Криптовалютная биржа Binance подверглась масштабной хакерской атаке, предварительный ущерб от которой оценивается в $6,3 млрд. Около $3 млрд похищенных активов удалось заморозить.
Крупнейшая по объему торгов криптовалютная биржа Binance в ночь на 30 октября 2026 года подверглась масштабной хакерской атаке. По предварительным данным компании, совокупный ущерб достиг $6,3 млрд, что делает инцидент крупнейшей хакерской атакой в истории криптоиндустрии. Биржа временно приостановила вывод средств и пообещала полностью компенсировать потери пользователей за счет страхового фонда SAFU и собственных резервов.
Масштабы атаки на Binance
Согласно данным аналитической компании TRM Labs, злоумышленники вывели активы на сумму около $6,36 млрд из кошельков Binance в десяти блокчейн-сетях. Основная часть похищенных средств пришлась на Ethereum, Bitcoin и TRON — совокупно около $5,89 млрд, или более 92% общей суммы ущерба.
В результате атаки хакерам удалось похитить следующие активы:
Ethereum — $3,79 млрд. Похищено 200 630 ETH и 185 других токенов, включая 1,875 млрд USDT, 823 млн USDC и 88,5 млн RLUSD.
Bitcoin — $1,47 млрд. Выведено 18 270 BTC.
TRON — $628 млн. Похищено 612,7 млн USDT и 46,4 млн TRX.
XRP Ledger — $296 млн. Выведено 233,46 млн XRP.
Solana — $96 млн. Похищено 970 500 SOL.
Arbitrum, Optimism и Base — $39 млн совокупно. В частности, из сети Arbitrum выведено 74,6 млн ARB.
Avalanche — $28 млн. Выведены различные токены, в том числе USDT.
Polygon — $10 млн. Похищены различные токены, в том числе USDT0.
Предполагаемый способ взлома Binance
Предварительное расследование Binance показало, что точкой проникновения мог стать скомпрометированный ноутбук DevOps-инженера компании. Предположительно, через него атакующие получили доступ к внутреннему сервисному контейнеру и смогли инициировать несанкционированные транзакции. При этом доказательств утечки приватных ключей кошельков специалисты биржи не обнаружили.
Сопредседатель Binance Ричард Тенг подчеркнул, что атака представляла собой сложную многоэтапную операцию, а не единичное действие с использованием полномочий одного сотрудника. По его словам, расследование пока не установило ответственность конкретного лица.
По данным TRM Labs, злоумышленники начали подготовку к атаке как минимум за 36 часов до хищения средств. Аналитики восстановили следующую последовательность действий:
Подготовка атаки. Хакеры создали инфраструктуру для вывода активов, пополнив операционный кошелек небольшими переводами через криптомиксер Tornado Cash. Затем они развернули вредоносный код, предназначенный для получения контроля над кошельком Binance.
Тестирование кода. Злоумышленники сначала проверили его работу на двух кошельках, а затем протестировали окончательную версию на третьем. После успешной проверки тестовые средства были возвращены на подконтрольный адрес. Спустя четыре часа тот же код был развернут на горячем Ethereum-кошельке Binance.
Получение контроля над кошельком. Для этого атакующие использовали механизм EIP-7702, позволяющий передавать управление кошельком смарт-контракту через подписанное разрешение. Злоумышленники заранее подготовили 50 разрешений на передачу управления кошельком. Каждое из них было рассчитано на определенное количество уже совершенных транзакций. Они отправили их в одной транзакции, и одно из разрешений оказалось действительным. Это позволило передать управление кошельком вредоносному смарт-контракту.
Хищение активов. Через 3 минуты 24 секунды после получения контроля атакующие вывели 167 464 ETH и 63 других токена, включая 1,615 млрд USDT. Поскольку делегирование управления оставалось активным, злоумышленники еще шесть раз выводили средства, поступавшие на кошелек.
Кроме того, скомпрометированный кошелек использовался для исполнения операций другого смарт-аккаунта Binance. Параллельно злоумышленники вывели активы из кошельков Binance в блокчейн-сетях Bitcoin, TRON, XRP Ledger, Solana и Optimism.
При этом аналитики TRM Labs не установили, каким именно способом атакующие получили подписанные разрешения EIP-7702, необходимые для передачи управления Ethereum-кошельком.
Кого подозревают в атаке на Binance?
Джонатан Левин, соучредитель и генеральный директор аналитической компании Chainalysis связывает взлом Binance с северокорейской хакерской группировкой TraderTraitor. В TRM Labs также заявили о высокой степени уверенности в этой версии, сославшись на результаты ончейн-анализа и дополнительные разведывательные данные.
Ончейн-исследователь ZachXBT также обнаружил связь с предыдущей атакой на Bitget, в результате которой было похищено около $1,5 млрд. По его данным, похищенные у обеих бирж средства были объединены на одном адресе после переводов через THORChain. Исследователь считает, что за двумя инцидентами, вероятно, стоит один и тот же злоумышленник.
Ранее ФБР официально возложило на TraderTraitor ответственность за взлом Bybit в феврале 2025 года. При этом причастность группировки к атаке на Binance пока не подтверждена правоохранительными органами.
Заморозка похищенных средств и попытки их вывода
После обнаружения атаки Binance совместно с эмитентами стейблкоинов, аналитическими компаниями и правоохранительными органами приступила к блокировке похищенных средств. К 30 октября подтвержденный объем замороженных активов достиг $3 млрд.
В ограничении движения средств участвовали несколько компаний и протоколов:
Tether и Circle заблокировали более $1,567 млрд в USDT и свыше $800 млн в USDC соответственно;
World Liberty Financial заморозила $27 млн в стейблкоинах USD1 и токены WLFI на $2 млн;
Arbitrum Security Council заблокировал активы на $30,5 млн, включая 74,6 млн ARB и 8425 ETH;
Ripple приступила к заморозке связанных с атакой стейблкоинов RLUSD, не раскрыв их объем;
First Digital подтвердила блокировку FDUSD, связанных с инцидентом.
Одновременно злоумышленники пытались конвертировать похищенные стейблкоины в активы, которые нельзя централизованно заморозить. По информации TRM Labs, около 325 млн USDT были обменяны через UniswapX и другие сервисы примерно на 122 300 ETH.
Кроме того, атакующие разместили 60 млн USDT в качестве обеспечения в кредитном протоколе Aave и заняли 19 762 WETH стоимостью около $44,6 млн. В ответ Aave временно ограничил операции на рынках V3 и V4. Заморозка затронула 175 резервов V3 в 16 сетях и 117 резервов V4 в четырех сетях. Пользователям сохранили возможность погашать кредиты и выводить средства, однако открытие новых депозитных и кредитных позиций было приостановлено.
Реакция крипторынка и последствия для индустрии
На фоне сообщений о взломе криптовалютный рынок продемонстрировал резкое снижение. По данным CoinGecko, котировки BTC опустились на 4,9%, а ETH потерял 5,7% стоимости. При этом, по состоянию на 12:00 (GMT+1) 30 октября, BTC торгуется на уровне $77,5 тыс., а цена ETH составляет около $2,2 тыс.
Общая капитализация крипторынка снизилась за последние сутки на 2,3% и составляет около $2,7 трлн. Индекс страха и жадности опустился до 30 пунктов, достигнув зоны «страха».
Аналитики Standard Chartered считают, что взлом Binance может ускорить переход трейдеров с централизованных бирж (CEX) на децентрализованные (DEX). По данным CoinGecko, во втором квартале 2026 года объем спотовых торгов на десяти крупнейших DEX составлял 23,5% от объема торгов на CEX. За квартал показатель вырос на 2,1 процентного пункта.
Когда Binance возобновит вывод средств
Криптобиржа возобновила прием депозитов, однако вывод средств остается приостановленным. Компания рассчитывает восстановить его в течение 48 часов после завершения проверки безопасности и обновления инфраструктуры вывода активов.
Binance намерена опубликовать подробный технический отчет после установления полной последовательности действий злоумышленников. Окончательный размер невозмещенных потерь пока неизвестен.
