Взлом Binance на $6 млрд: что будет с деньгами клиентов

29 октября 2026 года у Binance, крупнейшей криптобиржи мира, за три часа вывели криптовалюту примерно на $6,3 млрд. Это оценка самой биржи. Около $3 млрд удалось заморозить прямо в блокчейне. Binance обещает покрыть все потери из страхового фонда SAFU и собственных денег и заявляет, что средства клиентов в безопасности. Если вам попадалась цифра «$2 млрд» - это первые оценки, сделанные в первые часы по части кошельков. Настоящий масштаб оказался втрое больше.

Это крупнейшая кража в истории криптовалют. Прошлый рекорд - взлом биржи Bybit в Дубае в феврале 2025 года, около $1,5 млрд. Расследование ещё идёт, поэтому все цифры ниже предварительные, на 30 октября. Разберём простыми словами: как взлом одного ноутбука превратился в многомиллиардную потерю, кого подозревают и что это значит для всех, кто держит деньги на биржах. А самое неожиданное в этой истории - почему почти половину украденного удалось остановить. Об этом ближе к концу.

Что произошло: хронология трёх часов

Атака заняла меньше трёх часов вечером 29 октября по всемирному времени (UTC). Деньги уходили из горячих кошельков Binance. Горячий кошелёк (кошелёк биржи, постоянно подключённый к интернету, чтобы быстро выплачивать клиентам) похож на кассу в магазине. Основные деньги лежат в сейфе, то есть в холодном кошельке без доступа к сети. А касса всегда под рукой, и поэтому её проще ограбить.

Восстановить ход событий помог инженер компании по безопасности CertiK: он разобрал данные блокчейна и опубликовал хронологию на ChainCatcher. Главные точки:

• около 20:04 - из кошельков Binance начинают уходить монеты в сети XRP, затем в Solana и Optimism;
• около 20:20 - из сети биткоина выводят 18 270 BTC, параллельно уходят доллары USDT в сети TRON;
• 20:24 - главный удар: из кошелька «Binance 14» в сети Ethereum одной операцией забирают около $2,5 млрд, в том числе примерно 167 тыс. ETH и 1,6 млрд USDT;
• 21:01 и 21:04 - компании Tether и Circle замораживают свои монеты на адресах злоумышленника;
• 23:36-23:38 - последние четыре попытки снова опустошить кошелёк уже не проходят.

Всего пострадали восемь блокчейнов, а сумма по этому разбору - около $6,28 млрд. Это почти совпадает с оценкой самой биржи. Но тогда откуда взялись «два миллиарда», которые разошлись по новостям?

Почему сначала говорили о $2 млрд, а теперь о $6 млрд

Первые наблюдатели видели только часть картины. Вечером 29 октября TechCrunch писал, что из горячих кошельков вывели не меньше $2 млрд, и честно отмечал: цифры не подтверждены, кража может продолжаться. Один только кошелёк «Binance 14» потерял около $2,5 млрд. Остальное уходило в других сетях, и эти суммы сложились позже.

Сейчас оценки такие:

• Binance - около $6,3 млрд общего ущерба (официальное заявление);
• Chainalysis (компания, которая отслеживает движение денег в блокчейнах) - около $5,9 млрд на момент кражи;
• Arkham (сервис анализа блокчейнов) - кошельки взломщика в какой-то момент держали больше $5,7 млрд;
• Blockaid (компания по защите от атак в блокчейне) - около $5,5 млрд.

Цифры расходятся, потому что считают по разному курсу и разный набор кошельков. Опорной мы считаем оценку самой Binance: биржа лучше всех видит собственные кошельки. Окончательную сумму она обещает назвать в подробном техническом отчёте.

Для масштаба: перед взломом на Binance лежало около $144 млрд активов клиентов, по данным DefiLlama в пересказе CoinDesk. Украденное - примерно 4% от этой суммы. Представьте человека, у которого на счету 144 тысячи, и из кошелька вытащили 6 тысяч. Больно и обидно, но не банкротство. Остаётся главный вопрос: как вообще можно вынести такую сумму из кассы, которую охраняет одна из самых богатых компаний отрасли?

Как это сделали: ноутбук, контейнер и одна подпись

По версии самой Binance, всё началось с ноутбука одного инженера. В заявлении от 30 октября биржа пишет: предварительное расследование указывает на взломанный ноутбук DevOps-инженера (специалиста, который обслуживает серверы и выкладку программ). Через него атакующий попал в служебный контейнер (изолированный участок сервера, где работает одна программа, - как отдельная комната в офисе со своим замком) и отправил от имени биржи команды на вывод денег.

We have found no evidence of any wallet private key leak.

- Binance, официальное обновление от 30 октября 2026 года, Security Incident Update (в переводе: «Мы не нашли признаков утечки приватных ключей кошельков»)

Приватный ключ (секретный код, который даёт полную власть над кошельком) - это главная ценность биржи. Binance подчёркивает, что ключи не украдены. Но независимые исследователи описывают ещё одну деталь, без которой картина неполная.

Речь о функции EIP-7702. Её добавило обновление сети Ethereum под названием Pectra. EIP-7702 позволяет обычному кошельку выдать доверенность смарт-контракту (программе, которая живёт в блокчейне и выполняет заданные действия). Подписал доверенность - и программа может распоряжаться кошельком.

По данным crypto.news со ссылкой на Blockaid, в 20:20:59 атакующий отправил одной транзакцией 50 таких доверенностей для кошелька «Binance 14». Почему пятьдесят? Каждая операция кошелька имеет порядковый номер, как чек в кассе, и принимается только следующий по счёту. Кошелёк в это время сам выплачивал деньги клиентам, и угадать номер было сложно. Атакующий перебрал 50 номеров подряд. Один совпал. Кошелёк передал управление программе взломщика, и та через четыре минуты одной командой забрала всё, оставив 1 ETH на комиссии.

Здесь данные расходятся. Аналитики Threat Landscape указывают: такую доверенность можно подписать только собственным ключом кошелька, а значит, подпись могла быть получена через скомпрометированный ключ. Binance утечку ключей отрицает. Одно не обязательно исключает другое: если взломщик сидел внутри служебной системы, он мог заставить её саму подписать нужное, не вынося ключ наружу. Но это гипотеза. Сама биржа не называла EIP-7702 причиной, и точный ответ даст только её технический отчёт.

Как именно забрали деньги - примерно понятно. Следующий вопрос серьёзнее: кто это сделал.

Кто под подозрением: след Северной Кореи

Несколько независимых расследователей указывают на северокорейских хакеров, хотя официально авторство пока никто не подтвердил. По данным CoinDesk:

• независимый расследователь ZachXBT назвал вероятным исполнителем группировку Lazarus;
• компания TRM Labs с высокой уверенностью связала атаку с TraderTraitor - подразделением Lazarus;
• глава Chainalysis Джони Левин написал, что атаку, вероятно, провела именно TraderTraitor, и сослался на связи с прошлым взломом;
• глава Blockaid Идо Бен-Натан заявил, что приёмы и уровень подготовки похожи на операции КНДР.

Подозрение не на пустом месте. В феврале 2025 года ФБР официально возложило на ту же TraderTraitor кражу около $1,5 млрд у Bybit. А по отчёту Chainalysis, за 2025 год из криптоиндустрии украли больше $3,4 млрд, и минимум $2,02 млрд из них пришлось на северокорейских хакеров. Получается, что одна атака на Binance почти вдвое больше всех криптокраж за весь прошлый год.

Для клиентов биржи, впрочем, важнее другое: кто вернёт деньги.

Что будет с деньгами клиентов

Binance обещает покрыть все потери из фонда SAFU и собственных средств компании. SAFU (Secure Asset Fund for Users, страховой фонд биржи для защиты пользователей) - это отложенный резерв на случай взломов. По оценке CoinDesk, в нём около $1 млрд в биткоинах. Значит, основную часть ущерба биржа будет закрывать из собственных денег компании.

Что известно на 30 октября:

• вывод средств приостановлен на время проверки безопасности; сооснователь Binance Йи Хэ, по данным crypto.news, ожидает, что вывод заработает в течение 48 часов;
• о пополнениях данные расходятся: официальное заявление говорит о паузе и для пополнений, а Йи Хэ написал, что пополнения не затронуты;
• биржа обещает опубликовать подробный технический отчёт и обновлённое доказательство резервов (отчёт, который показывает, что монет на кошельках биржи не меньше, чем на счетах клиентов);
• основатель Binance Чанпэн Чжао написал, что больше не управляет биржей, но как акционер ожидает полного покрытия средств пользователей.

Рынок отреагировал сразу. По данным CoinDesk, биткоин упал на 4,8%, ниже $77 000, эфир - на 5,7%, собственная монета биржи BNB - на 8%. Теперь пора закрыть вопрос из начала статьи.

Почему почти половину украденного удалось заморозить

Потому что большая часть добычи была в стейблкоинах. Стейблкоин (криптовалюта, привязанная к доллару: 1 монета ≈ 1 доллар) выпускает конкретная компания, и у неё есть техническая возможность заблокировать монеты на любом адресе. Биткоин или эфир так не остановить: у них нет владельца с кнопкой.

По данным CoinDesk, Tether заморозила больше 1,57 млрд USDT, а Circle - больше $800 млн в USDC. Вместе с другими активами Binance насчитывает около $3 млрд замороженного. Причём реакция заняла меньше 40 минут после главного удара: кошелёк опустошили в 20:24, а блокировка Tether сработала в 21:01.

Остальное - в основном биткоины и эфир - взломщики уже начали отмывать. Chainalysis описывает типичный для северокорейских групп путь: деньги дробят на мелкие переводы, гоняют через мосты между блокчейнами (сервисы, которые переносят монеты из одной сети в другую) и миксеры (сервисы, которые перемешивают монеты разных людей, чтобы скрыть след). Весь цикл обычно занимает около 45 дней. Ближайшие полтора месяца покажут, сколько ещё удастся вернуть.

Мнение редакции: в этой истории есть неудобный парадокс. Криптовалюты задумывались как деньги без посредников, а лучше всего сработали именно посредники - компании, которые могут заморозить чужие монеты одним решением. Сегодня эта кнопка спасла около $3 млрд. Но та же кнопка теоретически может заблокировать и честного владельца. Мы считаем, что читателю важно видеть обе стороны, а не только хорошую новость.

Что делать, если у вас есть криптовалюта на бирже

Главное - понимать, что деньги на бирже вам не принадлежат напрямую. Это обещание биржи вернуть их по первому запросу. Пока биржа платёжеспособна и честна, разницы не видно. Во время взлома она становится очевидной.

Несколько простых правил, которые снижают риск:

• Проверяйте новости только на официальном сайте и в официальных аккаунтах биржи. После громких взломов обычно появляются фальшивые «формы компенсации» и рассылки от имени поддержки. Как отличить поддельный сайт, мы разбирали в материале о шести признаках мошеннического сайта.
• Включите двухфакторную защиту (вход по паролю плюс код из приложения) и белый список адресов для вывода, если биржа его предлагает. Тогда даже с вашим паролем деньги не уйдут на чужой кошелёк.
• Не держите на бирже больше, чем нужно для торговли. Долгосрочные накопления многие переносят в личный кошелёк, ключи от которого есть только у владельца.
• Помните, что атакуют людей, а не только код. Здесь всё началось с ноутбука одного сотрудника. Мошенники умеют подделывать даже голос - по записи длиной всего в три секунды.

Сегодня откройте приложение биржи, где у вас лежит хотя бы немного криптовалюты, и проверьте два пункта в настройках безопасности: включена ли двухфакторная защита и есть ли белый список адресов для вывода. Это займёт три минуты. Касса Binance опустела за три часа. Ваша защита настраивается быстрее.

Источники

• Binance: Security Incident Update (30.10.2026)
• CoinDesk: Binance loses over $6 billion (29.10.2026)
• CoinDesk: Lazarus Group likely behind Binance hack (30.10.2026)
• TechCrunch: Binance pauses withdrawals (29.10.2026)
• crypto.news: How one wallet trick led to the breach (30.10.2026)
• Threat Landscape: EIP-7702 analysis (30.10.2026)
• ChainCatcher: хронология по данным блокчейна (30.10.2026)
• ФБР: North Korea Responsible for $1.5 Billion Bybit Hack (26.02.2025)
• Chainalysis: криптокражи 2025 года (18.12.2025)