- Злоумышленник использовал 50 авторизаций EIP-7702, чтобы получить контроль над горячим кошельком Binance 14.
- По данным Blockaid, одна транзакция позволила вывести активы примерно на $2,5 млрд, а в течение следующих 12 минут средства потеряли еще десять горячих кошельков на четырех блокчейнах.
- Компания обнаружила подозрительную операцию через 1 минуту 55 секунд после первого масштабного перевода.
- Злоумышленник смог повторно вывести средства с делегированного кошелька.
29 октября 2026 года Binance подверглась крупнейшему взлому в истории крипторынка. В частности, злоумышленник вывел активы примерно на $2,5 млрд с одного из основных горячих кошельков криптобиржи Binance, использовав механизм делегирования EIP-7702.
Согласно техническому отчету компании Blockaid, атакующий заранее подготовил смартконтракт для перенаправления активов, а затем воспользовался авторизацией, подписанной для кошелька Binance 14.
Инцидент не ограничился одной транзакцией: в течение следующих минут средства начали поступать с других кошельков биржи.
Как работала атака на горячий кошелек Binance
По данным Blockaid, подготовка началась как минимум за день до основного вывода средств. Адрес оператора профинансировали тремя транзакциями из Tornado Cash, после чего злоумышленник протестировал механизм делегирования и перемещения активов на трех собственных кошельках.
Сначала атакующий развернул смартконтракт, который впоследствии использовал для вывода средств Binance. Контракт содержал функцию sweep, которая позволяла переводить Ethereum и указанные токены на другой адрес.
Почти за 4,5 часа злоумышленник отправил транзакцию с 50 авторизациями EIP-7702, подписанными для Binance 14. Они соответствовали разным значениям nonce — от 18 914 775 до 18 914 824. Поскольку кошелек продолжал обрабатывать транзакции, его актуальное значение nonce менялось. Поэтому атакующий подготовил диапазон авторизаций, рассчитывая, что одна из них будет соответствовать нужному значению.
EIP-7702 позволяет обычному Ethereum-кошельку делегировать выполнение операций коду смартконтракта. В этом случае механизм использовали для наделения кошелька логикой, которая позволяла перемещать его активы. Согласно реконструкции Blockaid, сработала одна из 50 авторизаций.
Через четыре минуты злоумышленник вызвал функцию sweep. С Binance 14 вывели 167 464 ETH, 1,615 млрд USDT и около 60 других токенов. Общую стоимость активов на тот момент оценили примерно в $2,5 млрд.
Через 24 секунды Binance 16 перевел на тот же адрес еще 28 005,6 ETH и другие токены. В течение следующих 12 минут средства также вывели из десяти других горячих кошельков на Optimism, Arbitrum и Avalanche. По данным Blockaid, эти переводы происходили как обычные транзакции, подписанные ключами соответствующих кошельков.
Важно, что использование EIP-7702 не означает взлом самого стандарта. Ключевой вопрос заключается в том, как злоумышленник смог получить авторизации, подписанные для кошелька биржи. Окончательный механизм компрометации на момент публикации отчета оставался невыясненным.
Почему злоумышленник смог продолжить вывод средств
По данным Blockaid, в 20:41:23 UTC хакер использовал делегированный Binance 14 для перемещения 780 млн USDC со смарт-аккаунта Binance Hot Wallet 34. После этого он перевел еще 43 млн USDC.
В 21:44 UTC злоумышленник повторно вывел из Binance 14 около 200 млн USDT и другие токены, которые поступили на кошелек после первой транзакции. Это стало возможным из-за того, что делегирование оставалось активным: адрес продолжал выполнять код атакующего без необходимости в новой авторизации для каждого вывода.
По оценке Blockaid, система мониторинга компании обнаружила первый масштабный вывод через 1 минуту 55 секунд после транзакции. Компания также сообщила, что ее инструменты определили механизм делегирования и признаки несанкционированного подписания в течение 11 минут.
Сооснователь Blockworks Джейсон Яновиц также описал дальнейшее движение украденных активов. По его данным, часть средств перевели на новые адреса, а часть USDT начали обменивать на ETH через Uniswap и UniswapX.
1/ Everything you need to know about the Binance hack. (written entirely by Claude using the Blockworks MCP) A thread https://t.co/CUPz6ZFTIl
— Yano (@JasonYanowitz) October 30, 2026
Другим направлением противодействия стала заморозка активов. По данным Blockaid, Tether и Circle заморозили около $1,8 млрд на основном адресе сбора средств. В то же время Ethereum и некоторые другие нативные активы не имеют централизованного эмитента, который мог бы заблокировать их на уровне токен-контракта.
Инцидент показал, что для защиты горячих кошельков недостаточно контролировать только обычные переводы. Механизмы делегирования, в частности EIP-7702, также требуют проверки перед подписанием, а изменения кода кошельков — постоянного мониторинга.
Blockaid подчеркивает важность политик, которые проверяют транзакции до создания подписи, и инструментов, способных оперативно выявлять подозрительную активность.
Полный механизм проникновения в инфраструктуру Binance и способ получения злоумышленником необходимых авторизаций пока остаются неизвестными.
Вместе с тем криптобиржа зарезервировала более $6,3 млрд для покрытия убытков от масштабного взлома.
Напомним, что в прошлом месяце Bitget подтвердила взлом на $351,6 млн, размер которого позже оценили в $387,5 млн.
Сообщение Как хакеры вывели $2,5 млрд из одного кошелька Binance — Blockaid раскрыла механизм атаки появились сначала на INCRYPTED.