать. Когда на скомпрометированный адрес поступали новые деньги, она снова переводила их атакующему.
Аналитики предполагают, что хакер получил доступ к инфраструктуре подписания транзакций Binance. Окончательную причину атаки биржа пока не установила.
Почему хакеры не смогли забрать все деньги?
Злоумышленники столкнулись с особенностью стейблкоинов – криптовалют, стоимость которых обычно привязана к доллару.
В отличие от биткоина, некоторые такие токены можно заблокировать на определённых адресах по решению их эмитентов.
Компания Tether заморозила около 1,77 млрд USDT, а Circle – примерно 825 млн USDC. К блокировке присоединились Ripple, World Liberty Financial и другие участники рынка.
Совет безопасности сети Arbitrum также вывел из-под контроля атакующих 8426 ETH и 74,6 млн ARB стоимостью около $30 млн.
TRM Labs оценила общий объём заблокированных и перехваченных активов примерно в $2,7 млрд. Binance позднее сообщила, что совместно с партнёрами удалось заморозить около $3 млрд.
Однако заморозить криптовалюту не означает вернуть её владельцу. Значительная часть средств пока остаётся на адресах, связанных со взломом.
Как преступники пытались спасти украденное?
Понимая, что эмитенты могут заблокировать стейблкоины, атакующие начали срочно обменивать их на другие активы.
По данным TRM Labs, около 325 млн USDT злоумышленник обменял через децентрализованные торговые механизмы приблизительно на 122 300 ETH.
За скорость пришлось заплатить: обмен происходил по крайне невыгодному для продавца курсу. Кроме того, часть USDT использовали как залог в кредитном протоколе Aave, чтобы занять эфир.
Исследователи сообщают, что под контролем атакующего оставались более 420 тысяч ETH и 18 270 BTC. Только эти активы оценивались примерно в $2,4 млрд.
След ведёт в Северную Корею
Американская компания TRM Labs заявила, что с высокой уверенностью связывает взлом с группировкой TraderTraitor, которую относят к хакерским подразделениям Северной Кореи.
По данным исследователей, подготовка началась минимум за 36 часов до кражи. Ещё 28 октября связанный с атакой кошелёк получил небольшие переводы через Tornado Cash – сервис, затрудняющий отслеживание происхождения криптовалюты.
Затем злоумышленники проверили свой код на нескольких кошельках и только после этого провели основную атаку.
Название TraderTraitor уже появлялось в расследовании другой масштабной криптокражи. В феврале 2025 года хакеры вывели около $1,5 млрд с биржи Bybit. Американское ФБР тогда связало преступление с северокорейскими злоумышленниками.
Впрочем, причастность КНДР к нынешнему взлому Binance пока остаётся выводом аналитиков. Сама биржа не назвала организаторов атаки.
Что будет с деньгами пользователей Binance?
После обнаружения подозрительных операций Binance временно остановила ввод и вывод средств, начала проверку систем безопасности и обратилась к правоохранителям.
Сооснователь компании И Хэ заявила, что биржа покроет все потери от взлома.
В официальном сообщении Binance уточнила, что для компенсации использует собственные средства и фонд SAFU, предназначенный для защиты пользователей в чрезвычайных ситуациях.
Компания также пообещала опубликовать технические результаты расследования и обновлённое подтверждение резервов Proof of Reserves.
Но главный вопрос пока открыт: когда биржа полностью восстановит операции и сколько украденных активов удастся фактически вернуть.
Были ли подобные атаки раньше?
Binance уже сталкивалась с крупными инцидентами. В мае 2019 года хакеры похитили с биржи 7000 BTC, стоивших тогда около $40 млн.
В октябре 2022 года злоумышленники атаковали межсетевой мост BSC Token Hub в экосистеме BNB Chain. Масштаб той атаки оценивался примерно в $570 млн.
До нынешнего происшествия крупнейшей криптокражей считался взлом Bybit в феврале 2025 года на сумму около $1,5 млрд.
Атака на Binance 29 октября 2026 года превосходит этот показатель более чем в четыре раза. Окончательный размер безвозвратных потерь станет известен после расследования и завершения работы по блокировке и возврату активов.
