Взлом Binance на $6,3 млрд: что произошло и что будет с деньгами пользователей

Взлом Binance 29 октября 2026 года стал историей не только о миллиардах долларов, но и о том, как устроено доверие к криптобирже. В центре расследования — инфраструктура вывода средств. И один из самых необычных вопросов звучит так: как деньги могли уйти, если биржа пока не обнаружила утечки приватных ключей?

Разбираемся, что известно, какие детали действительно заслуживают внимания и почему заголовки «всё потеряно» и «всё уже вернули» одинаково опережают факты.

Срез информации: 30 октября 2026 года, 09:00 по Минску. Расследование продолжается. Оценки суммы, доступности операций и возврата активов могут измениться; ниже отдельно обозначены заявления Binance и выводы независимых исследователей.

Что Binance подтвердила официально

В обновлении от 30 октября Binance оценила общий масштаб инцидента примерно в $6,3 млрд, а объём замороженных в блокчейне активов — примерно в $3 млрд. По предварительной версии компании, взломанный ноутбук DevOps-инженера позволил атакующему добраться до служебного контейнера и отправлять несанкционированные запросы на вывод.

Биржа сообщила, что доказательств утечки приватных ключей пока не обнаружено. На время проверок она приостановила ввод и вывод, отозвала затронутую авторизацию адреса и подключила правоохранителей и специалистов по отслеживанию средств. Binance обещает покрыть потери за счёт SAFU и собственных средств, затем опубликовать обновлённое подтверждение резервов и технический отчёт.

Это позиция самой компании. Обещание компенсации важно, но оно ещё не заменяет проверку фактического восстановления активов. Аналогично предварительная версия проникновения не равна завершённому расследованию.

Как развивались события: вечер, который растянулся на несколько сетей

Компания TRM Labs оценила отток приблизительно в $6,36 млрд на десяти блокчейнах. По её данным, основная волна прошла примерно за двадцать минут начиная с 20:05 UTC 29 октября — это 23:05 по Минску. Позднее аналитики выделили ещё одну волну около 23:05 UTC, уже 02:05 следующего дня по Минску.

TRM связала атаку с северокорейской группой TraderTraitor и обозначила высокую уверенность своей оценки. Это атрибуция исследовательской компании, а не установленный судом факт. Опубликованное заявление Binance не называет конкретного исполнителя.

В реконструкции TRM важен ещё один момент: на Ethereum использовалось делегирование EIP-7702, а в других сетях наблюдались обычные подписанные переводы. Исследователи рассматривают это как признак компрометации инфраструктуры подписи горячих кошельков. Их ранний срез относится к 00:30 UTC 30 октября, поэтому его нельзя механически сравнивать с более поздними подсчётами.

Почему в публикациях разные суммы и количество блокчейнов

Bitquery описывает 17 горячих кошельков в девяти сетях и интервал с 20:04 до 23:56 UTC. В её разборе фигурирует около $2,7 млрд заблокированных активов. Исследователи также сообщают, что примерно $729 млн стейблкоинов успели обменять до срабатывания заморозок; к их срезу 03:54 UTC часть средств оставалась у атакующего.

Расхождения с другими отчётами требуют сверки, а не выбора самого эффектного числа. Разные команды могут включать разные адреса, фиксировать данные в разное время и оценивать токены по разным ценам. Пока общего окончательного отчёта нет, корректнее сохранять название источника рядом с цифрой.

Что сравниваем	Почему нельзя считать одинаковым
Первоначальный отток	Стоимость выведенных активов в выбранный момент
Замороженные активы	Ограничение дальнейшего движения ещё не означает возврат владельцу
Текущий остаток атакующего	Меняется после обменов, переводов и колебаний котировок
Окончательный убыток	Станет понятнее после возвратов и согласования всех сумм

Простой пример: если условные украденные монеты сначала стоили 100 млн, а потом подорожали до 110 млн, новая оценка кошелька не доказывает дополнительную кражу на 10 млн. И наоборот, падение стоимости не означает, что часть средств удалось вернуть. Это иллюстрация метода подсчёта, а не отдельный факт об этой атаке.

Интересная деталь №1: ключ можно не украсть, а подпись всё равно получить

Представьте сейф с надёжным замком и сотрудника, который открывает его по служебным поручениям. Злоумышленнику необязательно копировать ключ: достаточно добиться, чтобы сотрудник принял поддельное поручение за настоящее. В цифровой системе похожая проблема возникает, если нарушена цепочка проверки запросов перед подписанием.

Это объясняющая аналогия, а не реконструкция внутренней архитектуры Binance. Она показывает, почему безопасность ключа и безопасность всей операции — разные задачи. Блокчейн способен проверить корректность подписи, но не знает, соответствовал ли запрос реальному намерению владельца сервиса.

Для будущего технического отчёта поэтому важны не только вопросы «где лежали ключи» и «были ли они скопированы». Нужны ответы о разделении прав, проверке назначения переводов, лимитах и независимом подтверждении необычных операций. Именно эти детали позволят оценить, какой барьер не сработал.

Интересная деталь №2: EIP-7702 — полезная функция с серьёзными полномочиями

Спецификация EIP-7702 позволяет обычному аккаунту Ethereum делегировать выполнение кода. Механизм создавался для удобства: например, объединения нескольких действий или оплаты комиссии другой стороной. Но делегирование предоставляет коду широкие возможности в контексте аккаунта, поэтому безопасность выбранной реализации критична.

В документации прямо рассматриваются риски некорректных делегированных контрактов. Из этого не следует, что «взломали весь Ethereum»: использование штатного механизма через вредоносную авторизацию и ошибка самого протокола — разные утверждения. Доступных данных недостаточно, чтобы объявлять уязвимым любой кошелёк в сети.

Для обычного пользователя практическая мысль проста: запрос подписи может давать полномочия, даже когда на экране не показан привычный перевод фиксированной суммы. Подписывать непонятные сообщения ради обещанной компенсации особенно опасно.

Интересная деталь №3: следить за деньгами легче, чем вернуть их

В публичном блокчейне можно наблюдать движения по адресам. Однако видимость маршрута не даёт наблюдателю права отменить перевод. В разъяснении ethereum.org подчёркивается: у Ethereum нет центральной службы, которая возвращает ошибочно отправленные средства или блокирует обычные кошельки.

При этом отдельные токены могут иметь собственные административные механизмы. Поэтому сообщение о блокировке стейблкоина нельзя переносить на все активы в том же кошельке. В инциденте важно смотреть не только на адрес, но и на конкретный инструмент: что именно заблокировано, кем и в какой сети.

Отсюда разница между «средства обнаружены», «дальнейшее перемещение ограничено» и «средства возвращены». Это разные этапы. Для редакции факт успешного возврата потребует отдельного подтверждения, а не только красивого скриншота из обозревателя.

Что означает обещание сохранить пользовательские балансы

Баланс в приложении биржи и активы в её кошельках — не одно и то же отображение денег. Первый показывает учётную запись клиента, вторые — ресурсы, которыми площадка обеспечивает обязательства. Поэтому неизменная сумма на экране сама по себе не отвечает на вопрос о текущем состоянии резервов.

CoinDesk, изучив опубликованные Binance данные, указал, что затронутые кошельки присутствовали в подтверждении резервов за 1 октября. Издание рассчитало возможное временное снижение обеспечения ETH примерно до 94%, если украденное ещё не заменено. Это оценка на основе прежнего снимка, а не независимый аудит текущего состояния биржи.

Пользователю полезнее отслеживать конкретные результаты: восстановлены ли операции для его сети, появились ли новые сведения о резервах, объяснены ли изменения и завершены ли необходимые проверки. Один общий лозунг не заменяет эти ответы, но и временная остановка вывода сама по себе не доказывает банкротство.

Это не первый взлом Binance: чем отличался случай 2019 года

В сообщении от 7 мая 2019 года Binance рассказывала о выводе 7 000 BTC одной транзакцией. Тогда биржа указывала на похищенные API-ключи, коды двухфакторной аутентификации и использование фишинга и вредоносных программ. Пострадал горячий BTC-кошелёк, где, по её данным, находилось около 2% общего запаса биткоинов площадки.

Любопытный факт из последующего разбора Chainalysis: в транзакции, связанной с кражей, присутствовали и легитимные переводы Binance. Аналитики подчёркивали необходимость различать адреса атакующих и обычных получателей. То есть даже публичная цепочка транзакций требует интерпретации: соседство с подозрительной операцией ещё не делает пользователя преступником.

Исторический эпизод помогает понять методы анализа, но не доказывает, что нынешняя атака повторила старую. Масштаб, набор сетей и предполагаемый путь проникновения в свежем расследовании другие.

Что делать пользователю Binance без паники и лишних действий

Первое — проверять состояние операций через официальное приложение и раздел объявлений. Не пытайтесь «разблокировать вывод» через ссылку из личного сообщения. Пока идёт расследование, практическая опасность для читателя может исходить не только от первоначальной атаки, но и от поддельной поддержки.

Рекомендации ethereum.org по безопасности напоминают: нельзя передавать seed-фразу, приватные ключи и пароли, давать незнакомцам удалённый доступ или подписывать непонятные запросы. Уникальный пароль и двухфакторная защита полезны для личного аккаунта, но не являются гарантией против инцидента внутри биржевой инфраструктуры.

Второе — сохранить свою историю операций и идентификаторы спорных переводов для обращения в поддержку. Не публикуйте вместе с ними секретные данные. Если обнаружена неизвестная операция, обращайтесь по официальному каналу, а не к человеку, который обещает возврат за аванс.

Третье — после прояснения ситуации пересмотреть, какая сумма нужна именно для торговли. Самостоятельное хранение убирает часть зависимости от площадки, но добавляет ответственность за ключи, резервные копии и каждую подпись. Переводить всё в незнакомый кошелёк в спешке — тоже риск, а не универсальное решение.

На какие ответы теперь смотреть

Главная интрига — не только итоговая сумма. Важно увидеть технический отчёт о проникновении, объяснение границ затронутой инфраструктуры и подтверждение фактического восстановления обеспечения. Отдельный вопрос — какие из заблокированных активов действительно удастся вернуть и в какие сроки.

Наш вывод: этот случай стоит читать как историю о всей системе контроля, а не о единственном пароле или одной технологии. Надёжный ключ, корректная подпись и известный бренд решают разные задачи. Для владельца денег разумная реакция начинается с проверяемых сведений и понятного плана действий — без поспешных ставок на обвал или отскок рынка.

Следить за котировками можно на странице курсов криптовалют, а новые разборы выходят в разделе «Крипто». Эта статья описывает инцидент и вопросы безопасности, а не даёт торговый сигнал.

Источники приведены непосредственно в тексте. Предварительные оценки сохранены с указанием их авторов. Обложка — редакционная иллюстрация, созданная с помощью ИИ; она не изображает реальное оборудование Binance.