- В конце октября 2026 года Binance подверглась крупнейшему взлому в истории криптоиндустрии.
- Злоумышленники вывели около $6,34 млрд из кошельков биржи в десяти блокчейнах.
- Редакция Incrypted разобрала хронологию инцидента.
29 октября 2026 года криптовалютная биржа Binance подверглась масштабной кибератаке. В течение относительно короткого времени злоумышленники похитили активы на сумму около $6,3 млрд.
Инцидент стал крупнейшим взломом в истории криптоиндустрии, превзойдя атаку на Bybit в феврале 2025 года. Расследование выявило тщательную подготовку ко взлому с использованием методов социальной инженерии и механизма делегирования EIP-7702.
Ниже — хронология основных событий: от подготовки атаки до восстановления вывода средств и реакции правоохранителей.
Подготовка к атаке
Согласно предварительному отчету Binance от 3 ноября, подготовка к атаке на внутреннюю инфраструктуру биржи началась как минимум за несколько месяцев до похищения средств.
— Binance (@binance) November 3, 2026
По первоначальным данным внутреннего расследования Binance, опубликованным 30 октября, инцидент безопасности мог произойти из-за компрометации ноутбука одного из DevOps-инженеров. Впрочем, почти сразу на бирже добавили, что «дальнейшая проверка выявила дополнительные точки проникновения».
Злоумышленники проникли во внутреннюю инфраструктуру через фальшивые собеседования, зараженное программное обеспечение и скомпрометированные устройства сотрудников. В итоге они получили несанкционированный доступ к сервису подписания транзакций.
Как злоумышленники могли обойти систему безопасности
По данным расследования Binance, в июне 2026 года один из сотрудников Wallet DevOps загрузил поддельный установщик Homebrew, пытаясь установить ИИ-инструмент для программирования. Служба безопасности выявила угрозу, заменила устройство и обновила учетные данные, однако злоумышленники уже получили информацию о сотруднике и его коллегах.
В сентябре злоумышленники организовали фальшивое собеседование для другого разработчика Binance. Представившись сотрудниками вымышленной компании, они убедили его загрузить на рабочий компьютер репозиторий с кодом под видом тестового задания. На самом деле он содержал вредоносную программу, которая подменила компонент инструмента pyenv и обеспечила доступ к устройству. По утверждению Binance, средства защиты не выявили угрозу.
20 октября через скомпрометированный компьютер и внутренний ИИ-инструмент Binance злоумышленники получили доступ к системам еще двух сотрудников. На одном из устройств они обнаружили токен с правами на развертывание контейнеров.
29 октября злоумышленники использовали этот доступ для развертывания вредоносного контейнера и запуска атаки. По предварительным выводам Binance, им удалось получить несанкционированный доступ к внутреннему сервису подписания транзакций, что позволило выводить активы вне обычной процедуры биржи.
Накануне взлома
По данным Blockaid, непосредственно взлом начался как минимум за день до основного вывода средств.
28 октября кошелек оператора атаки получил три небольших перевода через криптомиксер Tornado Cash. На следующий день злоумышленник начал тестировать механизм будущей атаки — проверил механизм делегирования и перемещения активов на трех собственных кошельках.
Злоумышленник заранее развернул смарт-контракт с функцией sweep, которая позволяла переводить Ethereum и определенные токены на другой адрес. Впоследствии этот контракт использовали для вывода активов из горячих кошельков биржи.
Пошаговый взлом
Первые несанкционированные переводы произошли не в Ethereum, хотя именно атака на эту сеть впоследствии привлекла больше всего внимания.
Согласно TRM Labs, 29 октября средства начали поступать с кошельков Binance в XRP Ledger.
В течение следующих минут атака распространилась на другие блокчейны.
Центральным эпизодом атаки стала компрометация одного из горячих кошельков под названием Binance 14. Для атаки злоумышленник воспользовался механизмом EIP-7702, который появился в Ethereum в рамках обновления Pectra.
Хакер отправил транзакцию с 50 авторизациями EIP-7702, подписанными для Binance 14. Они соответствовали разным значениям nonce — от 18 914 775 до 18 914 824. Этот параметр определяет последовательность транзакций, которые отправляет кошелек, и предотвращает повторное выполнение уже использованных подписей.
Поскольку Binance 14 продолжал обрабатывать операции, его актуальное значение менялось. Подготовив диапазон авторизаций, атакующий рассчитывал, что одна из них будет соответствовать нужному значению. Расчет сработал: одна авторизация оказалась действительной.
Кульминация атаки наступила, когда злоумышленник вызвал функцию sweep и всего за одну транзакцию вывел из Binance 14 около $2,5 млрд (включая 167 464 ETH и 1,615 млрд USDT).
Уже через 24 секунды с кошелька Binance 16 ушли еще 28 005 ETH, а в течение следующих 12 минут каскадный вывод охватил другие горячие кошельки биржи в сетях Optimism, Arbitrum и Avalanche.
Поскольку делегирование EIP-7702 оставалось активным и не требовало новых подписей для каждой следующей операции, злоумышленник продолжил опустошать Binance 14. В течение следующих нескольких часов он повторно вывел более $1 млрд в USDC и USDT, которые поступали на биржевой кошелек от других пользователей.
В отчете от 3 ноября Binance объяснила, почему даже приостановка вывода средств не позволила немедленно остановить атаку.
Дело в том, что авторизации EIP-7702 уже были записаны в блокчейне и действовали независимо от обычной инфраструктуры вывода средств биржи. Поэтому отключение соответствующих сервисов не отменяло полномочия, которые получил контракт злоумышленника.
Ситуацию усложняло использование технологии MPC (многосторонних вычислений) для управления горячим кошельком Binance. При такой архитектуре нет единого приватного ключа, который можно немедленно использовать для подписания транзакции отмены делегирования.
Поэтому команде Binance пришлось разработать и выполнить специальную процедуру отзыва несанкционированных разрешений.
Последний несанкционированный перевод на 2961,9 ETH подтвердился в сети в 23:56 UTC 29 октября. Биржа уточнила, что транзакцию отправили ранее, но некоторое время она ожидала подтверждения.
В 00:10 UTC 30 октября Binance выполнила новую авторизацию для Binance 14 на нулевой адрес, очистив делегирование EIP-7702.
В то же время переводы из сетей биткоина, XRP Ledger, Tron, Solana и других сетей не требовали использования стандарта EIP-7702. Там средства выводили с помощью обычных подписанных транзакций.
Эта последовательность свидетельствует о том, что злоумышленники, вероятно, получили доступ к более широким возможностям управления биржевыми средствами. В TRM Labs считают, что совокупность переводов указывает на компрометацию инфраструктуры подписания транзакций Binance.
Что произошло со средствами
После основного вывода активов злоумышленники начали активно перемещать и конвертировать украденные токены. Они пытались как можно быстрее обменять стейблкоины на активы, которые нельзя заблокировать решением централизованного эмитента.
По данным TRM Labs, около 325 млн USDT злоумышленник обменял через UniswapX и другие сервисы на примерно 122 300 ETH. Еще 60 млн USDT он внес в кредитный протокол Aave в качестве обеспечения и получил взамен около 19 760 ETH стоимостью $44,6 млн.
В ответ команда Aave временно заморозила рынки кредитования в версиях V3 и V4. Ограничения охватили сотни резервов в нескольких блокчейнах и касались открытия новых депозитных и кредитных позиций.
Замороженные активы
В ответ на инцидент Binance временно приостановила ввод и вывод средств, отозвала разрешение на использование скомпрометированного адреса и привлекла правоохранительные органы к отслеживанию украденных активов.
Биржа также обратилась за помощью к эмитентам стейблкоинов, блокчейн-аналитическим компаниям и другим участникам индустрии. Одной из главных задач стала блокировка активов, которые еще не успели отмыть.
В первые дни после атаки оценки объема замороженных активов менялись в зависимости от источника и момента подсчета.
По оценке ончейн-аналитика ZachXBT, благодаря совместным усилиям участников индустрии удалось заморозить около $2,8 млрд. В то же время Blockaid сообщила, что Tether и Circle заморозили около $1,8 млрд на основном адресе сбора средств.
Позднее Binance заявила, что партнеры биржи заморозили активы на $3 млрд.
В комментарии Incrypted CTO HackenProof Александр Горлан отметил, что значительную часть украденных средств уже удалось заморозить благодаря именно оперативной координации биржи, эмитентов стейблкоинов и других участников рынка:
«Это важный результат: скорость реагирования напрямую влияет на масштаб последствий атаки».
$6,34 млрд для компенсации
После атаки Binance заявила, что покроет подтвержденные потери пользователей собственными ресурсами и за счет страхового фонда SAFU.
Позже биржа сообщила о резервировании более $6,34 млрд для восстановления активов, утраченных в результате кибератаки. По данным компании, около $5 млрд из этой суммы уже хранились в тех же токенах, которые пострадали во время инцидента.
Остальные активы биржа закупала через рыночные и внебиржевые каналы, чтобы компенсировать нехватку конкретных токенов. Binance пояснила, что этот процесс может занять больше времени из-за низкой ликвидности отдельных активов и времени, необходимого для расчетов по внебиржевым сделкам.
После приостановки операций биржа перешла к поэтапному восстановлению сервисов. 1 ноября 2026 года Binance открыла вывод отдельных активов в сетях Ethereum и BNB Smart Chain.
Другие активы и сети должны были открываться постепенно после завершения проверок безопасности. По словам биржи, очередность восстановления определяли, в частности, с учетом спроса пользователей за предыдущую неделю.
Компания также публично подтвердила наличие средств пользователей с помощью механизма подтверждения резервов Proof of Reserves от 31 октября.
Binance продолжила сотрудничать с правоохранителями, эмитентами токенов и блокчейн-аналитическими компаниями для отслеживания, замораживания и возврата украденных активов.
Участие КНДР
Федеральное бюро расследований США (ФБР) официально связало атаку на Binance с Северной Кореей. Ведомство связало атаку с группировкой TraderTraitor.
По данным ФБР, украденные активы конвертировали преимущественно в Ethereum. Правоохранители ожидали, что злоумышленники продолжат перемещать средства через децентрализованные финансовые протоколы и сервисы мгновенного обмена, готовя их к дальнейшему отмыванию.
ФБР вместе с Секретной службой США и подразделением уголовных расследований Налоговой службы США обнародовало перечень адресов Ethereum, которые хранили или ранее получали украденные активы. Правоохранители призвали операторов узлов THORChain и RPC, сервисы обмена, DeFi-платформы и блокчейн-аналитические компании блокировать транзакции, связанные с этими адресами.
В то же время КНДР отвергла обвинения. Ким Е Чжон, сестра лидера страны Ким Чен Ына, назвала выводы американских правоохранителей политической провокацией.
Последствия для индустрии
После крупнейшей кражи в истории крипторынка биткоин просел, но обвала масштаба FTX не произошло. Одни аналитики видят в этом силу рынка, другие же ожидают новую волну страха.
Разные мнения экспертов мы ранее собрали в отдельном материале:
Отдельным риском остается возможная продажа злоумышленниками активов, которые не удалось заблокировать, указал Александр Горлан:
«Наиболее ощутимым это давление может быть для токенов с невысокой ликвидностью. Поэтому я бы следил прежде всего за движением украденных средств, их конвертацией и попытками вывода. Сам факт перемещения токенов еще не означает неизбежного обвала: важны объемы, скорость продажи и глубина рынка».
Говоря о доверии к централизованным биржам, CTO HackenProof подчеркнул, что ключевым станет то, как Binance преодолеет последствия атаки: обеспечит ли стабильный вывод средств, выполнит ли обязательства перед пользователями и прозрачно ли объяснит причины произошедшего.
По состоянию на 3 ноября Binance сообщила о завершении ряда мер по устранению последствий атаки.
Компания перенесла пораженную систему кошельков в новую среду, перестроила внутренний ИИ-инструмент и систему управления доступами, заменила скомпрометированные устройства и отозвала связанные с ними учетные данные и токены.
Также биржа провела дополнительные проверки устройств сотрудников, усилила контроль рисков в сервисах кошельков и расширила использование ИИ для выявления аномального поведения.
Binance заявила, что в течение 2026 года ее служба безопасности выявила и предотвратила 57 вероятных киберугроз, связанных с КНДР. Среди используемых злоумышленниками методов компания назвала фальшивые собеседования, зараженные пакеты программного обеспечения, поддельные инструменты разработки и вредоносные приложения для видеосвязи.
Кроме того, биржа привлекает независимых экспертов для проверки результатов расследования и рассматривает создание фонда исследований безопасности в сотрудничестве с ИИ-компаниями и представителями криптоиндустрии.
В то же время Binance предупредила, что часть технических подробностей останется закрытой, чтобы не помогать потенциальным атакующим.
Сообщение Хронология взлома Binance на $6,3 млрд: как атаковали крупнейшую криптобиржу мира появились сначала на INCRYPTED.