Самый тревожный аспект крупнейшего ограбления в истории человечества заключается в том, что криптография сработала именно так, как задумано. Никто не взломал мастер-приватный ключ вечером 29 октября 2026 года. Вместо этого атакующий, как сообщается, получил доступ к внутреннему сервисному контейнеру через скомпрометированный ноутбук DevOps-инженера и поручил инфраструктуре подписи Binance опустошить саму себя.

Примерно за 20 минут $6,3 млрд исчезли через 10 блокчейнов, включая Bitcoin, Ethereum, Solana и XRP. Инцидент превзошёл мрачный рекорд, установленный в феврале 2025 года, когда северокорейская группировка Lazarus вывела примерно $1,5 млрд с Bybit. Об инциденте с Binance сообщалось здесь: https://technext24.com/news/hackers-steal-6-3-bn-from-binance-crypto-heist/

Когда ончейн-оповещения заполнили X, сооснователь Binance Чанпэн Чжао (CZ) сделал первое публичное признание в подчёркнуто сдержанном посте: «User funds are safe! It does look like a hack on Binance. Appreciate the quick freeze from Tether ($971m) and Circle ($823m)». Пост доступен по адресу https://x.com/cz_binance/status/2113029289155178716?a=_Um3FD_EavLoFhA6AWU\u0026s=19.

Несколько минут спустя Чжао добавил: «I don’t manage Binance (.com) anymore, but as a shareholder, I expect all user funds will be fully covered.»

К пятнице, 30 октября, около $3 млрд украденных стейблкоинов и токенов были заморожены ончейн — менее половины общей суммы. FBI и TRM Labs с высокой степенью уверенности связали ограбление с северокорейским подразделением TraderTraitor.

Атака произошла на фоне того, как рынок абсорбировал $1,49 млрд ликвидированных маржинальных позиций, а Bitcoin опустился ниже $78 000. Генеральный директор Binance Ричард Тенг отреагировал в видеообращении, пообещав корпоративную гарантию на $6,34 млрд.

«Мы намерены покрыть все потери от взлома за счёт средств компании. Ваши активы в безопасности», — заявил Тенг, настаивая, что вывод затронул только корпоративные горячие кошельки. «Мы никогда не используем средства клиентов, поэтому они не пострадали».

Однако рассматривать ограбление Binance как изолированный сбой криптоиндустрии — значит упускать более широкую картину. Вывод средств 29 октября стал финалом 31-дневного глобального коллапса кибербезопасности. Весь «Чёрный октябрь» оборонительные периметры, защищающие веб-серверы, банки и инфраструктуру цифровых активов, отказывали одновременно.

Трещина в фундаменте: PHP2Shell

За семь дней до опустошения кошельков Binance Чжао опубликовал в X предупреждение, которое теперь выглядит мрачным пророчеством. «Call me paranoid, but be extra careful visiting ANY website in the next few days, as some web admins are not always up-to-date with security patches», — написал он 21 октября, ссылаясь на две недавно раскрытые уязвимости в PHP. Соответствующий отчёт доступен по адресу https://technext24.com/policy-and-tech/nigeria-php2shell-cybersecurity-response/.

На следующий день он добавил инженерную максиму: «No crypto wallet is 100% safe. No software is bug-free. No tech is 100% secure.» Его второй пост доступен по адресу https://x.com/cz_binance/status/2113462904435642556?a=jQb9RLbCOmUH6MqtmH8\u0026s=19.

Уязвимости, стоящие за предупреждением Чжао, получили название PHP2Shell и отслеживались как CVE-2026-109618 и CVE-2026-109619. Пара ошибок использования после освобождения памяти (use-after-free) имела критический рейтинг severity 9.2 по CVSS v4.0 и затрагивала каждую установку ядра PHP-среды по умолчанию с версии 5.4 до 8.5.11.

PHP обслуживает примерно 70% серверной инфраструктуры интернета. Уязвимости позволяли неаутентифицированным атакующим выполнять удалённый код и получать доступ к памяти сервера — включая токены сессий, приватные ключи TLS и пароли баз данных — ещё до запуска кода приложения сайта.

Эксплуатация, по имеющимся данным, началась около 17 октября — за четыре дня до того, как PHP Group выпустила экстренные патчи 21 октября. Исправленные версии — 8.5.12, 8.4.27, 8.3.36 и 8.2.35 — именно эти релизы операторам затронутых серверов нужно было установить для устранения уязвимости. CTO Cloudflare Дейн Кнект незамедлительно сообщил о «начинающихся ранних атаках» и предупредил, что межсетевые экраны для веб-приложений дают лишь временную передышку.

«Это золотая жила для хакеров», — сказал Шахак Шалев, глобальный руководитель отдела исследований мошенничества и ИИ в Malwarebytes. «Они могут захватывать реальные сайты, используя репутацию ресурса для фишинга и распространения вредоносного ПО через доверенный канал. Возможности безграничны».

Криптобиржи и современные финтех-компании часто строят свои ключевые системы на Go, Rust или TypeScript. Однако исследователи безопасности из Halborn отметили, что PHP по-прежнему широко используется на маркетинговых сайтах, порталах поддержки и административных панелях, окружающих эти системы. Многие из этих сервисов содержат действующие API-ключи и секреты вебхуков.

Пока эта базовая веб-инфраструктура находилась под давлением, субъекты угроз весь октябрь собирали учётные данные и взламывали организации на всех континентах.

В ЮАР патологическая компания Ampath Laboratories была атакована программновыкупной группировкой ByteToBreach. Тот же субъект угроз ранее в этом году атаковал нигерийские организации, включая Sterling Bank и Комиссию по корпоративным делам (CAC). ByteToBreach заявила о похищении 80 миллионов записей о пациентах.

Атакующие также атаковали компании традиционных финансов и ритейла. В Южной Корее хакеры использовали китайский ИИ-инструмент для взлома 16 финансовых компаний к середине месяца, похитив 68 000 записей. Затем они атаковали Daishin Securities, раскрыв 38 490 записей, а также Mirae Asset и внутреннюю групповую платформу криптобиржи Bithumb 28 октября.

В Италии мошенники с помощью трёхминутного ИИ-клона голоса юриста убедили руководителей Fideuram, подразделения частного банкинга Intesa Sanpaolo, перевести $108 млн на зарубежные счета. В Японии ИТ-гигант GMO Internet столкнулся с требованием выкупа на $50 млн после взлома его серверов forex и облачных сервисов. Ритейлер MUJI раскрыл 27,26 миллиона записей клиентов, а Cathay Pacific потеряла 53 000 записей бронирований из-за взлома поставщика.

Сектор цифровых активов столкнулся с дополнительными инцидентами до атаки на Binance. Производитель аппаратных кошельков Ledger сообщил 12 октября, что скрытые в устройствах, проданных через стороннего реселлера CryptoBilis, вредоносные LTE eSIM-импланты вывели $86 млн средств пользователей.

20 октября конкурент Keystone сообщил о необходимости уничтожить 18 835 непроданных устройств после того, как взлом сторонней системы отслеживания раскрыл 25 964 записи покупателей и производственный ключ верификации. К 28–29 октября Coinbase подтвердила утечку данных клиентов через аналитического поставщика Amplitude. Прогнозный рынок Polymarket остановил международную торговлю после того, как перехваченный скрипт британского поставщика мониторинга DebugBear позволил вывести $2,65 млн с более чем 700 счетов.

Три структурных сдвига

Три структурных изменения помогают объяснить, почему сбои безопасности проявились по всему миру одновременно в октябре 2026 года.

Во-первых, подрыв рабочих процессов всё чаще заменяет прямое похищение ключей. Как написал Чжао 21 октября, «AI doesn’t need to break Bitcoin’s cryptography to cause damage; leaked data already enables more phishing, social engineering, etc.»

В Binance атакующие, по имеющимся данным, не похищали приватные ключи. Они скомпрометировали рабочую станцию инженера, получили доступ к сервисному контейнеру, запрашивающему выводы средств, и использовали неявное доверие уровня подписи к этому контейнеру. Получив доступ, они задействовали функцию EIP-7702 в Ethereum — возможность протокола, позволяющую обычным блокчейн-аккаунтам приобретать программную гибкость, подобную смарт-контрактам, — чтобы автоматизировать межчейновый вывод в течение минут.

Во-вторых, наступательный ИИ стал автономным. В октябре киберпреступные группы развернули агентные ИИ-платформы на базе коммерческих больших языковых моделей — автономные системы, способные выстраивать цепочки многошаговых задач с минимальным человеческим контролем, — для поиска серверов с неустановленными патчами PHP2Shell, автоматизации захвата Active Directory через резервные копии ConnectWise и атак на более чем 400 финансовых организаций в Латинской Америке и Азии быстрее, чем команды успевали устанавливать обновления.

В-третьих, периметр вокруг сторонних поставщиков рухнул. Скрипт DebugBear у Polymarket и трекер Amplitude у Coinbase оказались среди внешних инструментов, использованных для доступа к пострадавшим компаниям. Утечки облачных учётных данных в Railway и LiteLLM продемонстрировали ту же слабость: организации многократно компрометировались через инструменты, добавленные в их технологические стеки.

«Чёрный октябрь» показал, что резервный фонд в миллиарды долларов и холодное хранение военного уровня не могут защитить экосистему, когда один необновлённый PHP-сервер, отравленный скрипт поставщика или скомпрометированный ноутбук инженера способны приказать хранилищу опустошить себя.