Вечером 29 октября 2026 года горячие кошельки Binance отправили на сторонние адреса около 6,3 млрд долларов в криптовалюте. Система подписи биржи одобрила эти переводы как собственные. За двадцать минут основная часть средств покинула кошельки. Атака задела около десяти сетей, среди них Ethereum, Bitcoin, Tron, Solana и Polygon. Биржа подтвердила инцидент и приостановила вывод.
Первая версия Binance указывала на компрометацию ноутбука инженера DevOps (специалиста по автоматизации сборки и эксплуатации). Через этот доступ атакующий отправил несанкционированные заявки на вывод из служебного контейнера. В обновлении о безопасности по данным компании сказано, что следов утечки приватных ключей не найдено. Позже биржа сообщила о дополнительных точках входа и назвала атаку сложной.
Масштаб определяется не только суммой. Горячий кошелёк - рабочий инструмент биржи, и подпись операций там автоматизирована. Компрометация инженерной рабочей станции превращается в доступ к этой подписи, а значит, и к средствам. Один ноутбук оказался связан с выводом сразу по десяти сетям. Для отрасли меняются приоритеты: защита сборочных и административных систем весит столько же, сколько криптография.
Около 3 млрд долларов удалось заблокировать на блокчейне. Основную работу выполнили эмитенты стейблкоинов. Tether заморозил более 1,5 млрд долларов в USDT, Circle - свыше 800 млн в USDC; первые крупные заморозки прошли примерно через сорок минут после основного вывода. Ripple, World Liberty Financial и First Digital заблокировали свои токены, Arbitrum Security Council вывел около 30 млн долларов из кошелька атакующего. Возможность эмитента заморозить баланс на публичном блокчейне сближает частную компанию с функцией правоприменения.
Остаток атакующий выводил быстро и с потерями. По оценкам на утро 30 октября, под его контролем оставалось около 2,4 млрд долларов, преимущественно ether и bitcoin. Часть USDT ушла маркет-мейкерам через децентрализованные контракты с дисконтом выше 10% к рынку. Другая часть прошла через протоколы межсетевого обмена, что типично для последующих этапов отмывания.
Две аналитические компании по блокчейну связали кражу с северокорейской группировкой TraderTraitor, которую относят к кластеру Lazarus. Оценка опирается на данные блокчейна и разведки, а также на совпадения с прошлыми эпизодами. Binance и государственные органы атрибуцию не подтверждали. Отдельный исследователь обнаружил, что средства Binance и похищенные в сентябре у Bitget смешались на одном адресе после прохождения через сервис обмена. Общего злоумышленника при этом никто не подтвердил.
Рынок отреагировал сразу. Ниже 77 тыс. долларов опускался Bitcoin, BNB потерял около 7%, ether - около 5% за сутки. Совокупные ликвидации превысили 1,5 млрд долларов, из них 1,34 млрд пришлись на длинные позиции. Вывод средств оставался приостановленным, депозиты работали; один из двух исполнительных директоров И Хэ говорила о возобновлении в течение 48 часов. Резервный фонд SAFU (Secure Asset Fund for Users) держит около 1 млрд долларов в биткоине, остаток убытка биржа покроет из собственных средств.
По размеру потерь эпизод равен примерно 4% активов, которые Binance держала до атаки. Для площадок под надзором это новый раунд вопросов о подтверждении резервов и об оценке контроля над горячими кошельками. Отдельная линия - сообщения о возвратах и компенсациях. Биржа предупредила, что неофициальные каналы с такими предложениями используют инцидент как приманку.
Похожая схема сопровождала кражу у Bybit в феврале 2025 года на 1,5 млрд долларов. Там тоже пострадала машина разработчика, а легитимная система подписи одобрила чужие операции. Совпадение по механизму важнее совпадения по сумме, хотя разница в масштабе - примерно вчетверо.
Технический разбор биржа обещает опубликовать позже, вместе с обновлённым подтверждением резервов. Картина от этого принципиально не изменится. Узким местом остаются сотрудники и их устройства, а не криптографические примитивы.
