Как у Binance украли $6,15 млрд: расследование BitOK

29 октября 2026 года Binance подверглась одной из крупнейших атак в истории криптоиндустрии. Злоумышленник получил доступ к инфраструктуре, отвечающей за подписание транзакций горячих кошельков биржи, и вывел активы в девяти блокчейнах. Первоначально Binance оценила ущерб в $6,3 млрд. Расширенный анализ транзакций, проведенный BitOK при помощи Graph, позволил проследить хищение примерно $6,15 млрд.

30 октября Binance сообщила, что злоумышленник проник в систему через ноутбук DevOps-инженера и использовал служебный контейнер для отправки поддельных запросов на вывод средств. При этом приватные ключи похищены не были. Тем временем атакующий пытался опередить эмитентов стейблкоинов, обменивая украденные активы на ETH и TRX до их заморозки. Tether и Circle заблокировали около $2,59 млрд. С учетом действий других эмитентов и вмешательства Arbitrum общая стоимость замороженных, сожженных или изъятых активов достигла примерно $2,79 млрд.

Аналитики BitOK, при помощи Graph, восстановили подготовку к атаке, механизм компрометации системы подписания транзакций, маршруты движения похищенных активов и обнаружили важную новую деталь: один и тот же адрес в Ethereum принимал средства, связанные со взломами Binance и Bitget.

Первая волна хищений в нескольких блокчейнах продолжалась 31 минуту: с попытки перевода в XRP Ledger в 20:04:52 UTC до последнего перевода в Avalanche в 20:35:53 UTC 29 октября. Основная часть операций пришлась на промежуток с 20:16 до 20:36 UTC. Позже злоумышленник вывел дополнительные средства, поскольку все еще сохранял контроль над одним из кошельков Binance.

Целями стали горячие кошельки в сетях XRP Ledger, Solana, Bitcoin, Ethereum, Tron, Base, Optimism, Arbitrum и Avalanche. Во всех сетях прослеживалась общая схема: кошельки Binance авторизовывали переводы на новые адреса под контролем злоумышленника, но сами транзакции формировались не так, как обычные выплаты биржи.

По данным BitOK, были похищены:

Главный вывод аналитиков: переводы злоумышленника подписывались с использованием собственных ключей горячих кошельков Binance либо полномочий на подписание транзакций от имени биржи.

Однако эти транзакции отличались от обычных операций Binance. Во многих затронутых сетях злоумышленник устанавливал комиссии примерно в 2–2,7 раза выше стандартных и использовал форматы транзакций, нехарактерные для штатных систем вывода средств биржи.

В Ethereum подозрительные переводы встраивались в действующую очередь транзакций между обычными выплатами Binance с учетом их последовательных номеров (nonce). Похожие расхождения наблюдались в XRP Ledger и Solana: комиссии или формат инструкций в переводах злоумышленника отличались от стандартных выводов.

Результаты BitOK указывают на компрометацию инфраструктуры подписания транзакций биржи, а не на отдельную уязвимость смарт-контракта. Описание проникновения через ноутбук DevOps-инженера и служебный контейнер, которое дала Binance, согласуется с этим выводом.

Наличие действительных криптографических подписей само по себе не доказывает кражу приватных ключей. Оно означает лишь, что были использованы полномочия биржи на подписание транзакций. По утверждению Binance, утечки самих приватных ключей не произошло.

Атака началась в XRP Ledger. Сначала злоумышленник безуспешно попытался отправить RLUSD на еще не существовавший адрес. Затем кошелек Binance перевел на него XRP, чтобы активировать адрес. В итоге пять кошельков биржи отправили на новый адрес 233,46 млн XRP. Комиссия за переводы составляла 6 000 drops против обычных для этих кошельков 3 000 drops.

В Solana горячий кошелек Binance отправил на новый адрес около 970 522 SOL. Вместо обычных для биржи пакетных выплат с использованием устойчивых nonce (durable nonce) злоумышленник проводил отдельные системные переводы. По состоянию на момент завершения сбора данных 30 октября похищенные XRP и SOL оставались нетронутыми.

Анализ блокчейна позволил BitOK восстановить действия злоумышленника за несколько дней и часов до взлома Binance.

28 октября адрес организатора атаки впервые получил средства через Tornado Cash — криптовалютный миксер, предназначенный для сокрытия происхождения активов.

Всего организатор атаки и два вспомогательных кошелька получили средства для оплаты комиссий через шесть выводов из пулов Tornado Cash.

Затем злоумышленник приступил к созданию инфраструктуры для атаки.

29 октября в 02:28 UTC он развернул тестовый контракт, предназначенный для получения контроля над кошельком и вывода всех его активов.

Первая проверка прошла с 13:51 до 14:24 UTC. Злоумышленник использовал два собственных кошелька, предварительно пополнив каждый небольшими суммами USDT и USDC. Передав тестовому контракту право управления кошельками, он успешно вывел из них средства.

В 15:59 UTC был развернут основной вредоносный контракт.

Вторая проверка состоялась с 16:20 до 16:47 UTC — уже с использованием основного контракта.

Разница между двумя версиями оказалась принципиальной. В основном контракте была функция, позволявшая выполнять произвольные вызовы от имени кошелька, делегировавшего ему управление. Позже злоумышленник использовал ее, чтобы вывести 823 млн USDC из смарт-кошелька Binance.

Это позволяет предположить, что атакующий заранее понимал, как устроена инфраструктура биржи, и разработал инструмент специально под ее механизм управления средствами.

Самый необычный эпизод атаки произошел в сети Ethereum. Главной целью стал горячий кошелек Binance 14.

Злоумышленник воспользовался механизмом EIP-7702 в Ethereum. Он позволяет обычному кошельку делегировать выполнение транзакций смарт-контракту.

Обычно такое делегирование помогает автоматизировать операции с кошельком. Но в данном случае полномочия были переданы контракту злоумышленника.

В 20:20:59 UTC атакующий отправил транзакцию, содержавшую 50 авторизаций EIP-7702.

Все 50 авторизаций были подписаны ключом Binance 14, но каждая использовала свой nonce — последовательный номер, определяющий порядок транзакций.

Зачем злоумышленнику понадобилось столько подписей?

Кошелек Binance непрерывно обрабатывал переводы, поэтому его nonce постоянно увеличивался. Злоумышленнику было нужно, чтобы хотя бы одна авторизация совпала с текущим nonce кошелька в момент обработки транзакции.

Расчет сработал. В блоке 26300753 совпала авторизация с nonce 18914809. После этого Binance 14 делегировал выполнение транзакций вредоносному контракту.

Атакующий отправил 50 подписанных авторизаций в порядке убывания nonce. Сработала только та, чей номер совпал с текущим nonce кошелька. При этом Binance 14 продолжил работать. Это имело значение: после первого вывода на кошелек продолжали поступать средства, которые злоумышленник мог снова похищать.

Спустя всего 3 минуты 24 секунды атакующий вызвал функцию sweep для вывода средств с кошелька.

Одна транзакция вывела с кошелька 65 видов токенов общей стоимостью более $2,2 млрд.

Среди них — 1,615 млрд USDT, 167 464 ETH, 62,6 млн RLUSD, 27,76 млн USD1, 29 934 wBETH и 11 372 XAUt.

На кошельке Binance остался ровно 1 ETH — такое условие злоумышленник заранее заложил в контракт.

На этом атака не закончилась. В 20:41 и 20:59 UTC злоумышленник воспользовался тем же механизмом делегирования, чтобы вывести из другого смарт-кошелька Binance еще 780 млн и 43 млн USDC.

Параллельно злоумышленник атаковал еще один горячий кошелек — Binance 16.

В отличие от Binance 14, этот кошелек не передавал управление контракту. Вместо этого с него напрямую были подписаны девять переводов в пользу злоумышленника.

Все девять переводов попали в один блок, перемежаясь с обычными выплатами биржи.

Среди похищенных активов были 28 005,6 ETH, 55,7 млн USDT, 25,9 млн RLUSD и другие токены.

Переводы с Binance 16, как и операции в других сетях, показывают, что злоумышленник использовал полномочия на подписание транзакций в реальном времени, пока биржа продолжала обычную работу. Для создания криптографически действительных переводов ему не обязательно было похищать приватные ключи.

После хищения начался второй этап: обмен украденных активов на криптовалюты, которые нельзя заморозить по решению централизованного эмитента.

Основным адресом для получения средств в Ethereum был 0x5227f6....

Всего через 5 минут 48 секунд после вывода активов из Binance 14 с этого адреса уже ушли первые 500 млн USDT. Еще 200 млн USDT были отправлены на второй адрес.

Злоумышленник использовал сразу несколько маршрутов.

В Ethereum он задействовал Uniswap, UniswapX и цепочку новых кошельков. На каждом адресе часть USDT обменивалась на ETH, после чего оставшиеся стейблкоины и полученные ETH переводились дальше.

За 35 минут, с 20:34 до 21:09 UTC, атакующий обменял 435 млн USDT на ETH. Средняя скорость конвертации составляла около $12 млн в минуту.

Еще одной тактикой стало получение займов под залог похищенных активов.

На одном из адресов атакующий разместил 60 млн USDT в Aave v3 в качестве залога и занял 19 762 ETH.

Смысл операции заключался в том, чтобы заменить актив, который эмитент может заморозить, на ETH, оставив при этом залог и обязательство по займу.

В Tron злоумышленник действовал по похожей схеме.

С кошелька Binance-Hot 7 на новый адрес перевели в общей сложности 612,7 млн USDT и более 46 млн TRX.

Затем атакующий начал распределять стейблкоины по другим кошелькам. На один из адресов поступили 300 млн USDT.

С 20:47 до 21:14 UTC злоумышленник провел на SunSwap 16 обменов на суммы от $2 млн до $30 млн каждый. Всего 234 млн USDT были обменяны на 638,2 млн TRX.

Полученные TRX отправились на отдельный адрес, а еще 66 млн USDT были переведены на другой кошелек.

Атакующий также воспользовался JustLend: внес 10 000 USDT в залог и занял 17 375 TRX. Это повторяло стратегию с займом в Aave, примененную в Ethereum.

В результате значительная часть украденных средств оказалась в нативных криптовалютах, у которых нет централизованного эмитента, способного административно заморозить адрес.

Эмитенты стейблкоинов отреагировали быстро, но в некоторых случаях злоумышленник успел их опередить.

Расследование BitOK показало, что для заморозки USDT в Ethereum требовалось подтверждение через кошелек Tether с мультиподписью.

Для выполнения заморозки были необходимы три подписи. Их сбор занимал от 1 минуты 48 секунд до 2 минут 36 секунд.

Проблема заключалась в том, что заявки на заморозку появлялись в блокчейне еще до их исполнения.

Атакующий мог отслеживать такие заявки и переводить деньги на другой адрес, пока собирались необходимые подтверждения.

Например, с одного кошелька отправили 175 млн USDT примерно за две минуты до его заморозки. С другого вывели 130 млн USDT всего за 48 секунд до того, как Tether заблокировала адрес.

Однако злоумышленник тоже допускал ошибки.

На адресе 0xaa24 он потерял почти 175 млн USDT. Вместо того чтобы сразу перевести средства, атакующий начал выдавать разрешения на обмен токенов. Через 24 секунды после одного из таких разрешений Tether заморозила адрес.

Circle действовала иначе. Все похищенные 823 млн USDC оставались на основном адресе злоумышленника, поэтому эмитент смог заморозить всю сумму одной транзакцией.

По данным BitOK, Tether и Circle заморозили:

Вмешались и эмитенты других токенов. Были заблокированы около 27,82 млн USD1, 12 574 XAUt и 1 906,67 PAXG. Binance внесла в черный список адрес с 29 934 wBETH, а First Digital заморозила FDUSD на шести адресах, в том числе примерно 3,45 млн FDUSD на основном адресе атакующего. Эмитент BEAM сжег 984 249 380 похищенных токенов BEAM непосредственно на этом адресе.

Arbitrum выбрал другой способ вмешательства. Совет безопасности сети (Security Council) с помощью мультиподписи по схеме «9 из 12» одобрил межсетевые сообщения, которые позволили перевести 8 425,998 ETH и 74 559 805,2 ARB с адреса злоумышленника в Arbitrum на специально выделенный адрес хранения без подписи самого атакующего. Средства были изъяты 30 октября в 00:18:20 UTC. Вернуть их можно только после нового решения Совета безопасности или голосования DAO.

В совокупности заморозки со стороны Tether, Circle и других эмитентов, сжигание BEAM и изъятие активов в Arbitrum затронули около $2,79 млрд по ценам, использованным в анализе BitOK. Эту сумму не следует путать с $2,59 млрд, замороженными исключительно Tether и Circle.

Тем не менее до введения блокировок злоумышленник успел обменять 669 млн USDT на ETH и TRX.

Всего Tether заморозила восемь адресов в Ethereum, связанных с атакующим. На момент исполнения заморозок средства оставались только на трех из них. Остальные пять злоумышленник уже опустошил.

Эти данные показывают пределы эффективности даже быстрой и скоординированной реакции бирж, блокчейн-аналитиков и эмитентов токенов. Когда злоумышленник автоматически распределяет средства по новым адресам и тут же обменивает их, решающими могут оказаться считаные минуты.

Один из самых показательных эпизодов расследования BitOK произошел уже после первой волны хищений.

В 21:43:59 UTC, примерно через полтора часа после начала атаки, обычный кошелек Binance перевел еще 200 млн USDT на скомпрометированный кошелек Binance 14.

Перевод выглядел как штатное пополнение. Аналитики установили, что кошелек-отправитель регулярно переводил на Binance 14 именно такую сумму.

Но управление Binance 14 по-прежнему было делегировано контракту злоумышленника.

Всего через 12 секунд после пополнения автоматически сработал еще один вызов функции sweep.

Контракт вывел 200,4 млн USDT, почти 370 ETH и остатки других токенов.

Однако USDT не принесли злоумышленнику никакой пользы: они ушли на уже замороженный адрес и стали недоступны. ETH и другие незаблокированные активы остались в его распоряжении.

Позже, в 22:39:35 UTC, атакующий снова обратился к скомпрометированному кошельку. На этот раз в контракт передали расширенный список из 124 токенов и новый адрес получателя.

В результате было выведено еще 128,49 ETH, а также остатки различных цифровых активов.

Доступ злоумышленника сохранялся и после 23:00 UTC. В 23:55:47 UTC на Binance 14 поступили еще 2 961,99 ETH. Примерно через минуту пятый вызов функции sweep вывел 2 961,91 ETH.

Binance окончательно отменила вредоносное делегирование только 30 октября в 00:10:35 UTC, направив авторизацию на нулевой адрес. Таким образом, злоумышленник сохранял возможность выводить средства с Binance 14 почти четыре часа после захвата кошелька.

Этот эпизод наглядно показывает: недостаточно остановить первоначальное хищение, если у атакующего остается механизм контроля над кошельком, позволяющий выводить новые поступления.

Движение биткоинов аналитики BitOK исследовали отдельно.

В 20:20:06 UTC с горячего кошелька Binance на новый адрес ушли 11 транзакций.

Общая сумма составила 18 270,2 BTC.

Злоумышленник установил повышенную комиссию: 10,05 сатоши за виртуальный байт против обычных для этого кошелька 5,01.

Почти сразу после поступления биткоины были распределены по нескольким адресам.

Семнадцать адресов получили по 1 000 BTC, еще один — 832,5 BTC, а оставшиеся 437,7 BTC были отправлены отдельно.

По состоянию на 06:20 UTC 30 октября все 19 биткоин-адресов по-прежнему хранили 18 270,2 BTC, прослеженных от Binance.

Само по себе распределение биткоинов по разным адресам не скрывает происхождение средств. Все транзакции Bitcoin записываются в публичный блокчейн, поэтому аналитики могут проследить маршрут от горячего кошелька Binance до адресов получателей.

За дальнейшими перемещениями этих средств особенно важно следить: в отличие от USDT или USDC, биткоин нельзя просто заморозить по решению эмитента.

Самое важное новое открытие касается событий после первоначального хищения. BitOK проследила перевод украденных у Binance средств на тот же адрес в Ethereum, куда уже поступали активы, связанные со взломом Bitget в сентябре 2026 года. Совпадение было обнаружено на этапе отмывания средств, а не среди новых кошельков, созданных для подготовки атаки на Binance.

30 октября злоумышленник начал переводить TRX и USDT из Tron через THORChain — межсетевой протокол, позволяющий получать актив в другой блокчейн-сети. ETH, связанные с хищением у Binance, поступали на адрес 0x15104a9ce0f08a8f0075a0869ae80e795fe0feb7. Этот адрес уже получал ETH, обменянные из BTC, связанных с инцидентом Bitget.

BitOK восстановила маршрут активов, связанных с Bitget: из ZEC через протокол Maya в BTC, затем через THORChain в ETH. Соответствующие биткоин-адреса присутствовали в опубликованном Bitget списке адресов под контролем злоумышленников и были активны с 23 октября — за шесть дней до хищения у Binance. При атаке на Binance токены ZEC не похищались.

К 06:20 UTC 30 октября аналитики выявили восемь выплат через THORChain, связанных с Bitget, на общую сумму 349,46 ETH и пять выплат, связанных с Binance, на 13,63 ETH. Все они поступили на один и тот же адрес. Первая выплата из средств Binance пришла в 04:02:59 UTC, когда на адресе уже накопились ETH, связанные с Bitget.

Еще до поступления средств Binance с этого адреса отправили дальше 259 ETH. После первой выплаты, связанной с Binance, с него перевели 61 ETH, 30,55 ETH и 33,13 ETH на три других кошелька. В 06:11:59 UTC оставшиеся 166,87 ETH ушли на четвертый адрес. Смешение двух потоков средств подтверждается данными блокчейна, однако сам по себе общий адрес получателя не позволяет установить личности людей, стоявших за каждым из взломов.

У двух атак обнаружились и другие сходства. По данным Bitget, во время сентябрьского взлома злоумышленники проникли во внутренние системы и изменили данные транзакций, не похищая приватные ключи. Binance также сообщила о проникновении через ноутбук DevOps-инженера и отправке мошеннических запросов на вывод средств через служебный контейнер — снова без утечки приватных ключей. Bitget связывает свою атаку с Северной Кореей.

BitOK также выявила признаки, характерные для атак на биржи, приписываемых северокорейским группировкам: компрометацию инфраструктуры подписания транзакций, быстрый вывод средств в нескольких сетях, немедленный обмен токенов, которые можно заморозить, предварительное тестирование, финансирование через Tornado Cash и концентрацию подготовительных действий в рабочие часы часового пояса UTC+9.

Обнаруженный общий адрес для отмывания средств — более весомое свидетельство возможной связи между операциями, чем одно лишь сходство методов. По оценке BitOK, оба хищения могут быть связаны с одной северокорейской группировкой, а наблюдаемые потоки отмываемых средств — находиться под контролем одного оператора. Но это аналитическая атрибуция, а не доказательство реальных личностей всех участников.

Вскоре после обнаружения подозрительной активности Binance приостановила часть выводов средств.

По данным BitOK, выплаты с горячих кошельков Bitcoin и Tron прекратились примерно в 20:36–20:37 UTC, хотя депозиты продолжали поступать.

Аналитики сравнили операции с предыдущими днями. За тот же промежуток времени 28 октября биржа выплатила клиентам 394,69 BTC, а 29 октября — 167,98 BTC. В Tron объем выплат в USDT снизился с 89,8 млн до 33,3 млн.

Отдельное сравнение по Tron показало, что 29 октября с 20:30 до 22:00 UTC на кошельки поступило 45 млн USDT против примерно 22 млн USDT за аналогичные периоды 26–28 октября. При этом выплаты в USDT за тот же интервал сократились до 2,55 млн против обычных 36–49 млн в предыдущие дни. Эти цифры отражают видимые перемещения средств между кошельками, а не число клиентов, пытавшихся вывести активы.

Данные блокчейна не подтверждают, что в исследуемый период среди клиентов началась паника с массовыми заявками на вывод средств. Снижение выплат также нельзя считать доказательством низкого спроса на вывод: биржа остановила исходящие переводы, тогда как поступления продолжались.

Binance пообещала полностью компенсировать потери клиентов за счет страхового фонда SAFU и собственных средств. Биржа также сообщила о сотрудничестве с правоохранительными органами и блокчейн-аналитиками.

Рынок отреагировал снижением цен и ликвидациями позиций с кредитным плечом. По данным Coinglass, за 24 часа были ликвидированы позиции на $1,52 млрд, причем наибольшая доля пришлась на Bitcoin и Ethereum.

Однако для расследования BitOK главным вопросом была не реакция цен, а дальнейшая судьба украденных активов и возможность их возврата.

По состоянию на 06:20 UTC 30 октября BitOK выявила следующие основные остатки активов, связанных со злоумышленником:

Активы в Arbitrum больше нельзя включать в суммы под контролем злоумышленника: 8 425,998 ETH и 74,56 млн ARB были изъяты Советом безопасности сети. Кроме того, атакующий разместил 60 млн USDT в залог в Aave, а 29 934 wBETH и несколько остатков стейблкоинов были заморожены.

На момент завершения сбора данных BitOK оценила связанные со злоумышленником ETH, BTC, XRP и SOL примерно в $2,95 млрд. Эта оценка включает только четыре указанные криптовалюты, а не все похищенные токены и не замороженные, сожженные или изъятые активы.

Местонахождение и доступность этих средств могут меняться после каждого следующего перевода. Дальнейшее отслеживание будет зависеть от того, воспользуется ли злоумышленник биржами, мостами или протоколами, способными идентифицировать активы и потенциально ограничить операции с ними.

Расширенное расследование BitOK оценивает ущерб от атаки примерно в $6,15 млрд в девяти блокчейнах. Злоумышленник использовал инфраструктуру подписания выводов с горячих кошельков, а не уязвимость отдельного токена или смарт-контракта. Для захвата Binance 14 применялись 50 авторизаций EIP-7702, одна из которых передала управление контракту атакующего.

Непосредственный вывод средств продолжался 31 минуту, однако контроль над Binance 14 сохранялся почти четыре часа. За это время злоумышленник вывел и новые поступления, включая штатное пополнение на 200 млн USDT, а позднее — почти 2 962 ETH. Binance отменила делегирование 30 октября в 00:10:35 UTC.

Tether и Circle заморозили около $2,59 млрд в стейблкоинах. С учетом блокировок других эмитентов, сжигания BEAM и изъятия средств в Arbitrum общая стоимость замороженных, сожженных или изъятых активов достигла примерно $2,79 млрд. При этом атакующий успел обменять 669 млн USDT на ETH и TRX, а еще 60 млн USDT разместить в Aave в качестве залога.

Еще один вывод касается связи между отмыванием средств, похищенных у Binance и Bitget. BitOK проследила оба потока через THORChain до одного адреса получателя в Ethereum. Общий маршрут позволяет предположить участие одного оператора в отмывании средств и усиливает гипотезу о связи с северокорейской группировкой, на причастность которой указывает Bitget. Однако сам по себе этот факт не доказывает личность злоумышленника.

По состоянию на 06:20 UTC 30 октября среди отслеживаемых активов по-прежнему находились 505 603 ETH, 18 270,2 BTC, 233,46 млн XRP, около 970 500 SOL, 675,9 млн TRX и примерно 1,61 млн AVAX. Данные BitOK связывают воедино подготовку к атаке, операции по подписанию транзакций, обмен похищенных средств, действия эмитентов и последующие маршруты отмывания.

Инцидент с Binance показывает, почему одной лишь защиты приватных ключей недостаточно. Биржам необходимо также контролировать полномочия на подписание транзакций, выявлять подозрительные инструкции на вывод, оперативно отзывать скомпрометированные разрешения и постоянно отслеживать движение активов между блокчейнами.