Как Binance потеряла $6,3 миллиарда: разбор крупнейшего взлома биржи

Крупнейшая по объёмам в мире крипто-биржа exchange binance в четверг лишилась около $6,3 миллиарда - это самая масштабная кража в истории криптоиндустрии. Злоумышленники вычистили горячие кошельки сразу на нескольких блокчейнах, а пользователи до сих пор ждут возобновления вывода средств.

Как разворачивалась атака на exchange binance

По данным аналитической компании TRM Labs, первые несанкционированные переводы начались примерно в 20:05 по UTC в четверг. Злоумышленники целенаправленно атаковали именно горячие кошельки - те, что биржи держат постоянно подключёнными к интернету, чтобы быстро обрабатывать запросы на вывод. Это стандартная болевая точка для любой крупной торговой площадки, и exchange binance не стала исключением, несмотря на репутацию одной из самых защищённых платформ на рынке.

TRM Labs связала атаку с северокорейской группировкой TraderTraitor - именно её ФБР США ранее обвинило в краже $1,5 миллиарда у биржи Bybit в феврале 2025 года. Сама exchange binance официально личность атакующих не подтвердила.

Хочу подчеркнуть: злоумышленник не просто воспользовался правами одного инженера, и это не было единичным действием "в один клик". Наше расследование пока не возлагает ответственность на кого-то конкретного, - заявил со-CEO Binance Ричард Тенг.

Причём тут обновление EIP-7702

Отдельное внимание привлекло эфириумное обновление EIP-7702, которое злоумышленники использовали для вывода средств. Эта функция позволяет обычному кошельку временно делегировать полномочия смарт-контракту, чтобы тот действовал от его имени. CEO Blockaid Идо Бен-Натан рассказал, что к краже, вероятнее всего, привела компрометация систем подписи транзакций.

По его словам, украсть средства можно было и без EIP-7702, но именно этот механизм, похоже, помог обойти защитные барьеры и вывести активы одним махом. Тенг подтвердил, что атакующий использовал делегирование через EIP-7702, чтобы получить право исполнения операций по горячему кошельку в обход стандартных процедур одобрения внутри exchange binance. По его словам, сработал ещё и "механизм самоуничтожения", который стёр инструменты атаки и следы, заметно усложнив расследование.

Компания Chainalysis зафиксировала тысячи транзакций, прошедших друг за другом в ускоренном темпе - похоже на автоматизированную схему отмывания, где средства гоняли между адресами, причём часть из них периодически возвращалась на уже засвеченные кошельки.

Заморозка активов и обещание полной компенсации

Партнёры по индустрии успели заморозить примерно $3 миллиарда из украденного - это неплохой результат для первых суток после атаки, но заморозка не равна возврату. Exchange binance пока не раскрыла, сколько средств реально вернулось под её контроль.

Компания заявила, что зарезервировала более $6,34 миллиарда собственных средств на покрытие потерь, из которых $5 миллиардов уже держатся в тех же токенах, что были украдены. При этом эта сумма не учитывает замороженные активы - недостающие токены биржа докупает через обычные сделки и внебиржевые (OTC) площадки.

Представитель биржи подтвердил Cointelegraph, что $5 миллиардов действительно находятся под контролем компании, но отказался раскрыть адреса кошельков, сославшись на соображения безопасности. В CertiK заявили, что для независимой проверки этих резервов им нужно больше данных.

Когда вернутся выводы средств

Кража встряхнула весь крипторынок и вынудила децентрализованного кредитора Aave временно заморозить новые депозиты и займы - протокол перезапустил рынки уже в пятницу днём, тогда как вывод средств на exchange binance оставался приостановленным дольше.

Тенг сообщил, что команда перестраивает сервис вывода средств с нуля и параллельно проводит проверку безопасности по всей компании. По его словам, выводы должны возобновиться в течение 40 часов с момента пятничного обновления, а полный отчёт о резервах (proof-of-reserves) планировалось опубликовать уже к понедельнику. Это не первая история, когда пользователям приходится несколько дней ждать доступа к собственным деньгам - похожая ситуация уже разбиралась в материале о том, как Binance лишился почти $6 миллиардов в другом крупном инциденте.

Что это значит для пользователей и рынка

Инцидент стал очередным напоминанием, что даже крупнейшие площадки не застрахованы от атак подобного масштаба. Детальный разбор предыдущих эпизодов с участием той же биржи можно найти в материале о том, как exchange binance обещала закрыть все потери после похожей атаки, а также в тексте про то, как крупнейшая биржа мира потеряла $5,57 миллиарда буквально за один вечер.

На фоне таких историй растёт и число бирж, которые пересматривают политику работы с пользователями из отдельных регионов - показательный пример разобран в материале о том, как KuCoin сворачивает обслуживание в России и Беларуси. Для рядового трейдера, который заходит в приложение через binance web или пользуется сервисом trading binance для торговли спотовыми парами, подобные новости - лишний повод хранить крупные суммы не на бирже, а в холодном кошельке.

Стоит помнить и о рисках на стороне самого "железа" для хранения активов - ранее мы подробно писали о том, что в Trezor нашли встроенный шпионский модуль с SIM-картой, и эта история лишний раз показывает, что безопасность крипты требует внимания на всех уровнях, а не только на стороне биржи.

Если же говорить о списке активов, которые были затронуты атакой, речь идёт не о каком-то одном coin binance, а о целом наборе токенов сразу в нескольких сетях, включая переводы через Tron - то есть пострадали и держатели активов на binance tron. Биржа подчёркивает, что любой пользователь, заходивший через www binance или проверявший баланс в телеграм-боте через telegram binance канал, может быть уверен: заявленный план компенсации распространяется на все пострадавшие счета независимо от способа входа.

Для криптосообщества в целом это очередной сигнал, что даже в периоды относительного затишья после халвинга биткоина инфраструктурные риски никуда не исчезают - крупные биржи остаются главной мишенью для организованных группировок, а exchange binance с её масштабом операций будет оставаться лакомой целью и в будущем.

Автор

Barbados