Binance в пятницу подтвердила, что злоумышленники похитили около $6,3 млрд в нескольких блокчейнах — биржа назвала это крупнейшей кражей в истории криптовалют. Компания обязалась возместить все потери.

Только в Ethereum около $2,5 млрд были выведены с кошелька Binance менее чем за четыре минуты с использованием функции EIP-7702, а примерно $3 млрд пострадавших активов с тех пор заморожены.

Биржа сообщила, что первоначальное расследование указывало на возможную причастность скомпрометированного ноутбука, однако последующее расследование выявило дополнительные точки проникновения.

Investigation update: Our initial investigation suggested that the security incident may have involved a compromised laptop, however our subsequent investigation has uncovered additional points of breach. This was a complex attack, and we are doing all we can in coordination… pic.twitter.com/FQQ3vKT6GU

— Binance (@binance) October 30, 2026

Вывод средств из Ethereum за четыре минуты

Злоумышленник использовал EIP-7702 — функцию, запущенную в мае 2025 года в рамках обновления Pectra сети Ethereum, — чтобы вывести около $2,5 млрд в эфире и токенах с кошелька Binance менее чем за четыре минуты в четверг.

Большинство кошельков Ethereum управляются одним приватным ключом и не могут соблюдать правила вроде лимитов на расходование средств. EIP-7702 позволяет обычному кошельку заимствовать код смарт-контракта, подписав короткое сообщение, называемое авторизацией. Функция создавалась, чтобы помочь кошелькам объединять платежи в пакеты и позволить третьим сторонам оплачивать комиссии за транзакции.

В течение нескольких недель после запуска обновления торговая фирма Wintermute обнаружила, что большинство ранних делегирований указывали на скрипты-«свиперы» — программы, пересылающие средства кошелька вору, что стало ранним признаком злоупотребления функцией в целях кражи.

How the Binance hack worked: The attacker exploited EIP-7702 – an Ethereum Pectra upgrade That lets a regular wallet temporarily act as a smart contract with a valid private key signature. Hacker pre-collected 50 EIP-7702 authorizations with sequential nonces Not knowing the… pic.twitter.com/Cq5lv8Qwc7

— philarekt (@philarekt) October 29, 2026

Как развивалась атака

Злоумышленник начал пополнять свой основной кошелек через Tornado Cash, сервис микширования криптовалют, начиная со среды. Он протестировал план на собственных кошельках и развернул контракт-свипер примерно в 16:00 UTC в четверг, настроив его так, чтобы управлять им мог только кошелек злоумышленника.

В 20:20 UTC злоумышленник отправил одну транзакцию, содержавшую 50 авторизаций. Каждая была подписана кошельком с меткой «Binance 14» на Etherscan и содержала различное значение счетчика транзакций (нонс), так что одна из них совпала бы, пока кошелек продолжал отправлять выводы средств. Ethereum принял авторизацию под номером 18 914 809 и проигнорировал остальные 49.

В 20:24 UTC злоумышленник перевел около 167 464 ETH и 63 токенов, в том числе примерно 1,6 млрд USDT. Дополнительные депозиты клиентов были выведены с кошелька в 21:04 и 21:44 UTC. По данным TRM Labs, злоумышленник также использовал этот кошелек, чтобы поручить другому кошельку Binance отправить 823 млн USDC. Разрешение было отозвано только в 00:10 UTC в пятницу — почти через четыре часа после первоначальной транзакции.

Кража вышла за пределы Ethereum

Операция не ограничилась Ethereum. Злоумышленник также перевел 18 270 биткоинов, сотни миллионов XRP, а также средства в сетях Solana и Tron. Эти сети не используют EIP-7702, и средства ушли через обычные подписанные транзакции, сообщила TRM Labs.

Расследование указывает на скомпрометированный ноутбук

Со-CEO Binance Ричард Тенг сообщил, что первоначальные выводы указывали на скомпрометированный ноутбук DevOps-инженера. Он заявил, что атака не была единичным действием «в один клик» и что признаков утечки приватных ключей не обнаружено.

Позже Binance сообщила, что следователи нашли дополнительные точки проникновения, но компания не назвала их и не объяснила, как злоумышленник получил подписи.

Мнение компаний в сфере безопасности

Компании в сфере безопасности заявили, что обновление не стало причиной взлома, но могло помочь злоумышленникам обойти проверки. Ido Ben-Natan, CEO компании Blockaid, сказал, что злоумышленники могли похитить средства и без EIP-7702, однако эта функция позволила сделать это одним выводом и, возможно, помогла обойти некоторые проверки. Ivo Georgiev, CEO разработчика кошельков Ambire, выразил противоположную оценку, заявив, что функция не имела большого значения, поскольку хакеры уже могли авторизовывать транзакции.

Поскольку операция также включала обычные подписанные транзакции в сетях, не использующих EIP-7702, этот инцидент не доказывает, что функция Ethereum сама по себе объясняет всю кражу. Дополнительные точки проникновения и все еще не раскрытая схема атаки оставляют неопределенным масштаб необходимых мер безопасности.

Binance обязалась возместить потери

Binance сообщила, что около $3 млрд пострадавших активов заморожены. Биржа планирует использовать резервный фонд SAFU и собственные средства для покрытия потерь. Полная схема атаки пока не опубликована. Дальнейшая ясность будет зависеть от расследования Binance, включая разъяснение дополнительных точек проникновения и способа получения подписей.