Binance подтвердила серьёзное нарушение безопасности, затронувшее цифровые активы примерно на $6,3 млрд, при этом почти $3 млрд заморожено, пока криптобиржа совместно с блокчейн-сетями, эмитентами стейблкоинов и правоохранительными органами пытается локализовать событие, которое может стать крупнейшей кражей криптовалюты в истории.

Раскрытие информации 30 октября последовало за подозрительными выводами на первоначальную сумму $2,77 млрд через пять блокчейнов накануне вечером. Предварительное расследование Binance указывает на то, что злоумышленники могли взломать ноутбук DevOps-инженера, получить доступ к внутреннему сервисному контейнеру и отправить несанкционированные транзакции вывода средств.

Биржа временно приостановила депозиты и выводы — стандартный шаг по локализации инцидента в ходе активного расследования безопасности, — отозвала авторизацию затронутого адреса и обязалась покрыть все убытки за счёт фонда Secure Asset Fund for Users (SAFU), аварийного резерва, созданного в 2018 году и финансируемого за счёт части торговых комиссий, а также корпоративных средств. Binance заявила, что балансы клиентов остаются защищёнными, хотя расследование ещё не установило окончательную сумму, подлежащую возврату, и полный масштаб компрометации.

Взломанный ноутбук инженера связывают с инцидентом в Binance

Инцидент начал привлекать внимание 29 октября, когда блокчейн-исследователи обнаружили необычно крупные переводы с кошельков, связанных с Binance, на адреса за пределами публично известной инфраструктуры хранения биржи. Первые сообщения говорили об оттоке около $2,77 млрд (Crypto Adventure).

Последующее отслеживание выявило значительно более крупный инцидент. В раскрытии информации о безопасности от 30 октября Binance оценила ущерб в $6,3 млрд — существенное увеличение по сравнению с первоначальными цифрами.

Предполагаемой точкой входа стал взломанный ноутбук DevOps-инженера. По мнению следователей, злоумышленник использовал этот доступ, чтобы получить доступ к сервисному контейнеру, способному отправлять несанкционированные инструкции по выводу средств. Binance не нашла доказательств прямого exposure частных ключей кошельков, что указывает на то, что атака, возможно, использовала внутренние операционные полномочия, а не представляла собой обычную кражу приватных ключей. Это различие важно, поскольку смещает вопрос безопасности с хранения ключей на внутренние системы авторизации, на которые биржи полагаются при перемещении средств клиентов, — именно эти системы расследование пока полностью не объяснило.

Примерно $6,36 млрд было переведено через 10 блокчейнов в ходе инцидента, согласно блокчейн-анализу TRM Labs. Большая часть активности пришлась на период около 20 минут, начиная с 20:05 UTC 29 октября.

Переводы затронули Ethereum, Bitcoin, Tron, XRP Ledger и Solana, а также меньшие перемещения в нескольких других сетях. В Ethereum исследователи выявили использование делегирования аккаунтов EIP-7702, которое, как утверждается, позволило контролируемому злоумышленником контракту перенаправлять средства с горячего кошелька Binance — типа подключённого к интернету кошелька, который биржи используют для обработки обычных выводов. EIP-7702 — это механизм Ethereum, обеспечивающий определённые функции делегирования аккаунтов.

В других затронутых сетях наблюдались обычные подписанные транзакции, что вызывает вопросы о том, как был получен доступ к внутренним системам авторизации выводов Binance. Точная связь между этими блокчейн-техниками и взломанным устройством сотрудника остаётся предметом расследования.

Tether, Circle и блокчейн-партнёры замораживают $3 млрд

Несколько крупных эмитентов криптовалют приняли меры по ограничению активов, связанных с предполагаемым злоумышленником. Tether заморозила более 1,567 млрд USDT, связанных с инцидентом, а Circle заблокировала свыше 800 млн USDC в координации с следователями.

Ripple, по сообщениям, также ограничила примерно $200 млн затронутых активов, а World Liberty Financial заморозила около $27 млн в токенах USD1. Дополнительные меры приняли провайдеры блокчейн-инфраструктуры, включая Совет по безопасности Arbitrum, который ограничил активы, связанные с эксплойтом.

Вместе эти меры привели к заморозке активов примерно на $3 млрд, согласно последним подтверждённым данным Binance. Заморозка активов не позволяет переводить их через затронутые контракты токенов или сети — возможность, которой крупные эмитенты стейблкоинов, такие как Tether и Circle, обладают на уровне контрактов, — но не обязательно означает, что средства возвращены Binance.

Оставшийся риск существенен. По предварительной оценке биржи в $6,3 млрд, примерно $3,3 млрд находятся за пределами заявленной замороженной суммы. Однако эта цифра не обязательно эквивалентна окончательным безвозвратным потерям, поскольку усилия по отслеживанию и возврату средств продолжаются.

Binance привлекла правоохранительные органы, эмитентов токенов и компании в области блокчейн-аналитики для отслеживания дополнительных средств и предотвращения их дальнейшего перемещения. Биржа также обязалась восполнить любые убытки за счёт аварийного резерва SAFU и корпоративных средств, пообещав обновлённое Proof of Reserves после завершения устранения последствий.

С атакой связывают северокорейскую хакерскую группировку

Расследование вызвало опасения о возможной причастности северокорейских киберпреступников. TRM Labs связала атаку с TraderTraitor — хакерской операцией, связанной с КНДР и ассоциируемой со сложными кражами криптовалют. Компания выразила высокую степень уверенности в своей оценке на основе блокчейн-активности и других разведданных.

Предполагаемая связь значима с учётом истории нацеленности КНДР на криптовалютные платформы. В феврале 2025 года хакеры, связанные с этой страной, похитили около $1,5 млрд у Bybit в атаке, обнажившей слабости безопасности институциональных кошельков, — кража, которая до этого инцидента считалась крупнейшим взломом в истории криптовалют. Последний инцидент также следует за сентябрьским взломом кошелька Bitget на $387,5 млн, в котором скомпрометированные внутренние учётные данные доступа позволили отправлять несанкционированные команды вывода без прямого exposure приватных ключей — схема, closely напоминающая предполагаемый механизм взлома Binance.

Для Binance непосредственные приоритеты — защита балансов клиентов, обеспечение безопасности операционной инфраструктуры и возврат затронутых активов. Сооснователь Чанпэн Чжао, покинувший пост генерального директора в 2023 году, признал, что инцидент, судя по всему, является взломом, и выразил уверенность, что клиенты будут полностью компенсированы, в посте в X.

Инцидент также отразился на криптовалютных рынках: Bitcoin опустился ниже $79 000 в ходе первоначальной реакции, а BNB зафиксировал более резкое падение, поскольку трейдеры оценивали потенциальные операционные и финансовые последствия для биржи. Binance не объявила подтверждённых сроков восстановления депозитов и выводов.

Ожидается, что после завершения расследования будет опубликован полный технический разбор, который должен дать дополнительные разъяснения о точке входа атаки, затронутых системах и сбоях в авторизации выводов.

То, какая часть оставшихся примерно $3,3 млрд будет в итоге возвращена, когда возобновятся депозиты и выводы и что выявит технический разбор, определит итоговый масштаб инцидента. Поскольку миллиарды долларов всё ещё находятся в процессе отслеживания и возврата, окончательные финансовые последствия остаются неопределёнными. Это нарушение уже входит в число самых значимых инцидентов безопасности криптобирж, и его масштаб может превзойти все ранее зафиксированные кражи криптовалют, если предварительные цифры подтвердятся.