Binance сообщила, что покрыла 90% из примерно $6,3 млрд, украденных в результате взлома в четверг, — по сравнению с 80% в предыдущем обновлении. Если эта цифра подтвердится, она превысит крупнейшую кражу криптовалюты в истории — около $1,5 млрд, похищенных у Bybit в феврале 2025 года, атаку которую расследователи также связали с Северной Кореей. Биржа планирует возобновить вывод средств 1 ноября, указав, что процесс начнётся поэтапно.

«Мы восполнили 90% украденных активов и намерены покрыть оставшиеся 10%. Наши пользователи не понесут финансовых потерь в результате этого инцидента», — заявил со-CEO Richard Teng в субботу в X (пост).

В третьем и последнем обновлении Binance сообщила, что 10 крупнейших затронутых токенов «полностью обеспечены на 100%». Это BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD и ZEC. Оставшиеся 10% приходятся на менее ликвидные токены вне этой группы, на поиск которых может потребоваться больше времени.

Источники средств для возмещения

Binance сообщила, что использовала три источника для возмещения украденных активов: частичное задействование фонда Secure Asset Fund for Users (SAFU), часть страхового фонда фьючерсов и собственную корпоративную казну.

Позднее компания подтвердила в посте в X, что перевод средств SAFU завершён, указав на перевод 7 499 BTC, видимый в блокчейне. Перевод можно отслеживать через идентифицированный Binance адрес Bitcoin (обозреватель блокчейна).

SAFU — это чрезвычайный резерв, созданный в июле 2018 года для случаев, включая нарушения безопасности. Он хранится в Nest Clearing and Custody Limited — клиринговой компании, регулируемой в Абу-Даби. Binance сообщила, что пополнит фонд примерно до $1 млрд.

Страховой фонд фьючерсов защищает трейдеров от убытков из-за дефицита по банкротным позициям и ограничивает принудительные ликвидации, также известные как авто-делевериджинг. Binance сообщила, что выделила только сумму сверх требуемого размера фонда, тогда как оставшийся баланс является нормативным требованием. По словам биржи, фонд остаётся выше требуемого уровня покрытия, хотя ни одна биржа не может полностью избежать авто-делевериджинга.

Вывод средств и подтверждение резервов

Binance приостановила вывод средств после атаки, которая, по её данным, началась, когда около 20:05 UTC в четверг были скомпрометированы её горячие кошельки. Горячие кошельки остаются подключёнными к интернету для обработки повседневных переводов, что делает их более уязвимыми, чем офлайн-холодное хранилище, которое биржи обычно используют для основной части средств клиентов. Депозиты и другие не затронутые сервисы продолжали работать.

Ранее биржа сообщала, что вывод средств возобновится в течение 48 часов. Теперь она сообщает, что вывод средств откроется поэтапно 1 ноября.

Binance также опубликовала новый снимок Proof of Reserves, сделанный в полночь UTC в субботу. Раскрытие информации о резервах получило широкое распространение среди крупных бирж после краха FTX в 2022 году. Полное доказательство с нулевым разглашением, как ожидается, займёт от 40 до 50 часов на генерацию. Компания сообщила, что держатели 10 покрытых токенов смогут проверить обеспечение не менее 1:1, что, по её оценке, будет доступно во вторник. В более раннем обновлении Binance сообщала, что результаты будут готовы к понедельнику.

Расследование продолжается

Первоначальная оценка Binance указывала на скомпрометированный ноутбук инженера. Во втором обновлении сообщалось, что расследование «выявило дополнительные точки проникновения». Teng описал «сложную атаку» с использованием скомпрометированного ноутбука и вредоносного ПО, предназначенного для удаления улик. Binance сообщила, что не нашла доказательств утечки приватных ключей кошельков. Такие ключи в случае компрометации дали бы злоумышленнику прямой контроль над защищаемыми ими средствами.

По данным Binance, около $3 млрд украденных активов заморожены в блокчейне. Заморозка в блокчейне зависит от эмитентов токенов, поддерживающих блокировку адресов, — возможности, распространённой среди эмитентов стейблкоинов, — тогда как активы без эмитента, такие как биткойн, нельзя заблокировать таким способом. Эта цифра отделена от показателя возмещения в 90%, который отражает замещение активов, а не их возврат.

Обновления Binance не называют ответственных. Согласно более раннему отчёту TechNext24 (отчёт), TRM Labs и Chainalysis связали атаку с Северной Кореей. Binance сообщила, что рассчитывает поделиться дополнительными техническими выводами примерно в течение 48 часов после второго обновления и опубликует полный разбор инцидента.