Хакеры вывели с Binance криптовалюту на $6,36 млрд

29 октября злоумышленники вывели с кошельков Binance криптовалюту примерно на $6,36 млрд, основную часть операций они провели за 20 минут в 10 блокчейнах. По предварительной версии биржи, доступ к её инфраструктуре мог открыть взломанный ноутбук инженера DevOps. Около $2,7 млрд удалось заморозить, а остальные потери Binance пообещала покрыть из резерва SAFU и собственных средств.

TRM Labs установила, что средства покидали кошельки Binance почти одновременно в независимых сетях, среди которых Ethereum, Bitcoin, Tron, XRP Ledger и Solana. По курсу на момент операций сумма составила $6,36 млрд. Аналитики назвали случившееся крупнейшим хищением криптовалюты за всё время существования отрасли, а при атаке на Bybit в феврале 2025 года преступники получили около $1,5 млрд. Итоговый ущерб может оказаться меньше, потому что часть активов удалось заблокировать. Крупнейшие суммы TRM Labs зафиксировала в четырёх сетях:

• в Ethereum около $3,79 млрд, в том числе 200 630 ETH и 1,875 млрд USDT;
• в Bitcoin 18 270 BTC стоимостью примерно $1,47 млрд;
• в Tron 612,7 млн USDT и 46,4 млн TRX общей стоимостью около $628 млн;
• в XRP Ledger 233,46 млн XRP стоимостью примерно $296 млн.

Binance 30 октября сообщила, что злоумышленники могли скомпрометировать ноутбук инженера DevOps, проникнуть в служебный программный контейнер и отправлять несанкционированные транзакции на вывод. Признаков утечки закрытых ключей биржа пока не нашла, а технический отчёт пообещала представить после расследования. Горячие кошельки подключены к интернету и быстро подписывают переводы, поэтому красть закрытый ключ необязательно, ведь легитимная система сама подпишет подготовленные преступником операции.

В Ethereum, по реконструкции TRM Labs, преступники использовали механизм EIP-7702, который позволяет обычному кошельку делегировать операции смарт-контракту. Они заранее подготовили 50 подписанных разрешений с последовательными значениями счётчика транзакций, чтобы хотя бы одно осталось действительным, пока горячий кошелёк обрабатывает переводы. Примерно через 3 минуты после делегирования из кошелька ушли 167 464 ETH и 63 других токена, в том числе около 1,615 млрд USDT. Подготовка началась минимум за 36 часов до основного вывода и состояла из нескольких шагов:

• небольшие переводы через Tornado Cash;
• развёртывание кода и проверка на тестовых кошельках;
• установка окончательной версии кода на горячий кошелёк Binance примерно за 4 часа до вывода.

Долгая подготовка указывает на спланированную операцию, а не на случайно найденную уязвимость. Получив 18 270 BTC, преступники начали дробить сумму на переводы примерно по 1000 и 100 BTC, чтобы усложнить отслеживание.

TRM Labs связала атаку с группировкой TraderTraitor, которую власти США относят к северокорейским государственным хакерским структурам, и заявила о высокой уверенности в атрибуции. Аналитики назвали три совпадающих признака:

• предварительная подготовка кошельков;
• небольшие переводы через Tornado Cash;
• подписи, полученные заранее и активированные за короткий промежуток времени.

Эта же группировка ранее связывалась с атакой на Bybit, в расследовании которой участвовало ФБР США, но окончательных доказательств личностей участников нынешней атаки TRM Labs пока не представила.

К блокировке подключились Tether, Circle, Ripple и World Liberty Financial, и, по данным TRM Labs, эти компании заморозили стейблкоины примерно на $2,67 млрд. Эмитенты USDT и USDC способны остановить использование активов на определённых адресах, а у биткоина эмитента нет, поэтому монеты заблокировать некому. Российским пользователям, которые хранят накопления и ведут расчёты в USDT, стоит учитывать, что стейблкоин остаётся под контролем эмитента и тот может ограничить конкретный адрес. Преступники пытались воспользоваться этим различием, обменяв часть USDT через маркетмейкеров и взяв ETH под залог остального в кредитном протоколе Aave. У них осталось более 420 тыс. ETH и 18 270 BTC примерно на $2,4 млрд.

По информации CoinDesk, крупные институциональные инвесторы пересматривают размещение активов на централизованных биржах и ускорили вывод части средств. Централизованные площадки концентрируют миллиарды долларов в одной точке, и взлом одной компании способен временно лишить клиентов доступа к активам. Россиянам, которые держат накопления на зарубежных биржах, это повод пересмотреть долю средств, оставленных в одном месте. Биткоин в четверг вечером потерял около 3,2% и опустился ниже $79 тыс., сообщило Associated Press.

Binance приостановила депозиты и выводы на время проверок и привлекла правоохранительные органы. Сооснователь Binance Чанпэн Чжао, который уже не управляет повседневной деятельностью биржи, заявил, что рассчитывает на полное возмещение потерь клиентов. TRM Labs рекомендовала компаниям три меры:

• контролировать делегирование EIP-7702;
• ограничивать полномочия систем подписания;
• разделять инфраструктуру для разных блокчейнов.

Эксперты CISOCLUB отметили, что слабым звеном оказалась не математика блокчейна, а рабочая среда сотрудника с доступом к системе подписания. Один скомпрометированный ноутбук способен стоить миллиарды, если нет жёстких лимитов на размер и частоту переводов и независимого подтверждения операций вторым контуром. Механизмы вроде EIP-7702 расширяют возможности кошельков, но открывают новые точки атаки, поэтому изменения делегирования стоит отслеживать в реальном времени.

Скорость реакции оказалась решающей, ведь заморозка стейблкоинов сохранила около $2,7 млрд, а у биткоина подобного рубильника нет. Компаниям пора заранее отрабатывать взаимодействие с эмитентами и аналитиками блокчейнов, не дожидаясь собственного инцидента. Обычным пользователям разумно держать на бирже только суммы для торговли, а долгосрочные накопления хранить в собственных кошельках.

Ранее сообщалось, что 24 сентября криптобиржа Bitget потеряла цифровые активы на сумму около $357 млн. Аналитики Elliptic с высокой степенью вероятности связывают атаку с северокорейскими хакерскими группировками. С учётом этого инцидента общий объём криптовалюты, похищенной хакерами из КНДР с начала 2026 года, достиг примерно $1,2 млрд. В Bitget заявили, что компенсируют пользователям понесённые потери за счёт собственных резервов.