Атакующие вывели большую часть примерно 6,3 млрд долларов из горячих кошельков Binance примерно за 20 минут, и полная последовательность ограбления теперь доступна в виде хронологии. По данным блокчейн-аналитической компании TRM Labs, воры заставили собственную систему подписания биржи подписать транзакции за них.

Криптобиржа хранит средства клиентов частично в горячих кошельках, которые остаются онлайн для обработки выводов, а остальное — в офлайн-холодном хранении. Каждый вывод сначала проходит через инфраструктуру подписания, которая сверяет запросы с внутренними политиками; только после этого она подписывает их ключами горячих кошельков. Тот, кто контролирует этот уровень, соответственно, вообще не нуждается в приватном ключе. Binance сообщила о краже 29 октября 2026 года, а на следующий день указала дополнительные точки проникновения.

Схема во многом напоминает взлом Bybit в феврале 2025 года, где аналогичным образом отказал уровень одобрения и ни при чем не оказался баг контракта. TRM с высокой степенью уверенности связывает атаку с КНДР. В своей реконструкции атаки компания оценивает потери в 6,36 млрд долларов на десяти сетях. Elliptic, напротив, называет 6,43 млрд долларов на одиннадцати сетях, где каждый актив оценен на момент перевода. Обещанный биржей отчет о первопричине должен прояснить точную причину.

36 часов подготовки через Tornado Cash

Подготовка началась минимум за 36 часов до кражи. С 28 октября 2026 года недавно созданный кошелек-оператор получал небольшие суммы через микшер Tornado Cash — по данным Elliptic, это были три вывода по 0,1 ETH. Около 16:00 UTC 29 октября 2026 года атакующие развернули в блокчейне sweeper-контракт. Программа массово опустошает балансы и принимает команды только от кошелька-оператора. По данным компании по безопасности Immunefi, он состоит всего примерно из 130 строк кода.

Ранее в тот же день атакующие протестировали первую версию кода на двух кошельках. Примерно за четыре часа до атаки они отрепетировали финальную версию на третьем кошельке, после чего тестовые средства вернулись оператору. Таким образом, атакующие дважды проверили код и один раз отрепетировали его. TRM видит ту же схему, что и во взломе Bybit и атаке на KelpDAO в апреле 2026 года.

Как разворачивался взлом Binance, минута за минутой

В первоначальном заявлении Binance назвала точкой входа возможно скомпрометированный ноутбук DevOps-инженера. Через эту машину атакующие, как утверждается, получили доступ к сервисному контейнеру и отправили несанкционированные выводы; согласно этой версии, изначально не было признаков утечки приватных ключей. Однако 30 октября 2026 года биржа сообщила о дополнительных точках проникновения и описала сложную атаку, которую не мог провести один человек. Binance пока не раскрыла, что это за точки, поэтому ноутбук остается непроверенным первоначальным утверждением.

Вывод средств начался в 20:05 UTC 29 октября 2026 года в сети XRP Ledger. К 20:09 пять кошельков Binance отправили 233,46 млн XRP — на сумму около 296 млн долларов — на один адрес, причем каждый кошелек остановился на минимальном балансе. Незадолго после 20:10 последовала Solana с 970 500 SOL, а также Optimism. В 20:20 горячий кошелек Bitcoin отправил 18 270 BTC на сумму около 1,47 млрд долларов; так называемая peel chain разделила сумму на куски по 1000 и 100 BTC в пределах того же блока. В то же время горячий кошелек Tron за две минуты потерял 612,7 млн USDT и 46,4 млн TRX. С выводом на Ethereum в 20:24 основная фаза длилась около 20 минут. Наконец, вторая волна затронула Avalanche и Polygon около 23:05.

TRM делает из этой последовательности центральный вывод. Само по себе делегирование на Ethereum могло бы выглядеть как фишинг. Однако атакующие опустошили еще девять сетей обычными подписанными переводами без какого-либо делегирования. Поэтому TRM заключает, что система подписания горячих кошельков сама подписала транзакции за атакующего. Данные Elliptic подтверждают эту трактовку: второй горячий кошелек на Ethereum под названием "Binance 16" имеет собственный ключ, и он отправил прямо атакующему 28 006 ETH и другие токены общей стоимостью 174 млн долларов на момент кражи.

Как 50 авторизаций разблокировали sweeper

На Ethereum атакующие использовали функцию, появившуюся с обновлением Pectra в мае 2025 года. По EIP-7702 обычный кошелек подписывает авторизацию, указывающую на смарт-контракт, который затем исполняет свой код. Подпись охватывает только chain ID, целевой адрес и nonce — не отдельную транзакцию. Nonce — это счетчик аккаунта. Ни получатель, ни сумма не входят в подпись, и такую авторизацию может отправить кто угодно. Сама спецификация предупреждает, что делегирование дает коду неограниченный доступ к аккаунту.

В 20:20:59 UTC атакующие отправили транзакцию с 50 авторизациями. Каждая несла подпись от ключа кошелька "Binance 14" и указывала на sweeper. Столько их понадобилось, потому что nonce должен совпадать точно, а высокая частота выводов постоянно увеличивала счетчик. Серия охватила nonce от 18 914 775 до 18 914 824; в итоге сработал только nonce 18 914 809, а остальные 49 сеть отклонила. TRM читает серию как признак доступа с ограничением по времени или пути через систему запросов.

В 20::23 UTC атакующий затем вызвал sweeper через Binance 14. Одна транзакция опустошила 167 464 ETH и 63 токена — включая около 1,6 млрд USDT — общей стоимостью около 2,5 млрд долларов.

Делегирование оставалось активным и после этого, поскольку EIP-7702 сохраняет его до следующей авторизации. Спецификация оправдывает это удобством: пользователи не должны постоянно настраивать новые контракты. Здесь, однако, то же свойство позволило продолжать выводить новые депозиты без новой подписи. Они последовали, среди прочих, в 20:41, 21:04, 22:39 и 23:56 UTC. Binance 14 отозвала делегирование только в 00:10 UTC 30 октября 2026 года — почти четыре часа спустя.

Через скомпрометированный кошелек атакующие также распорядились другим кошельком Binance и вывели из него 823 млн USDC. По данным TRM, этот второй кошелек — отдельный смарт-аккаунт. Всего, по подсчетам TRM, Binance потеряла на Ethereum 3,79 млрд долларов.

Гонка с заморозкой стейблкоинов

У стейблкоинов вроде USDT, USDC и RLUSD есть центральный эмитент, который может заморозить отдельные адреса. У Bitcoin и Ether такой инстанции нет, поэтому остановить их может лишь биржа, замораживающая входящие средства, или органы с доступом к ключам. Тем не менее Tether и Circle заморозили первые адреса лишь примерно через час после начала вывода средств.

По данным Elliptic, атакующие обменяли 434 млн USDT на 160 451 ETH через Uniswap, 1inch и маркет-мейкеров, согласившись на скидку в 12–26% ниже рыночной цены — Elliptic читает это как приоритет скорости над стоимостью. К моменту первых заморозок около 786 млн долларов в стейблкоинах уже были конвертированы в ETH и TRX.

Второй кошелек атакующих обратился и к кредитному протоколу Aave. Он внес 59,9 млн USDT в качестве залога и занял 19 762 ETH на сумму около 44 млн долларов. В результате замораживаемый USDT теперь находится в пуле Aave, а ETH остался у атакующего. Aave в качестве меры предосторожности заморозила затронутые рынки и с тех пор открыла их снова; позиции остаются полностью обеспеченными.

На Tron атакующие обменяли 234 млн USDT на SunSwap на 638 млн TRX. По данным Elliptic, основной кошелек для отмывания совершил там 546 переводов TRX с медианным интервалом 96 секунд. В собственном анализе Chainalysis классифицирует паттерн транзакций на Tron как автоматизированный: многие адреса сначала получают ровно 1 TRX, а затем сумму, которую впоследствии пересылают. Впрочем, Elliptic не может судить, участвуют ли ИИ-агенты.

TRM оценивает незамораживаемый остаток примерно в 2,4 млрд долларов в Bitcoin и Ether. С учетом XRP и TRX по текущим ценам Elliptic насчитывает 3,21 млрд долларов. Биткоины распределены через peel chain по 19 адресам и пока не достигли ни одного сервиса. Поэтому аналитики ожидают, что следующим этапом станут мосты, обменные сервисы и OTC-дески.

Какие меры контроля нужно добавить биржам

Рекомендации TRM нацелены именно на эти слабые места. Биржи должны отклонять авторизации EIP-7702, если они их не ожидают, а запросы множества авторизаций по диапазону nonce считать признаком компрометации. TRM дополнительно рекомендует разделять инфраструктуру подписания и пути одобрения по сетям и уровням кошельков. Для казначейских кошельков любое делегирование — немедленная тревога, потому что адрес, который не должен содержать кода, внезапно его получает.

В Binance, по словам самой биржи, делегирование не прошло через обычные одобрения, а отзыв пришел только почти через четыре часа. Именно для такого сценария TRM советует отработанный, заранее одобренный процесс отзыва. Вице-президент Immunefi Симоне Имбреска также видит слабость на операционном уровне, поскольку атаке требовалось немного кода в блокчейне.

Binance пока не раскрыла первоначальную точку входа. Биржа сохраняет приостановку выводов, планирует постепенное возобновление и перестраивает свою систему вывода. Наряду с отчетом о первопричине она также готовит отчет о резервных доказательствах к 2 ноября 2026 года.

По материалам Crypto Valley Journal.