Расследование Binance недавней атаки на безопасность вышло за рамки первоначальной теории о том, что инцидент спровоцировал один скомпрометированный ноутбук. Со-генеральный директор Ричард Тэн сообщил, что следователи выявили дополнительные точки проникновения и отследили, как злоумышленник получил одобрение исполнения на блокчейне над одним из горячих кошельков биржи. Он добавил, что признаков утечки приватных ключей нет. Binance обязалась покрыть все убытки за счет собственных средств и Secure Asset Fund for Users (SAFU) — резервного фонда, созданного биржей в 2018 году для покрытия потерь в экстремальных случаях.

Атака оказалась сложнее, чем взлом одним кликом

В посте в X со-генеральный директор Ричард Тэн сообщил, что Binance сначала предполагала, что атака началась со взлома одного ноутбука. Последующие находки выявили дополнительные точки проникновения, что делает атаку значительно более сложной, чем взлом одним кликом.

По словам Тэна, злоумышленник получил доступ к сервисному контейнеру, а затем отправил несанкционированные транзакции вывода средств. Он подчеркнул, что инцидент не связан со злоупотреблением полномочиями одним сотрудником, и Binance не возлагала ответственность на какое-либо конкретное лицо.

Расследователи сообщили, что злоумышленник задействовал механизм самоликвидации для удаления инструментов и следов, что замедлило работу команды безопасности по восстановлению картины атаки. Подобные тактики стирания данных, которые в индустрии безопасности принято называть антифорензик-техниками, нацелены на то, чтобы затруднить реконструкцию инцидента.

Тэн также сообщил, что злоумышленник использовал EIP-7702 — механизм авторизации в Ethereum, — чтобы получить одобрение исполнения на блокчейне над горячим кошельком Binance. Это позволило злоумышленнику обойти стандартные процедуры одобрения биржи. EIP-7702 заработал в рамках обновления Ethereum Pectra в мае 2025 года и позволяет обычным пользовательским аккаунтам временно принимать функциональность смарт-контрактов, например объединять несколько операций под одной авторизацией.

Биржа не сообщала о flaw в самом EIP-7702, указав вместо этого, что злоумышленник использовал эту функцию для обхода ее внутренних контрольных механизмов. Binance заявила, что не обнаружила признаков компрометации приватных ключей кошельков. Расследование продолжается; биржа планирует опубликовать технический разбор после проверки выводов.

Binance зарезервировала 6,34 млрд долларов для покрытия убытков

Тэн сообщил, что средства клиентов не пострадали и что Binance полностью компенсирует убытки пользователям. Биржа зарезервировала более 6,34 млрд долларов из собственных средств для покрытия украденных активов, как указано в предыдущем обновлении Тэна.

По данным Тэна, около 5 млрд долларов уже находятся в тех же активах, что фигурировали в инциденте, включая BTC, ETH, BNB, USDT и USDC. Оставшуюся сумму Binance закупает через рыночные покупки и внебиржевые сделки.

Биржа оценила совокупный ущерб от атаки примерно в 6,3 млрд долларов и сообщила, что около 3 млрд долларов заблокированы на блокчейне при содействии партнеров из блокчейн-индустрии. Тэн отметил, что большинство активов клиентов хранится в холодных кошельках и переводится в горячие только при запросах на вывод средств. В холодных кошельках приватные ключи хранятся офлайн, тогда как горячие кошельки подключены к интернету для обработки выводов — именно этот уровень сейчас находится в центре расследования и мер по устранению последствий.