В четверг хакеры похитили у Binance около $6,3 млрд — это крупнейшая кража криптовалюты в истории, значительно превзошедшая кражу $1,5 млрд у Bybit в феврале 2025 года. Партнеры по отрасли заморозили примерно $3 млрд затронутых активов, пока клиенты биржи ожидают возобновления вывода средств.

Блокчейн-аналитическая компания TRM Labs отследила первые несанкционированные переводы примерно на 20:05 UTC в четверг, когда кошельки Binance были опустошены в нескольких блокчейнах. Атака была направлена на горячие кошельки, которые биржи держат подключенными к интернету для обработки вывода средств. Поскольку такие кошельки должны оставаться онлайн, они обычно считаются наиболее уязвимой частью инфраструктуры биржи, и крупные взломы бирж неоднократно были связаны именно с ними.

TRM Labs связала атаку с северокорейской группировкой TraderTraitor — тем же субъектом, который, по данным Федерального бюро расследований США, стоит за кражей у Bybit. Binance публично не подтвердила личность атакующих. Если атрибуция подтвердится, две крупнейшие кражи криптовалюты в истории окажутся делом рук одной группировки.

Приведенные ниже цифры и хронология основаны на прямом репортаже Cointelegraph об инциденте и последующих заявлениях биржи. Расследование продолжается, и как суммы убытков, так и график восстановления могут измениться.

Binance зарезервировала $6,34 млрд для покрытия убытков

Binance сообщила, что зарезервировала более $6,34 млрд собственных средств для покрытия убытков, включая $5 млрд, уже находящихся в затронутых токенах. Эта сумма не включает замороженные активы, а биржа заявила, что скупает оставшиеся токены на биржах и через внебиржевые сделки. Вместе заморозки со стороны партнеров и резерв из собственных средств компании отражают два основных рычага восстановления при краже такого масштаба: перехват похищенных средств при их движении по экосистеме и восполнение балансов клиентов за счет собственного баланса биржи.

Представитель Binance сообщил Cointelegraph, что $5 млрд находятся в распоряжении биржи, но отказался раскрыть адреса кошельков, сославшись на соображения безопасности. Компания CertiK заявила, что ей нужна дополнительная информация для независимой проверки этих активов.

Роль EIP-7702 под вопросом

Обновление Ethereum EIP-7702 вызвало критику после того, как атакующие использовали его для опустошения кошелька Binance. EIP-7702 — это функция, позволяющая кошельку авторизовать программное обеспечение для действий от своего имени. Генеральный директор Blockaid Идо Бен-Натан сообщил Cointelegraph, что кражу, вероятно, сделали возможными скомпрометированные системы подписания транзакций.

По словам Бен-Натана, атакующие могли похитить средства и без EIP-7702, однако эта функция, возможно, помогла им обойти средства защиты и вывести активы за один раз.

Сопрезидент Binance Ричард Тенг заявил, что злоумышленник использовал делегирование EIP-7702, чтобы получить права исполнения над горячим кошельком в обход стандартных процедур одобрения биржи. По его словам, «механизм самоуничтожения» уничтожил инструменты и следы, что осложнило расследование.

Binance сообщила, что следователи также обнаружили дополнительные проникновения помимо изначально предполагаемого взлома ноутбука сотрудника. Однако, по данным биржи, признаков утечки приватных ключей кошельков не выявлено, и она ожидает опубликовать дополнительные технические выводы примерно в течение 48 часов.

"Чтобы было ясно: злоумышленник не просто использовал разрешения одного инженера, и это не было единичным действием «в один клик», — сказал Тенг. — «Наше расследование не связывает ответственность ни с одним конкретным человеком».

Chainalysis зафиксировала тысячи транзакций, совершенных в быстрой последовательности, что может указывать на автоматизированное отмывание средств: деньги циркулировали между адресами и иногда возвращались на кошельки, использованные ранее.

Пользователи ждут возобновления вывода средств

Кража пошатнула цены на криптовалюты и побудила децентрализованную кредитную платформу Aave ввести профилактическую заморозку новых депозитов и займов. Aave объявила в X, что ее рынки возобновили работу во второй половине дня в пятницу, тогда как вывод средств на Binance оставался приостановлен.

В обновлении в пятницу в X Binance сообщила, что намерена начать поэтапное возобновление вывода средств в воскресенье, 1 ноября, при условии завершения проверок безопасности. Депозиты и другие незатронутые сервисы продолжали работать.

В официальном объявлении биржа также сообщила, что планирует сделать первичный снимок резервов (proof-of-reserves) в течение 12 часов после объявления, а результаты будут готовы к понедельнику. Отчет призван показать, какими активами располагает Binance и чем обеспечены балансы клиентов.

В субботнем обновлении Binance сообщила, что восполнена 90% похищенных активов и биржа по-прежнему рассчитывает возобновить вывод средств к воскресенью. Таким образом, поэтапное возобновление, намеченное на воскресенье, обещанные технические выводы примерно в течение 48 часов и результаты отчета о резервах, ожидаемые в понедельник, образуют хронологию, по которой можно оценивать восстановление биржи.