Взлом Binance на $6 млрд: почти половину украденного заморозили за одну ночь

29 октября в 23:05 по Москве пять горячих кошельков Binance в сети XRP начали отправлять монеты на общий адрес. За следующие двадцать минут то же произошло с кошельками биржи в сетях Bitcoin, Ethereum, Tron, Solana и Optimism. Биржа оценивает ущерб в $6,3 млрд. Это вчетверо больше, чем у Bybit в феврале 2025 года, и больше любой кражи, которую до сих пор знала криптоиндустрия.

Самое интересное в этой истории случилось в следующие несколько часов. Примерно $2,7 млрд из украденного заморозили, не дожидаясь ни суда, ни полиции. Почти всё это стейблкоины.

Что произошло с Binance 29 октября

Хронологию по блокчейну восстановила TRM Labs. Первыми ушли 233,5 млн XRP, в 23:20 по Москве — 18 270 BTC, ещё через пару минут — 612,7 млн USDT из кошелька в сети Tron. В 23:24 горячий кошелёк в сети Ethereum отправил 167 464 ETH и 1,6 млрд USDT. Около двух ночи пришла вторая волна, по кошелькам в Avalanche и Polygon. Всего пострадали десять сетей.

Оценки суммы расходятся на несколько сотен миллионов: Binance говорит о $6,3 млрд, TRM считает $6,36 млрд по курсу на момент каждого перевода, Chainalysis — $5,9 млрд. По данным DefiLlama, это около 4% активов биржи.

Ключи, судя по всему, не украли. Binance в первом отчёте написала, что атакующий взломал ноутбук DevOps-инженера, через него получил доступ к служебному контейнеру и отправил оттуда выводы. Следов утечки приватных ключей биржа не нашла. TRM пишет о том же со стороны блокчейна: в Ethereum кошелёк Binance через механизм EIP-7702 превратили в «пылесос», который пересылал всё поступающее на адрес взломщика. Для этого заранее подписали 50 разрешений подряд, чтобы хоть одно оказалось действительным в нужный момент. В остальных девяти сетях прошли обычные подписанные переводы. Значит, атакующий управлял той самой системой, которая у биржи подписывает выводы.

Binance остановила вводы и выводы, утром 30 октября депозиты снова работали, а выводы биржа обещает открыть в течение 48 часов. Потери клиентов она покроет из страхового фонда SAFU, в котором около $1 млрд в биткоине, и из собственных средств. Биткоин в тот вечер подешевел на 4,8%, ниже $77 тысяч, BNB — на 8%.

Кто такие TraderTraitor

TRM Labs «с высокой уверенностью» приписывает атаку группе TraderTraitor. Это северокорейское подразделение, которое обычно описывают как часть Lazarus. В феврале 2025 года ФБР назвало его же виновником взлома Bybit на $1,5 млрд. На Северную Корею указывают и Chainalysis, и независимый исследователь ZachXBT.

Аргументы TRM касаются почерка. Операционный кошелёк взломщика пополнили через Tornado Cash ещё утром 28 октября, то есть подготовка шла минимум полтора дня. Код атаки сначала прогнали на двух тестовых кошельках, финальную версию отрепетировали на третьем и только через четыре часа поставили на кошелёк Binance. Сходство с прошлыми атаками группы TRM видит и в заранее подписанных разрешениях.

Сама Binance национальность атакующих пока не называет. ФБР и Минфин США на утро 30 октября официальных заявлений не делали.

Кто заморозил деньги и как быстро

Tether заблокировал первые 971 млн USDT в 00:01 по Москве, через 56 минут после первого вывода. Дальше всё происходило в течение ночи:

• Tether — около $1,77 млрд USDT в сетях Ethereum, Tron, Avalanche и Polygon. Основной адрес продолжал получать деньги и после блокировки, на нём замёрзло 1,175 млрд;
• Circle — $825 млн USDC, первые 823 млн в 00:04. Компания подчеркнула, что действовала вместе с правоохранительными органами;
• Ripple — 40,5 млн RLUSD в 01:01, это подтверждено в блокчейне. Binance называет сумму около $200 млн, на ончейн-данных она пока не видна;
• World Liberty Financial — 27,8 млн USD1 в 01:10;
• First Digital — FDUSD взломщика, сумму компания не раскрыла;
• Совет безопасности Arbitrum — 8 426 ETH и 74,6 млн ARB, всего около $30,5 млн. В 03:08 совет принудительно перевёл их с адреса взломщика на промежуточный замороженный.

К 03:30 по Москве TRM насчитала около $2,7 млрд заблокированных средств. Binance называет $3 млрд и говорит, что сумма будет расти.

Почему эфир и биткоин заморозить не удалось

USDT и USDC — это записи в смарт-контракте эмитента. В контракт встроен чёрный список: эмитент вносит в него адрес, и монеты на этом адресе перестают двигаться. Решение принимает сам эмитент, суд для этого не нужен. Поэтому первая заморозка случилась меньше чем через час после кражи, а не через месяц.

У биткоина, эфира, XRP и Solana эмитента нет, остановить перевод может только площадка, на которую монеты придут. Исключение этой ночи — Arbitrum: у этой сети второго уровня есть совет безопасности с аварийными полномочиями, и он ими воспользовался. В основной сети Ethereum такого механизма нет.

Взломщики это понимали и сразу начали избавляться от стейблкоинов. По данным TRM, 325 млн USDT они продали маркет-мейкерам через UniswapX за эфир со скидкой больше 10%. Ещё 60 млн USDT заложили в Aave и заняли под них 19 760 ETH, 300 млн отправили в протокол JustLend в сети Tron. Из той партии в 500 млн, которую продавали через UniswapX, 175 млн всё равно успели заморозить.

Итог хорошо виден, если разделить добычу на две части. Стейблкоинов в ней было около $3,4 млрд, и заморожено около четырёх пятых. Остальные примерно $3 млрд пришлись на эфир, биткоин, XRP и другие монеты, и из них заблокированы только $30 млн на Arbitrum. У взломщиков, по оценке TRM, остаётся больше 420 тысяч ETH и 18 270 BTC, около $2,4 млрд.

С Bybit в 2025 году было иначе. Там украли около 500 тысяч ETH и почти ничего в стейблкоинах, и к 20 марта 2025 года, по данным самой биржи, заморозить удалось 3,54%. Сколько удастся заморозить, определяет состав добычи.

Что заморозка USDT значит для тех, кто его держит

Кнопка, которой в этот раз остановили северокорейских хакеров, работает против любого адреса. Tether сам решает, когда её нажать, Circle — по согласованию с правоохранительными органами. Российский рынок её уже видел: 6 марта 2025 года Tether заморозил около $27 млн на кошельках биржи Garantex вскоре после санкций ЕС, и биржа остановила работу. Garantex оценила замороженное в 2,5 млрд рублей.

Для держателя это риск, которого у биткоина нет. Биткоин на своём кошельке можно потерять только вместе с ключом, USDT — ещё и по решению эмитента. Обычно это решение принимают против адресов, которые связаны с санкциями, мошенничеством или взломами, но на соседних адресах его последствия тоже чувствуются. Монеты, прошедшие через помеченный адрес, сервисы блокчейн-аналитики могут пометить задним числом.

USDT при этом входит в будущий российский легальный рынок. В проекте перечня Банка России, по которому будут допускать валюты к торгам, кроме него только биткоин и эфир. Указание с этим перечнем (№ 7441-У) на 26 октября ещё не было зарегистрировано в Минюсте.

Куда уйдут оставшиеся $2,4 млрд

TRM ожидает, что дальше взломщики пойдут через кроссчейн-мосты, сервисы обмена и OTC-брокеров. Биткоин уже дробится по цепочке переводов кусками по 1 000 и 100 BTC. После взлома Bybit группа несколько недель меняла эфир на биткоин через кроссчейн-сервисы, и к 20 марта 2025 года 7,59% украденного пропало из поля зрения аналитиков.

Для покупателя на P2P и в обменниках это означает, что часть украденного может пройти и через площадки, где покупают россияне. Монеты, которые сегодня выглядят чистыми, через месяц может пометить сервис аналитики, когда разметка догонит цепочку переводов. Ещё одна вероятная мера — санкции: после взлома Ronin в 2022 году OFAC внёс адрес взломщика в санкционный список через две недели после того, как о краже стало известно. Перед крупной покупкой стоит проверить адрес продавца и сохранить подтверждение оплаты. Как это делать, я писал в материале о проверке продавца перед сделкой.

Чему этот взлом учит российские цифровые депозитарии

У Binance не украли ключи. Атакующий заставил работать на себя её же систему подписи, и вход в неё нашёлся через ноутбук одного сотрудника. Защита ключей тут не помогла: выводы ушли тем же путём, каким их отправляет сама биржа. Потеряли то, что лежало на горячих кошельках, а у Binance там были миллиарды.

Российский рынок как раз собирает такую инфраструктуру. 29 октября ЦБ внёс в реестр первую саморегулируемую организацию цифровых депозитариев и криптообменников, и все, кто уже есть в реестрах ЦБ, обязаны вступить в неё в течение 90 дней. С 1 июля 2027 года операции резидентов с криптой будут идти через посредников из этих реестров, а забрать монеты с цифрового счёта к себе на кошелёк закон не позволит. Значит, монеты клиентов окажутся на кошельках нескольких депозитариев.

Binance может закрыть дыру в $6 млрд из страхового фонда и собственных денег. Прежде чем заводить монеты в российский депозитарий, стоит выяснить, кто и из каких денег возместит потерю, если опустеет его горячий кошелёк.

Частые вопросы

Сколько украли у Binance?

Binance оценивает ущерб в $6,3 млрд, TRM Labs — в $6,36 млрд по курсу на момент кражи, Chainalysis — в $5,9 млрд. Деньги вывели 29 октября 2026 года с горячих кошельков биржи в десяти блокчейнах.

Кто взломал Binance?

TRM Labs с высокой уверенностью приписывает атаку северокорейской группе TraderTraitor, её связывают с Lazarus. На Северную Корею указывает и Chainalysis. Сама Binance атакующих не называет, по её данным, вход нашли через взломанный ноутбук DevOps-инженера.

Вернут ли деньги клиентам Binance?

Биржа обещает покрыть все потери из фонда SAFU и собственных средств и говорит, что средства клиентов в безопасности. Выводы на утро 30 октября были приостановлены, Binance рассчитывала открыть их в течение 48 часов.

Почему Tether может заморозить USDT?

USDT выпускается смарт-контрактом Tether, в котором есть функция чёрного списка. Адрес из списка не может отправлять монеты. Решение принимает сам эмитент, без суда. Так же устроены USDC у Circle и RLUSD у Ripple.

Можно ли заморозить биткоин?

Нет, у биткоина нет эмитента и функции блокировки адреса. Остановить украденный биткоин может только площадка, на которую его попытаются завести: биржа, обменник или OTC-брокер.

Материал основан на отчёте TRM Labs о взломе Binance (данные на 30 октября 2026 года, 03:30 по Москве), сообщениях Binance, CoinDesk и Cointelegraph от 29–30 октября 2026 года и сообщении Банка России от 29 октября 2026 года. Время в тексте московское. Не является юридической консультацией.

Материал носит информационный характер и не является инвестиционной или юридической рекомендацией.