Восемь недель незаметного доступа предшествовали рекордной краже $6,3 млрд из Binance

Хакеры, похитившие около $6,3 млрд у Binance 29 октября, как сообщается, восемь недель имели доступ к бирже, прежде чем действовать. Сама кража была быстрой; подготовка — нет, и этот разрыв стал самой тревожной частью истории. Атака была направлена на горячие кошельки Binance — подключенные к интернету кошельки, которые биржи держат онлайн для обработки ежедневных депозитов и выводов клиентов, — и стала крупнейшей кражей цифровых активов на сегодняшний день.

Двадцать минут действий, недели терпения

Атака началась примерно в 20:05 UTC 29 октября 2026 года, и большая часть операции развернулась примерно за 20 минут. За это время злоумышленники перевели средства более чем через десять блокчейнов, включая Ethereum, Bitcoin и Solana. Скоординированный вывод средств через столько сетей требует планирования, а не импровизации. Распыление также сужает возможности возврата: инструменты отслеживания и заморозки похищенных средств различаются от цепочки к цепочке, и не каждый движущийся актив можно перехватить.

Подготовка, по имеющимся данным, началась значительно раньше. Исследование инцидента указывает на подготовительный период, начавшийся не позднее июня 2026 года. Хронология также включает конкретные шаги 20 октября, а тестирование внутреннего доступа, как сообщается, произошло примерно за 36 часов до атаки.

Как они проникли

Расследование Binance показало, что взлом стал результатом многоуровневой кампании, основанной на социальной инженерии, то есть на манипулировании людьми и доверенными процессами, а не на прямом криптографическом взломе. Тактика включала фальшивое собеседование и скомпрометированные инструменты разработки программного обеспечения, что дало злоумышленникам доступ к внутренним системам Binance. Оттуда они могли проводить несанкционированные транзакции.

Примечательно, что злоумышленникам не потребовалось компрометировать приватные ключи. Приватные ключи — это криптографические пароли, управляющие криптокошельками, и обычно они рассматриваются как главная ценность безопасности биржи.

Взлом был приписан группировке TraderTraitor — спонсируемой государством хакерской группировке КНДР. Эта же группировка связана с более ранними атаками, включая кражу $1,5 млрд у Bybit в феврале 2025 года, которая на тот момент была знаковой потерей для централизованной биржи. Сумма по Binance более чем в четыре раза больше.

Контроль ущерба Binance

Binance сразу после кражи приостановила вывод средств, а позже возобновила его поэтапно. Биржа выделила около $6,34 млрд из корпоративных ресурсов для покрытия убытков, и к 31 октября сообщила, что около 98% похищенных активов было восполнено.

Также подключились партнеры и эмитенты стейблкоинов. Примерно от $2,85 млрд до $3 млрд похищенных средств были заморожены или перехвачены. Эмитенты стейблкоинов могут блокировать токены на уровне контракта, фактически нейтрализуя часть добычи для воров. Такой контроль существует только для токенов, контракты которых управляются эмитентами, — именно поэтому добычу, распыленную по стольким цепочкам, невозможно полностью нейтрализовать таким способом.

Binance также заказала независимый аудит безопасности. Его заявленная цель — проанализировать взлом и укрепить устойчивость биржи в будущем.

Знакомый сценарий в большем масштабе

Связанные с КНДР хакеры годами оттачивали особый подход к криптотargetам, и случай с Binance соответствует этой схеме: терпеливое проникновение, манипуляция людьми, затем быстрый выход.

Фальшивые собеседования — особенно эффективная приманка. Разработчик, считающий, что проходит техническую оценку, может запустить код или установить инструменты без той проверки, которую он применил бы к неизвестному файлу. Скомпрометированные инструменты разработки развивают ту же идею: инженеры доверяют своему инструментарию, и это доверие становится точкой входа.

Что это значит

Для бирж главный урок состоит в том, что безопасность горячих кошельков не сильнее внутренних систем, которые могут авторизовывать транзакции с них. Защита приватных ключей необходима, но явно недостаточна, когда злоумышленник может действовать внутри конвейера одобрения.

Заявленный восьминедельный период доступа, скорее всего, привлечет наибольшее внимание. Обнаружение, а не только предотвращение, — вот где независимый аудит должен дать ответы.

Частичная заморозка примерно $2,85–3 млрд подчеркивает другую динамику: эмитенты стейблкоинов и партнерские компании теперь фактически выполняют роль аварийного тормоза при крупных кражах, что усиливает аргументы в пользу централизованных инструментов вмешательства, которым часть криптосообщества все еще сопротивляется.

Для пользователей практический вывод касается не столько B specifically, сколько того, как работает кастодиальное хранение. Средства на любой централизованной бирже зависят от ее внутреннего контроля, резервов и способности выдержать удар, когда этот контроль дает сбой. У Binance на этот раз резервы были. Открытый вопрос для индустрии — сколько других платформ могут сказать то же самое, если группировка с неделями тихого доступа выберет их следующей целью.