Взлом Binance на $6,3 млрд: что произошло и кто хранит ваши монеты

Ключевые выводы

29 октября 2026 года злоумышленники примерно за 20 минут вывели из горячих кошельков Binance около $6,3 млрд (оценка TRM Labs; по данным Elliptic — $6,43 млрд) в десяти блокчейнах. ФБР приписывает атаку северокорейской группировке TraderTraitor. Это крупнейшая кража криптовалюты в долларовом выражении.
По предварительным данным, взлом начался со скомпрометированного ноутбука инженера и процессов подписания транзакций, а не со взлома криптографии. Итогового отчёта Binance пока не опубликовала.
Binance заявляет, что покрывает убытки из фонда SAFU и собственных средств; к 1 ноября, когда начался поэтапный возобновлённый вывод, компания сообщила о восполнении около 95% затронутых активов.
Tether и Circle, по их собственным данным, начали замораживать похищенные стейблкоины в течение примерно часа. По подсчётам Elliptic на 2 ноября, заморожено или изъято около $2,85 млрд.
Инцидент напоминает: баланс на бирже — это требование к компании, которая держит средства всех клиентов в одном общем пуле. Некастодиальные схемы, где ключи остаются у вас, убирают этот пул.

Что произошло при взломе Binance?

Днём 29 октября 2026 года (по восточному времени США) активы начали уходить из горячих кошельков Binance — сначала в XRP Ledger, затем в Ethereum и Bitcoin. По данным TRM Labs, из десяти блокчейнов ушло около $6,36 млрд, бо́льшая часть — примерно за 20 минут.

Крупнейшая доля пришлась на Ethereum (около $3,8 млрд), далее — 18 270 BTC (около $1,5 млрд), $628 млн в TRON, $296 млн в XRP Ledger и $96 млн в Solana. Оценки аналитиков немного расходятся: у TRM около $6,3 млрд, у Elliptic — $6,43 млрд.

Это примерно вчетверо больше, чем $1,5 млрд, похищенные у Bybit в феврале 2025 года, — прежний рекорд. Основатель Binance Чанпэн Чжао напомнил, что Mt. Gox потеряла больше биткоинов в штуках, поэтому корректная формулировка — крупнейшая кража криптовалюты в долларовом выражении.

Хронология

24 сентября 2026. Bitget в отдельном инциденте теряет около $388 млн из горячих и тёплых кошельков.
29 октября. Вывод средств длится около 20 минут; в течение часа Tether, а затем Circle начинают замораживать связанные адреса; Binance приостанавливает вывод.
30 октября. Binance обещает покрыть все убытки и резервирует более $6,34 млрд; TRM с «высокой уверенностью» связывает атаку с TraderTraitor; регулятор Абу-Даби FSRA выступает с заявлением.
31 октября. ФБР называет виновником Северную Корею; Binance сообщает о восполнении 90% потерь и делает снимок резервов.
1 ноября. Вывод поэтапно возобновляется; Binance сообщает о восполнении около 95%.
2 ноября. Tether сообщает о заморозке более $1,5 млрд в USDT; Binance публикует подтверждение резервов по десяти токенам.
3 ноября. Запланирован следующий этап возобновления вывода; итоговый разбор инцидента не опубликован.

Как была устроена атака (предварительные данные)

Всё в этом разделе — предварительные сведения, которые могут измениться по итогам расследований. Первичная проверка Binance указала на скомпрометированный ноутбук DevOps-инженера. Через него атакующий, по имеющимся данным, получил доступ к служебному контейнеру и отправил несанкционированные выводы; позже Binance сообщила о «дополнительных точках проникновения», пишет Khaleej Times.

По данным TRM Labs, атакующий использовал 50 заранее подписанных авторизаций EIP-7702 — механизма Ethereum, позволяющего кошельку делегировать исполнение смарт-контракту. Вероятно, их получили с помощью фишинга, сообщает Forbes.

Binance утверждает, что не нашла признаков утечки приватных ключей. Выводы были подписаны корректными подписями: судя по всему, злоумышленник управлял инфраструктурой подписания, а не взламывал шифрование. Иными словами, математика выдержала — подвели операционные процессы вокруг неё.

Потеряли ли пользователи Binance свои средства?

Binance заявляет, что убытки клиенты не понесут. Компания зарезервировала более $6,34 млрд собственных средств и сообщила, что выкупает затронутые токены за счёт SAFU (аварийного фонда для пользователей), страхового фонда фьючерсов, резерва в биткоинах и корпоративной казны.

Доля восполнения составила 80% на 30 октября, 90% на 31 октября и около 95% на 1 ноября. Остаток — менее ликвидные токены, которые Binance, по её словам, ещё докупает.

Вывод начал поэтапно возобновляться 1 ноября, в первую волну вошли 15 сетей. 2 ноября Binance опубликовала подтверждение резервов по десяти токенам на основе снимка от 31 октября. Снимок отражает активы в конкретный момент и не заменяет непрерывный аудит.

Заморозки Tether и Circle: почему это важно

2 ноября Tether сообщила о заморозке более $1,5 млрд в USDT, связанных с атакой. Circle заморозила около $823 млн в USDC. По данным Elliptic, на которые ссылается Decrypt, заморожено или изъято около $2,85 млрд, или 44% добычи, — против примерно 3% после взлома Bybit.

Заморозки сработали не мгновенно. Около $786 млн в стейблкоинах успели обменять, использовать как залог или продать — во многом в ETH и TRX. Биткоины же эмитент заморозить не может в принципе.

У этого инструмента две стороны. Эмитент стейблкоина может заблокировать любой адрес, который сочтёт связанным с преступлением, — здесь это помогло. Но это же означает, что USDT или USDC можно заморозить и в некастодиальном кошельке: этот контроль на уровне эмитента не снимает ни один тип кошелька.

Почему биржи взламывают снова и снова?

Централизованная биржа объединяет активы клиентов в кошельках, которыми управляет сама. Бо́льшая часть лежит в холодном хранении, но горячие кошельки должны быть онлайн для обработки выводов — и до них можно добраться через людей, ноутбуки и программы, которые их обслуживают.

Bybit, февраль 2025. Около $1,5 млрд; атаку также приписывают TraderTraitor.
Bitget, сентябрь 2026. Около $388 млн: уязвимость в стороннем продукте для защиты дала доступ к внутренним учётным данным, после чего в бэкенд кошельков внедрили поддельные команды на вывод.
Binance, октябрь 2026. Около $6,3 млрд; точками входа называют ноутбук инженера и заранее подписанные авторизации.

Схема одна и та же: крупный общий пул средств, до которого добираются через операционные процессы, а не через сам блокчейн. В ОАЭ FSRA заявило, что «тесно взаимодействует с Binance и отслеживает инцидент». Как отмечает The National, надзорные требования к управлению ИТ, кибербезопасности, сохранности активов и реагированию на инциденты задают планку, но не исключают потерь.

Кастодиальное и некастодиальное хранение: почему важна архитектура

BlockX создаёт некастодиальную P2P-площадку, поэтому у нас есть интерес в этом различии. На кастодиальной бирже у вас есть баланс счёта, а ключи — у биржи. При самостоятельном хранении ключи у вас.

У трёх описанных выше инцидентов одна первопричина. Bybit, Bitget и Binance держали активы клиентов на кошельках, которые контролировала сама компания, поэтому одного взлома её внутренних процессов хватало, чтобы добраться до пула стоимостью в сотни миллионов или миллиарды долларов. Именно такой куш привлекает государственные хакерские группы вроде TraderTraitor.

Некастодиальная архитектура убирает этот пул. Ключи остаются у вас, а в некастодиальном эскроу криптовалюта каждой сделки блокируется в отдельном смарт-контракте и высвобождается только по его правилам — а не с ноутбука сотрудника или с сервера компании. Центрального кошелька со средствами всех пользователей нет, а значит, нет и единой точки, взлом которой задевает всех сразу. Сценарию атаки на Binance — скомпрометированный рабочий компьютер, управляющий конвейером выводов, — здесь просто не во что целиться.

Самостоятельное хранение требует хороших привычек, и инструменты для них давно отработаны:

Мультиподпись и аппаратная подпись. Если для перевода нужны два ключа или больше, каждый на отдельном аппаратном кошельке, одной выманенной фишингом подписи уже недостаточно. Вместе с понятным предпросмотром транзакций и правилом никогда не одобрять делегирования, смысла которых вы не понимаете (включая авторизации EIP-7702), это делает приём, о котором сообщалось при атаке на Binance, гораздо труднее повторить.
Код эскроу, который может проверить каждый. Хорошо сделанные эскроу-контракты опубликованы в блокчейне и проходят независимый аудит, поэтому правила блокировки и высвобождения средств можно проверить, а не принимать на веру.
Ключи, которые можно восстановить. Сид-фраза, хранящаяся офлайн, и аппаратные кошельки, купленные напрямую у производителя, страхуют от потери и подмены. История октября 2026 года с устройством Ledger со встроенным имплантом, проданным через неофициального реселлера CryptoBilis, показывает, почему второе так важно.
Эскроу для криптовалюты, проверка — для банка. В P2P-сделке криптовалюта остаётся заблокированной, пока продавец не подтвердит поступление банковского платежа. Проверка платежа в собственном банковском приложении — а не по скриншоту — закрывает ту часть сделки, которая проходит вне блокчейна.

Заморозка стейблкоинов здесь тоже работает на пользователей. Tether и Circle, по их собственным данным, заморозили более $2,3 млрд похищенных USDT и USDC в течение примерно часа. Эта защита на уровне эмитента действует для USDT и USDC, где бы они ни хранились, — в том числе в кошельках самостоятельного хранения и в эскроу-контрактах.

Урок 29 октября не в том, что хранить криптовалюту слишком рискованно. Он в том, что ключи всех клиентов, собранные в одном месте, создают мишень стоимостью в миллиарды. Собственные ключи и разумные меры предосторожности эту мишень убирают.

Что делать, если вы храните средства на бирже

Считайте баланс требованием к компании. Держите на любой бирже только то, что нужно для активной торговли, и знайте, кто контролирует ключи.
Пользуйтесь только официальными каналами. После крупных взломов множатся фальшивые сообщения о «компенсации» или «проверке аккаунта». Проверяйте объявления в приложении или на сайте самой биржи.
Правильно читайте отчёты о резервах. Это датированные снимки: полезные, но не доказывающие платёжеспособность в будущем.
Переводя средства в кошелёк, начните с теста. Отправьте небольшую сумму, сверьте сеть и покупайте аппаратные кошельки напрямую у производителя.
Проверяйте каждый запрос на подпись. Не одобряйте делегирования и разрешения, которых не понимаете, и отзывайте старые неиспользуемые разрешения.
Сохраняйте документы. Выписки и идентификаторы транзакций пригодятся при спорах и налоговых вопросах.