Взлом Binance на $6,3 млрд: как хакеры вывели криптовалюту с десяти блокчейнов
29 октября 2026 года крупнейшая криптовалютная биржа Binance столкнулась с масштабной атакой, в результате которой злоумышленники вывели цифровые активы примерно на $6,3 млрд. Инцидент затронул кошельки платформы сразу в десяти блокчейнах и уже называют крупнейшей криптовалютной кражей в истории.
По предварительным данным, атакующим удалось получить доступ к внутренней инфраструктуре биржи и инициировать несанкционированные транзакции. Binance временно приостановила операции с активами на затронутых сетях, а криптовалютные компании и эмитенты стейблкоинов начали экстренно блокировать средства, связанные с атакой.
При этом биржа заявила, что пользовательские средства находятся в безопасности, а все подтверждённые потери будут покрыты за счёт фонда SAFU и собственных средств компании.
Разбираемся, что произошло, как могла быть организована атака, кто может стоять за ней и какие последствия инцидент способен иметь для всего криптовалютного рынка.
Что произошло с Binance 29 октября
Вечером 29 октября из кошельков Binance начали выводить крупные объёмы цифровых активов. По данным аналитической компании TRM Labs, злоумышленник переместил около $6,36 млрд с адресов, связанных с биржей, в течение нескольких волн транзакций.
Основная часть средств была выведена примерно за 20 минут. При этом атака затронула сразу десять блокчейнов, включая Ethereum, Bitcoin, Tron, XRP Ledger, Solana, Arbitrum, Avalanche, Optimism, Base и Polygon.
Это принципиально важная деталь. Речь шла не об уязвимости одного отдельного токена или одной сети. Транзакции были проведены через инфраструктуру кошельков Binance в нескольких независимых блокчейнах.
Среди перемещённых активов оказались Bitcoin, Ethereum, XRP, Solana, а также значительные объёмы стейблкоинов USDT, USDC и других цифровых валют.
Binance подтвердила инцидент и сообщила, что предварительная оценка его масштаба составляет около $6,3 млрд. Компания временно приостановила депозиты и вывод средств на затронутых направлениях, чтобы провести дополнительные проверки безопасности и ограничить дальнейшее движение активов.
Важно понимать, что сумма около $6,3 млрд отражает оценку активов, затронутых атакой. Это не означает, что вся эта сумма безвозвратно потеряна: часть средств удалось заморозить благодаря совместным действиям биржи, эмитентов стейблкоинов и участников блокчейн-индустрии.
Как хакеры получили доступ к инфраструктуре Binance
Наиболее вероятный первоначальный механизм проникновения Binance описала в своём официальном обновлении от 30 октября.
По предварительным результатам расследования, злоумышленники могли скомпрометировать личный ноутбук одного из инженеров DevOps. Это позволило получить доступ к служебному контейнеру и инициировать несанкционированные транзакции на вывод средств.
DevOps - это направление IT-инфраструктуры, которое объединяет разработку программного обеспечения, автоматизацию процессов, настройку серверов и поддержку стабильной работы сервисов. Специалисты этого направления могут иметь доступ к критически важным внутренним системам компании.
Если злоумышленник получает контроль над устройством сотрудника с соответствующими полномочиями, он потенциально может использовать этот доступ для проникновения во внутреннюю инфраструктуру организации.
В случае Binance компания сообщила, что пока не обнаружила признаков утечки закрытых ключей криптовалютных кошельков. Это важное уточнение: на данный момент нет оснований утверждать, что хакеры напрямую похитили приватные ключи.
Аналитики TRM Labs, изучив транзакции в блокчейнах, выдвинули дополнительную версию. По их оценке, злоумышленники могли получить возможность инициировать операции через инфраструктуру подписи транзакций горячих кошельков Binance.
Горячие кошельки - это криптовалютные кошельки, подключённые к интернету и используемые биржами для обработки операций. Они обеспечивают быстрый вывод средств, но требуют особенно строгой защиты, поскольку связаны с постоянно работающей инфраструктурой.
На Ethereum исследователи обнаружили использование механизма EIP-7702. Он позволяет обычному кошельку делегировать выполнение определённых операций смарт-контракту с помощью специальной авторизации.
По версии TRM Labs, атакующие заранее подготовили несколько авторизаций и использовали одну из них, чтобы заставить горячий кошелёк Binance выполнять команды в интересах злоумышленника. После этого средства переводились на подконтрольные адреса.
Однако эта техническая реконструкция пока остаётся результатом анализа блокчейн-транзакций. Binance ещё не опубликовала полный технический отчёт и не подтвердила окончательную причину произошедшего.
Таким образом, наиболее осторожный вывод заключается в следующем: предварительная версия Binance указывает на компрометацию устройства сотрудника и доступ к служебной инфраструктуре, а анализ TRM Labs предполагает более глубокое воздействие на систему подписания транзакций.
Кто стоит за атакой на Binance
Одной из главных версий расследования стала причастность северокорейской хакерской группировки TraderTraitor.
Аналитическая компания TRM Labs заявила, что с высокой степенью уверенности связывает атаку на Binance с этой группировкой. Исследователи основываются на анализе транзакций, способах подготовки атаки и сходстве с предыдущими операциями, которые связывали с северокорейскими хакерами.
TraderTraitor относят к группам, которые проводят сложные кибератаки против криптовалютных компаний и финансовой инфраструктуры. Подобные операции рассматриваются не просто как обычное хищение цифровых активов, а как один из способов получения средств для финансирования деятельности, связанной с КНДР.
В числе аргументов TRM Labs - предварительная подготовка кошельков, использование небольших транзакций через Tornado Cash и заранее подготовленных механизмов для последующего перемещения активов.
Отдельное внимание привлекает сходство с атакой на Bybit в феврале 2025 года. Тогда злоумышленники похитили криптовалюту примерно на $1,5 млрд. Американские власти и ряд аналитических компаний связывали ту операцию с северокорейскими хакерами.
Тем не менее важно разделять аналитическую атрибуцию и официально установленную ответственность. На момент подготовки материала Binance не подтвердила личность злоумышленников. Версия о TraderTraitor основана на выводах TRM Labs и других участников расследования.
Сколько денег удалось заморозить
После обнаружения атаки началась гонка между злоумышленниками и компаниями, которые могли ограничить движение украденных активов.
По заявлению Binance, на момент публикации обновления компании удалось заморозить около $3 млрд активов непосредственно в блокчейне.
В этом процессе участвовали крупнейшие эмитенты стейблкоинов и другие инфраструктурные компании.
Tether заморозила значительные объёмы USDT, связанные с адресами злоумышленников. Circle также заблокировала крупные суммы USDC. К отслеживанию и ограничению движения средств подключились другие участники криптовалютной индустрии.
По оценке TRM Labs, совокупный объём замороженных активов на момент её анализа составлял примерно $2,7 млрд. Разница с оценкой Binance объясняется временем обновления данных и различиями в методологии подсчёта.
Почему это вообще возможно?
Стейблкоины USDT и USDC выпускаются централизованными компаниями. В определённых обстоятельствах их эмитенты могут блокировать токены на конкретных адресах, если получают соответствующие основания и действуют в рамках своих процедур.
Это принципиально отличает такие активы от Bitcoin и Ethereum. У них нет единого эмитента, который мог бы просто заблокировать конкретный адрес и запретить владельцу распоряжаться монетами.
Поэтому злоумышленники пытались перемещать средства, обменивать стейблкоины на другие криптовалюты и использовать децентрализованные финансовые протоколы.
TRM Labs сообщила, что часть активов проходила через децентрализованные торговые площадки и кредитные протоколы. В частности, злоумышленники использовали USDT в качестве обеспечения для заимствования Ethereum через Aave.
Такая стратегия усложняет отслеживание и возврат средств, поскольку активы могут быстро менять форму и перемещаться между различными протоколами.
Однако заморозка части средств не означает, что остальные активы невозможно отследить. Блокчейн-транзакции остаются публичными, и перемещение криптовалюты можно анализировать даже после нескольких последовательных обменов.
Взлом Binance и атака на Bybit: что общего и в чём разница
Атака на Binance уже сравнивается с крупнейшим взломом Bybit, произошедшим в феврале 2025 года. Обе операции связывают с северокорейскими хакерскими группировками, а их масштаб показывает, насколько серьёзной угрозой остаются атаки на централизованные криптовалютные платформы.
Однако механизмы этих инцидентов различались.
В случае Bybit злоумышленники получили возможность повлиять на процесс подтверждения транзакции при переводе средств из холодного кошелька. В результате они смогли вывести Ethereum и другие активы на сумму около $1,5 млрд.
В случае Binance предварительная версия расследования указывает на компрометацию устройства инженера DevOps и доступ к внутренней инфраструктуре, которая могла позволить инициировать несанкционированные транзакции из горячих кошельков.
Есть и существенная разница в масштабе. По оценке TRM Labs, из кошельков Binance было перемещено около $6,36 млрд. Это более чем в четыре раза превышает сумму, похищенную в результате атаки на Bybit.
Обе истории объединяет один важный вывод: даже крупные криптовалютные компании с серьёзными системами защиты остаются уязвимыми, если атакующий получает доступ к критически важным внутренним процессам.
При этом реакция индустрии на подобные инциденты тоже меняется. После атаки на Bybit криптовалютные компании и аналитические организации активно участвовали в отслеживании и блокировке активов. В случае Binance эта координация вновь стала одним из ключевых факторов ограничения ущерба.
Как взлом Binance повлиял на криптовалютный рынок
Сообщения об атаке вызвали заметную реакцию на криптовалютном рынке.
На фоне новостей Bitcoin опускался ниже $77 000, а Ethereum и ряд других крупных цифровых активов также демонстрировали снижение. Под давлением оказались и токены, связанные с экосистемой Binance.
Подобная реакция объяснима. Binance является одной из крупнейших торговых площадок криптовалютного рынка. Любой серьёзный инцидент, связанный с безопасностью её инфраструктуры, способен повлиять на доверие участников рынка.
Для инвесторов и трейдеров здесь важны сразу несколько факторов.
Первый - риск контрагента. Пользователи централизованных бирж фактически доверяют платформе хранение и обработку своих цифровых активов. Даже если блокчейн работает без сбоев, уязвимость инфраструктуры биржи может привести к масштабным потерям.
Второй - ликвидность. Временная остановка депозитов и выводов на отдельных сетях способна нарушить привычные процессы перемещения активов между биржами и кошельками.
Третий - рыночные настроения. Крупные взломы усиливают опасения относительно безопасности криптовалютной инфраструктуры и могут провоцировать сокращение рисковых позиций.
При этом падение цен после подобных событий не обязательно означает начало долгосрочного медвежьего тренда. Реакция рынка может быть связана с краткосрочным снижением доверия и повышением неопределённости.
Для оценки дальнейшего влияния необходимо следить не только за котировками, но и за тем, насколько быстро Binance восстановит полноценную работу, опубликует технический отчёт и подтвердит финансовое состояние своих резервов.
Как Binance собирается компенсировать потери
Одним из главных вопросов после атаки стала судьба средств пользователей.
Binance заявила, что пользовательские активы находятся в безопасности и все потери, связанные с инцидентом, будут покрыты за счёт фонда SAFU и собственных средств компании.
SAFU - это специальный фонд Binance, созданный для защиты пользователей в чрезвычайных ситуациях. Он предназначен в том числе для покрытия потерь, возникающих в результате инцидентов безопасности.
Компания также сообщила, что после завершения восстановительных работ опубликует обновлённые данные Proof of Reserves.
Proof of Reserves - это механизм подтверждения резервов криптовалютной платформы. Он позволяет пользователям и внешним наблюдателям оценивать наличие активов, необходимых для обеспечения обязательств перед клиентами.
При этом публикация обновлённых резервов не заменяет полноценный технический отчёт о взломе. Для восстановления доверия рынку потребуется понять, каким образом злоумышленники получили доступ к внутренним системам, какие уязвимости были обнаружены и какие меры приняты для предотвращения повторения атаки.
Пока расследование продолжается, поэтому окончательная оценка ущерба и технические детали могут измениться.
Что этот взлом означает для индустрии криптовалют
Атака на Binance - это не просто очередная история о краже цифровых активов. Она поднимает более широкий вопрос о безопасности централизованной криптовалютной инфраструктуры.
Долгое время основное внимание в криптоиндустрии уделялось защите приватных ключей, смарт-контрактов и пользовательских кошельков. Но инцидент с Binance показывает, что уязвимость может находиться не только непосредственно в блокчейне.
Скомпрометированное устройство сотрудника, доступ к служебным контейнерам, система авторизации транзакций или внутренние процессы управления инфраструктурой могут стать точкой входа для масштабной атаки.
Это означает, что криптовалютным компаниям необходимо рассматривать безопасность комплексно. Защита кошельков должна сопровождаться строгим контролем доступа сотрудников, изоляцией критически важных систем, многоуровневым подтверждением операций и постоянным мониторингом подозрительной активности.
Для пользователей ситуация также служит напоминанием о рисках хранения всех активов на одной централизованной платформе. Биржи предоставляют удобный доступ к торговле и ликвидности, но это не отменяет необходимости понимать риски хранения средств у посредника.
Отдельный вопрос - роль централизованных эмитентов стейблкоинов. Возможность быстро блокировать активы помогает ограничивать последствия преступлений, но одновременно демонстрирует, что не все цифровые валюты обладают одинаковой степенью независимости и контроля со стороны владельца.
Что дальше: на что обратить внимание инвесторам
На момент подготовки материала расследование продолжается. Поэтому следующие события могут оказаться не менее важными, чем сама атака.
В первую очередь рынку необходимо дождаться полноценного технического отчёта Binance. Он должен дать более точное понимание того, как именно злоумышленники получили доступ к внутренним системам и почему существующие механизмы безопасности не остановили транзакции.
Второй важный фактор - судьба оставшихся активов. Заморозка примерно $3 млрд стала значительным результатом совместных действий индустрии, однако часть криптовалюты продолжает находиться под контролем злоумышленников. Дальнейшее движение этих средств может повлиять на рынок отдельных цифровых активов и ликвидность торговых площадок.
Третий фактор - восстановление доверия. Binance необходимо подтвердить, что уязвимость устранена, операции работают в штатном режиме, а резервы компании позволяют выполнять обязательства перед пользователями.
Наконец, стоит следить за официальными результатами расследования и действиями правоохранительных органов. Версия о причастности TraderTraitor выглядит серьёзной, но окончательные выводы должны опираться на подтверждённые доказательства.
Главный вывод
Взлом Binance на сумму около $6,3 млрд стал одним из наиболее масштабных событий за всю историю криптовалютного рынка. Он показал, что даже крупнейшие торговые платформы не застрахованы от атак на внутреннюю инфраструктуру.
При этом скорость реакции индустрии продемонстрировала и другую сторону современной криптоэкономики: прозрачность блокчейнов, совместная работа аналитических компаний и возможность эмитентов стейблкоинов блокировать подозрительные активы способны существенно ограничить последствия подобных преступлений.
Для рынка сейчас важны не только сумма похищенных средств и личность злоумышленников, но и то, насколько быстро Binance сможет восстановить доверие пользователей и доказать устойчивость своей инфраструктуры.
