Binance сообщила о предварительном воздействии инцидента примерно на $6,3 млрд и заморозке около $3 млрд связанных активов. Это оценка самой биржи в Security Incident Update, а не окончательный расчёт чистого убытка.
В сообщениях об атаке встречаются $5 млрд, $5,8 млрд и $6,36 млрд. Часть расхождений объясняется временем среза, охватом сетей и тем, что авторы считают разные величины. Ниже разберём суммы, реальные переводы, предварительную версию атаки и то, что стоит проверить, если у тебя есть аккаунт Binance.
Срез информации: 30 октября 2026 года, 06:32 UTC / 13:32 по Новосибирску. История развивается; текущую доступность операций проверяй непосредственно в приложении биржи.
Что случилось с Binance
Вечером 29 октября по UTC средства начали уходить с горячих кошельков Binance. В Новосибирске это уже было раннее утро 30 октября. Горячий кошелёк используется в онлайн-инфраструктуре биржи для проведения операций; он отличается от твоего баланса, который приложение показывает во внутреннем учёте.
TRM Labs оценивает отток по десяти блокчейнам в $6,36 млрд по ценам в момент переводов. В том же исследовании стоимость этих активов на более позднем срезе указана как $6,23 млрд. Это пример того, почему даже один набор монет может получить разные долларовые оценки.
Оценка Bitquery составляет около $6,3 млрд из 17 горячих кошельков на девяти сетях. Это расчёт исследователей, не наш повторный аудит всех цепочек. В их методике связь эпизодов XRP Ledger и Solana с остальной атакой частично основана на времени и характере переводов.
Почему $6,3 млрд, баланс Arkham и заморозки нельзя смешивать
| Показатель | Что он означает | Источник и срез |
|---|---|---|
| Около $6,3 млрд | Предварительная оценка общего воздействия | Binance, Security Incident Update |
| $6,36 млрд | Расчёт оттока по ценам переводов, десять сетей | TRM Labs, срез на 00:30 UTC 30 октября |
| Около $3 млрд | Связанные активы, о заморозке которых сообщила биржа | Binance, обновление об инциденте |
| Около $2,7 млрд | Замороженные или спасённые активы в расчёте исследователей | Bitquery, материал от 30 октября |
| Около $3,1 млрд | Оценка активов, оставшихся у атакующего на конкретный момент | Bitquery, 03:54 UTC 30 октября |
Источники таблицы: Binance, TRM Labs, Bitquery.
Заморозка запрещает перемещение определённых активов, но сама по себе не означает их возврат бирже или выплату клиенту. Токены могут продолжать отображаться на отслеживаемом адресе. Поэтому вычитание «6,3 минус 3» не даёт надёжной оценки окончательной потери: нужны единый момент оценки, учёт обменов, возвратов и доступности активов.
Что за «кошелёк хакера» в Arkham
Ссылка Arkham ведёт на сущность с меткой binance-hacker-1029. Это аналитический кластер, а не один блокчейн-адрес. В нём можно сопоставлять адреса и операции в разных сетях.
В доступном нам представлении страницы подтвердились название и разделы аналитики, но не загрузились полный список адресов и текущие балансы. Поэтому мы не выдаём цифру из ранних скриншотов Arkham за проверенный текущий остаток. Для воспроизводимой проверки ниже есть отдельная транзакция с конкретным временем и получателем.
Что видно в реальной транзакции Binance 14
Карточка транзакции Ethereum 0x53bd…e2f3 показывает:
- Статус Success, блок 26300770, время 29 октября, 20:24:23 UTC.
- Внутренний перевод около 167 464,25 ETH с адреса, помеченного Etherscan как Binance 14.
- 63 ERC-20-перевода в этой транзакции; среди них 1 615 409 498,97324 USDT.
- Получателя
0x5227f603C1eE34CE3C06eFe6477003BDfCCB2f8c, помеченного сервисом как Binance Hot Wallet Exploiter 2.
Суммы и время прочитаны в самом обозревателе. Названия владельцев — метки Etherscan. Одна эта транзакция не доказывает итоговый ущерб по всем сетям; она даёт проверяемый эпизод. Адрес приведён для изучения истории переводов.
Как могла пройти атака
Предварительная версия Binance
Биржа сообщает, что скомпрометированный ноутбук DevOps-инженера мог дать доступ к сервисному контейнеру и отправке неавторизованных запросов на вывод. Binance пока не обнаружила свидетельств утечки приватных ключей. Полный технический отчёт ещё ожидается. Заявление Binance.
Действительная криптографическая подпись не говорит, что операция была разрешена владельцем бизнеса. Если атакующий получает доступ к сервису, которому доверяет инфраструктура подписи, он может злоупотребить этим доверием. Окончательный путь внутри Binance должен установить post-mortem.
Роль EIP-7702 на Ethereum
В исследовании Blockaid описаны 50 авторизаций EIP-7702 для последовательных nonce кошелька Binance 14. По разбору исследователей одна из них подошла, после чего кошелёк начал исполнять указанный атакующим код. Затем последовал массовый перевод активов. Текущий текст отчёта говорит о контроле над инфраструктурой подписи; утверждать доказанную кражу приватного ключа по нему нельзя.
Спецификация EIP-7702 позволяет обычному Ethereum-аккаунту делегировать исполнение коду контракта. Для этого нужна подписанная авторизация. Делегация может сохраняться до замены или снятия и отличается от разрешения потратить заданное количество ERC-20-токенов. Авторы спецификации предупреждают о риске почти полного контроля над аккаунтом при небезопасном делегированном коде.
Эта механика объясняет Ethereum-часть расследования. Переводы в Bitcoin, Tron и других сетях нужно исследовать отдельно. Общая формулировка «взломали Ethereum и через него все сети» не описывает показанный исследователями путь.
Ключевые моменты: хронология
Все времена ниже — UTC. Это события 29 октября, кроме строки с явно указанным 30 октября.
| Время | Событие | Основание |
|---|---|---|
| 20:20:59 | Делегация кода для Binance 14 | Исследование Blockaid |
| 20:24:23 | Основной перевод ETH и токенов | Проверенная карточка Etherscan |
| Примерно через 24 секунды | Переводы с другого горячего кошелька к тому же получателю | Исследование Blockaid |
| 21:01 | Первая заморозка Tether на основном Ethereum-получателе | Хронология Bitquery |
| 21:04 | Заморозка 823 млн USDC | Хронология Bitquery |
| 30 октября, 00:10 | Отмена делегации Binance | Хронология Bitquery |
Первичные разборы: Blockaid, Etherscan, Bitquery. Мы отдельно проверили основной перевод; остальная хронология атрибутирована её авторам.
Кому приписывают атаку
TRM Labs с высокой уверенностью приписывает инцидент TraderTraitor, северокорейской группе. Компания ссылается на ончейн- и внецепочные сведения. Это аналитическая атрибуция TRM; все исходные разведданные в публичном материале не раскрыты.
Метка аналитического сервиса и даже высокая уверенность исследователя не устанавливают личность конкретного человека. В этом разборе мы не выдаём их за опубликованное решение суда или итоговый вывод правоохранителей.
Работает ли вывод и кто покрывает потери
В более свежем Service Update на официальном подтверждённом профиле Binance сказано: депозиты работают нормально, вывод остаётся приостановленным. Биржа ожидает начать его восстановление в течение следующих 48 часов. Это заявленный ориентир из обновления, а не отсчёт от момента чтения нашей статьи.
Binance обещает покрыть потери средствами SAFU и компании, а после восстановительных мер выпустить обновлённый Proof of Reserves. Официальное заявление. Обещание покрытия не подтверждает уже выполненные выплаты или завершение восстановления. Для этого нужны последующие данные.
Что проверить, если у тебя деньги на Binance
Открой приложение самостоятельно
Проверяй статус операций в приложении или на сохранённом официальном сайте. Сообщение в чате со словами «вывод снова открыт» само по себе ничего не подтверждает. Не пытайся обойти паузу через предложенный в личке «резервный шлюз».
Проверь защиту аккаунта
Посмотри историю входов и операций, активные сессии и настройки 2FA. Если находишь незнакомую активность, используй поддержку внутри официального приложения. Binance рекомендует 2FA и антифишинговый код в своей инструкции по защите от мошенников.
Если пользуешься ботами или интеграциями, проверь API-доступы. При признаках компрометации ключей отзови их и обратись в поддержку; изменение ключей может остановить твоих ботов, поэтому учитывай связанные процессы. Документация Binance API прямо относит ключ и секрет к чувствительным данным.
Не подписывай «компенсацию»
Запрос seed-фразы, приватного ключа, кода 2FA или перевода на «безопасный адрес» — повод остановиться и проверить отправителя через официальный канал. Binance предупреждает, что поддержка не просит отправлять деньги на сторонний адрес. Ethereum.org отдельно объясняет, почему нельзя передавать seed-фразу и подписывать непонятные запросы.
Это общая защита от фишинга, а не утверждение, что мы исследовали отдельную кампанию под этот инцидент. Усиление личного аккаунта также не снимает ограничение вывода на стороне биржи.
Что остаётся неизвестным
На срез материала нет окончательного публичного post-mortem, полной сверки возвращённых средств и финального чистого убытка. Разные исследовательские оценки охватывают разные сети и моменты времени. Текущий баланс кластера тоже меняется вместе с переводами и ценами.
Для следующего обновления нужны три проверяемые вещи: официальный статус восстановления вывода, технический отчёт о пути атаки и обновлённые данные резервов с учётом обязательств перед клиентами. Следи за ними через каналы Binance, а историю переводов изучай через кластер Arkham и ссылки на обозреватели выше.