Автор: Сергей Леончненко
Chief Operating Officer at TrafficUltras
29 октября с кошельков Binance одна за другой начали проходить подозрительные транзакции. Криптовалюту переводили на посторонние адреса сразу в нескольких сетях, причём основная часть операций заняла около двадцати минут. Когда специалисты сложили суммы переводов, получилось примерно $6,3 млрд. Биржа приостановила часть операций, а её техническая команда начала выяснять, кто и каким образом смог провести эти транзакции.
Утром 30 октября Binance рассказала о первых результатах проверки. Следствие пока изучает, каким образом посторонние получили доступ к системам Binance. По одной из версий, всё началось с ноутбука сотрудника DevOps-команды. Его могли взломать, а уже оттуда добраться до внутренних инструментов биржи и проводить операции с криптовалютой. Подтверждения этой версии пока нет.
В Binance настаивают, что активы клиентов обеспечены. Возможный ущерб компания намерена компенсировать за свой счёт.
Как хакеры получили доступ к деньгам
Пока расследование не закончено, точную последовательность действий злоумышленников восстановить не удалось. Но кое-что уже известно.
По предварительной версии Binance, отправной точкой стал ноутбук одного из сотрудников технической команды. После его компрометации атакующие могли добраться до служебного контейнера, через который проходили запросы на вывод активов.
Причём признаков утечки приватных ключей кошельков специалисты биржи пока не нашли. Судя по имеющейся информации, проблема могла быть связана с доступом к системе, которая выполняет транзакции, а не с непосредственной кражей ключей.
Своё расследование провела и аналитическая компания TRM Labs. Её специалисты отследили перемещение криптовалюты с адресов Binance и обнаружили, что основная часть средств ушла примерно за 20 минут.
Атакующие использовали сразу десять блокчейнов. Среди них оказались Ethereum, Bitcoin, Tron, Solana и XRP Ledger.
Самые крупные переводы пришлись на Ethereum — около $3,79 млрд. Ещё примерно $1,47 млрд вывели в биткоинах. Остальные средства распределились между несколькими другими сетями.
Масштаб можно оценить на примере Bybit. В феврале 2025 года с этой биржи похитили криптовалюту примерно на $1,5 млрд. Тогда этот случай стал одним из самых громких происшествий на крипторынке. Теперь речь идёт о сумме, которая больше потерь Bybit более чем в четыре раза.
Удалось ли вернуть похищенную криптовалюту
Как только стало понятно, что произошло, Binance начала связываться с эмитентами стейблкоинов и другими участниками рынка. Задача была вполне конкретной: заблокировать активы раньше, чем их успеют обменять или перевести дальше.
К работе подключились Tether, Circle и несколько других компаний. Они начали замораживать токены на адресах, связанных с атакой.
По информации Binance, к утру 30 октября удалось заблокировать около $3 млрд.
Но здесь есть важная деталь. Замороженные средства ещё не означают, что биржа получила их обратно. Пока речь идёт об активах, которыми злоумышленники больше не могут свободно распоряжаться.
С остальной криптовалютой ситуация сложнее. Часть средств уже успели обменять на другие токены, а некоторые переводы прошли через децентрализованные сервисы.
Специалисты продолжают отслеживать транзакции. Сколько денег в итоге удастся вернуть, пока неизвестно.
Кто стоит за взломом Binance
У аналитиков TRM Labs уже появилась версия относительно организаторов атаки. Они связывают произошедшее с группировкой TraderTraitor, которую относят к северокорейским хакерским подразделениям.
Исследователи TRM Labs выяснили, что готовиться к операции начали заранее. Ещё до основного вывода средств появились кошельки, связанные с атакой, а некоторые операции проводились небольшими суммами. Судя по этим действиям, злоумышленники проверяли, как работает подготовленная ими схема.
Подобные детали специалисты уже встречали при расследовании других криптовалютных краж. Например, во время взлома Bybit тоже обнаружили признаки длительной подготовки, хотя способы проведения самих атак различались.
Кто непосредственно участвовал в нынешнем взломе, Binance ещё не установила публично. Сейчас компания пытается восстановить картину произошедшего вместе с правоохранительными органами и экспертами по блокчейну.
Версия TRM Labs остаётся выводом аналитиков, а не официально установленным результатом расследования.
Что будет с деньгами пользователей
Пользователей биржи сейчас интересует вполне практичный вопрос: можно ли распоряжаться своими активами и насколько безопасно оставлять их на Binance после произошедшего.
Когда обнаружили подозрительные переводы, Binance остановила часть операций. Ввод средств впоследствии снова заработал, но с выводом ситуация оказалась сложнее. На некоторых направлениях ограничения сохранялись, пока технические специалисты проверяли безопасность инфраструктуры.
Заодно команда биржи начала разбираться с внутренними разрешениями и доступами. Ей предстоит выяснить, какие сервисы использовали атакующие, могли ли они сохранить контроль над отдельными системами и что необходимо отключить или перенастроить.
Расходы на компенсации Binance собирается покрыть собственными деньгами, а также средствами из фонда SAFU.
Этот резерв биржа формировала специально на случай непредвиденных проблем с безопасностью. И теперь, после атаки такого масштаба, накопленные средства могут пригодиться для возмещения ущерба. Правда, подробный порядок компенсаций ещё не опубликован, как и окончательные сроки восстановления всех ограниченных операций.
Компания также пообещала обновить Proof of Reserves. Это отчёт, с помощью которого пользователи смогут проверить наличие резервов, обеспечивающих клиентские активы.
Подробный технический разбор взлома Binance собирается опубликовать после завершения расследования.
Почему эта история касается арбитражников
У многих арбитражных команд через криптобиржи проходит значительная часть рабочих расчётов. На биржевые счета приходят деньги от партнёрских программ, с них оплачивают услуги подрядчиков и закупку рекламы. Там же команды обменивают стейблкоины, когда нужно перевести бюджет из одной валюты в другую.
Поэтому проблема не ограничивается теми, кто торгует криптовалютой.
Представим команду, у которой на Binance хранится часть рекламного бюджета. Деньги нужны сегодня, чтобы продолжить закупку трафика, но вывести их временно невозможно. Даже если средства никуда не пропали, работа может остановиться до восстановления доступа.
Особенно неприятна такая ситуация для проектов, где рекламные кабинеты приходится пополнять ежедневно. Пока биржа решает технические проблемы, команда рискует потерять объёмы трафика и прибыль.
Сам взлом ещё не означает, что централизованными биржами нельзя пользоваться. Но хранить на одной площадке весь оборотный капитал — решение, у которого теперь есть ещё один очевидный риск.
Арбитражникам стоит учитывать возможность подобных остановок при распределении рабочих бюджетов. Резерв средств на других площадках или в отдельных кошельках позволит не зависеть полностью от работы одного сервиса.
Binance тем временем продолжает расследование. Главный вопрос, на который компании ещё предстоит ответить, — каким образом посторонние получили возможность проводить операции на миллиарды долларов и почему система безопасности не остановила их раньше.
Комментарий автора:
Меня в этой истории больше всего удивляет не сама сумма, хотя $6,3 млрд — деньги колоссальные. Гораздо интереснее, как предполагаемый взлом рабочего ноутбука мог привести к такому масштабу потерь. Если эта версия подтвердится, Binance придётся серьёзно объяснять, почему доступ к отдельным внутренним системам позволил провести столько операций. А для арбитражных команд это напоминание о том, что даже на крупнейшей бирже рабочие деньги не всегда могут быть доступны именно тогда, когда они нужны.
Автор: Сергей Леончненко
Chief Operating Officer at TrafficUltras
👉🏻 Будьте в курсе главных новостей арбитража — подписывайтесь на наш Telegram-канал «Новости Арбитража».
Комментариев пока нет. Начните обсуждение.