Хакеры атаковали Binance: биржа оценила масштаб взлома в 6,3 миллиарда долларов

Криптовалютная биржа Binance сообщила о масштабной кибератаке, произошедшей 29 октября 2026 года. По предварительной оценке компании, злоумышленники вывели криптоактивы на сумму около 6,3 миллиарда долларов. Binance уже заморозила совместно с партнёрами примерно 3 миллиарда долларов и обещает полностью компенсировать потери пользователей.

Взлом затронул горячие кошельки биржи — подключённые к интернету системы, которые используют для повседневных операций с криптовалютой. Аналитическая компания Elliptic оценила стоимость похищенных активов в 6,43 миллиарда долларов. По её данным, деньги выводились из кошельков Binance в 11 блокчейн-сетях, включая Ethereum, Bitcoin и Tron.

Как хакерам удалось взломать Binance

По первоначальной версии Binance, атакующие могли проникнуть во внутреннюю инфраструктуру через скомпрометированный ноутбук DevOps-инженера. После этого они предположительно получили доступ к сервисному контейнеру, из которого отправлялись несанкционированные запросы на вывод криптовалюты.

DevOps-инженеры занимаются автоматизацией разработки и эксплуатации программного обеспечения. Они работают с серверами, контейнерами, системами развёртывания и другими компонентами инфраструктуры. Поэтому компрометация такой рабочей среды потенциально может затронуть критически важные сервисы.

Binance утверждает, что пока не обнаружила признаков утечки приватных ключей криптокошельков. Эти ключи используются для подтверждения права распоряжаться криптовалютой. Если их действительно не похитили, злоумышленники могли провести транзакции через штатные механизмы авторизации биржи.

При этом компания позднее сообщила об обнаружении дополнительных точек проникновения. Полная схема атаки пока неизвестна, а Binance обещает опубликовать технический отчёт после завершения расследования.

Как злоумышленники выводили криптовалюту

Специалисты по блокчейн-аналитике восстановили часть действий атакующих по публичной истории транзакций. Согласно исследованию Bitquery, подозрительные переводы начались 29 октября около 20:04 UTC. Последняя операция в изученной последовательности произошла в 23:56 UTC.

Исследователи насчитали 17 затронутых горячих кошельков в девяти блокчейн-сетях. Разница с оценкой Elliptic объясняется тем, что компании исследовали транзакции по разным методикам.

Особое внимание аналитики уделили операциям в Ethereum. По данным Elliptic, атакующие использовали механизм EIP-7702, позволяющий обычным криптовалютным аккаунтам временно выполнять логику смарт-контрактов.

Исследователи обнаружили 50 подписанных авторизаций, с помощью которых управление одним из кошельков Binance мог получить вредоносный контракт. Это позволяло инициировать операции с активами через механизм делегирования полномочий. В частности, злоумышленники могли выводить новые поступления средств без отдельного ручного подтверждения каждой операции владельцем кошелька.

В одной транзакции 29 октября в 20:24 UTC из кошелька Ethereum вывели активы примерно на 2,53 миллиарда долларов. По оценке Elliptic, это составило около двух третей похищенного в сети Ethereum.

Пока неизвестно, каким образом атакующие получили необходимые разрешения. Использование EIP-7702 само по себе не доказывает наличие уязвимости в протоколе Ethereum.

Что произошло с похищенными деньгами

Binance временно приостановила ввод и вывод криптовалюты, отозвала затронутые разрешения и начала расследование совместно с правоохранительными органами и компаниями по анализу блокчейнов. Позднее пополнения возобновились, однако вывод средств оставался приостановленным на время проверки безопасности.

К утру 30 октября Binance сообщила о заморозке активов примерно на 3 миллиарда долларов. Значительную часть средств удалось заблокировать благодаря эмитентам стейблкоинов USDT и USDC.

Стейблкоины — криптовалюты, стоимость которых привязана к обычным валютам, чаще всего к доллару США. Их эмитенты могут блокировать определённые токены на уровне смарт-контрактов. С нативными монетами Bitcoin и Ethereum ситуация сложнее: у них нет централизованного эмитента, который мог бы аналогичным образом заморозить средства.

Binance заявила, что покроет потери за счёт страхового фонда SAFU и собственных средств. Компания также планирует опубликовать обновлённое подтверждение резервов, которое покажет обеспеченность пользовательских балансов после устранения последствий атаки.

Кто стоит за взломом Binance

Аналитики Elliptic предполагают, что к атаке могут быть причастны северокорейские хакеры из группировки TraderTraitor, связанной с Lazarus Group.

Исследователи обнаружили, что часть похищенных средств поступила на адрес, который ранее фигурировал в расследовании другой предполагаемой атаки северокорейских злоумышленников. Кроме того, специалисты отметили сходство методов перемещения криптовалюты с предыдущими операциями группировки.

Однако официально личности исполнителей пока не установлены.

По оценке Elliptic, инцидент с Binance стал крупнейшим известным хищением криптовалюты. Предыдущим рекордом считалась атака на биржу Bybit в феврале 2025 года, когда злоумышленники похитили активы примерно на 1,46 миллиарда долларов. Масштаб нынешнего инцидента, по независимым подсчётам, более чем в четыре раза превышает этот показатель.