Автор: Сергій Леончненко
Операційний директор TrafficUltras
29 жовтня з гаманців Binance почали одна за одною виходити підозрілі транзакції. Криптовалюту переказували на сторонні адреси одразу в кількох мережах, причому основна частина операцій тривала близько двадцяти хвилин. Коли фахівці підрахували обсяги переказів, вийшло приблизно $6,3 млрд. Біржа призупинила частину операцій, а її технічна команда почала з'ясовувати, хто і яким чином зміг провести ці транзакції.
Вранці 30 жовтня Binance розповіла про перші результати перевірки. За попередніми даними компанії, інцидент міг бути пов'язаний зі зламом ноутбука одного з DevOps-інженерів. Через цей пристрій зловмисники, ймовірно, отримали доступ до внутрішніх інструментів біржі та змогли ініціювати несанкціоновані операції з виведення криптовалюти. Розслідування ще триває, тому остаточна картина події поки не встановлена.
У Binance запевняють, що кошти користувачів залишаються в безпеці. Можливі збитки компанія обіцяє компенсувати власним коштом.
Як хакери отримали доступ до коштів
Поки розслідування не завершено, точну послідовність дій зловмисників відновити не вдалося. Проте деякі подробиці вже відомі.
За попередньою версією Binance, усе могло початися з ноутбука одного зі співробітників технічної команди. Після його компрометації атакувальники могли отримати доступ до службового контейнера, через який проходили запити на виведення активів.
При цьому фахівці біржі поки не виявили ознак витоку приватних ключів гаманців. За наявною інформацією, проблема могла полягати в доступі до системи, яка обробляє транзакції, а не в безпосередньому викраденні ключів.
Власне розслідування провела й аналітична компанія TRM Labs. Її фахівці відстежили рух криптовалюти з адрес Binance та встановили, що основна частина коштів була виведена приблизно за 20 хвилин.
Зловмисники використали одразу десять блокчейнів. Серед них — Ethereum, Bitcoin, Tron, Solana та XRP Ledger.
Найбільші перекази припали на Ethereum — близько $3,79 млрд. Ще приблизно $1,47 млрд вивели в біткоїнах. Решту активів розподілили між кількома іншими мережами.
Масштаб події можна порівняти зі зламом Bybit. У лютому 2025 року з цієї біржі викрали криптовалюту приблизно на $1,5 млрд. Тоді інцидент став одним із найгучніших в історії крипторинку. Тепер ідеться про суму, яка більш ніж у чотири рази перевищує ті втрати.
Чи вдалося повернути викрадену криптовалюту
Щойно стало зрозуміло, що відбувається, Binance почала зв'язуватися з емітентами стейблкоїнів та іншими учасниками ринку. Завдання було цілком конкретним: заблокувати активи раніше, ніж зловмисники встигнуть обміняти їх або переказати далі.
До роботи долучилися Tether, Circle та кілька інших компаній. Вони почали заморожувати токени на адресах, пов'язаних з атакою.
За інформацією Binance, завдяки співпраці з блокчейн-партнерами вдалося заморозити близько $3 млрд активів.
Але тут є важливий нюанс. Заморожені кошти ще не означають, що біржа отримала їх назад. Поки йдеться про активи, якими зловмисники більше не можуть вільно розпоряджатися.
З рештою криптовалюти ситуація складніша. Частину коштів уже встигли обміняти на інші токени, а деякі перекази пройшли через децентралізовані сервіси.
Фахівці продовжують відстежувати транзакції. Скільки грошей зрештою вдасться повернути, поки невідомо.
Хто стоїть за зламом Binance
В аналітиків TRM Labs уже з'явилася версія щодо організаторів атаки. Вони пов'язують інцидент із угрупованням TraderTraitor, яке відносять до північнокорейських хакерських підрозділів.
Дослідники TRM Labs з'ясували, що підготовка до операції почалася заздалегідь. Ще до основного виведення коштів з'явилися гаманці, пов'язані з атакою, а деякі операції проводили невеликими сумами. Судячи з цих дій, зловмисники перевіряли, як працює підготовлена ними схема.
Подібні деталі фахівці вже зустрічали під час розслідування інших великих крадіжок криптовалюти. Наприклад, під час зламу Bybit також виявили ознаки тривалої підготовки, хоча самі способи проведення атак відрізнялися.
Хто саме брав участь у нинішній атаці, Binance поки публічно не встановила. Компанія намагається відновити повну картину події разом із правоохоронними органами та експертами з блокчейну.
Версія TRM Labs залишається висновком аналітиків, а не офіційно встановленим результатом розслідування.
Що буде з грошима користувачів
Користувачів біржі зараз цікавить цілком практичне питання: чи можна розпоряджатися власними активами та наскільки безпечно залишати їх на Binance після того, що сталося.
Коли виявили підозрілі перекази, Binance зупинила частину операцій. Згодом поповнення рахунків знову стало доступним, але з виведенням коштів ситуація виявилася складнішою. На окремих напрямках обмеження залишалися чинними, поки технічні фахівці перевіряли безпеку інфраструктури.
Паралельно команда біржі почала переглядати внутрішні дозволи та рівні доступу. Їй потрібно з'ясувати, якими сервісами користувалися зловмисники, чи могли вони зберегти контроль над окремими системами та що необхідно відключити або переналаштувати.
Витрати на компенсацію Binance планує покрити власними коштами, а також за рахунок фонду SAFU.
Цей резерв біржа створювала спеціально на випадок непередбачуваних проблем із безпекою. Тепер, після атаки такого масштабу, накопичені кошти можуть знадобитися для відшкодування збитків. Щоправда, детальний порядок компенсацій ще не оприлюднили, як і остаточні терміни відновлення всіх обмежених операцій.
Компанія також пообіцяла оновити Proof of Reserves. Це звіт, за допомогою якого користувачі зможуть перевірити наявність резервів, що забезпечують клієнтські активи.
Детальний технічний розбір зламу Binance планує опублікувати після завершення розслідування.
Чому ця історія стосується арбітражників
У багатьох арбітражних команд через криптобіржі проходить значна частина робочих розрахунків. На біржові рахунки надходять виплати від партнерських програм, звідти оплачують послуги підрядників і закупівлю реклами. Там же команди обмінюють стейблкоїни, коли потрібно перевести бюджет з однієї валюти в іншу.
Тому проблема стосується не лише тих, хто торгує криптовалютою.
Уявімо команду, яка зберігає на Binance частину рекламного бюджету. Гроші потрібні сьогодні, щоб продовжити закупівлю трафіку, але тимчасово вивести їх неможливо. Навіть якщо активи нікуди не зникли, робота може зупинитися до відновлення доступу.
Особливо неприємною така ситуація буде для проєктів, яким доводиться щодня поповнювати рекламні кабінети. Поки біржа розв'язує технічні проблеми, команда ризикує втратити обсяги трафіку та частину прибутку.
Сам по собі злам ще не означає, що централізованими біржами не можна користуватися. Але зберігати на одній платформі весь оборотний капітал — рішення, яке тепер має ще один очевидний ризик.
Арбітражникам варто враховувати можливість подібних зупинок під час розподілу робочих бюджетів. Резерв коштів на інших майданчиках або в окремих гаманцях допоможе не залежати повністю від роботи одного сервісу.
Binance тим часом продовжує розслідування. Головне питання, на яке компанії ще належить відповісти, — як сторонні особи отримали можливість проводити операції на мільярди доларів і чому система безпеки не зупинила їх раніше.
Коментар автора:
Мене в цій історії найбільше дивує не сама сума, хоча $6,3 млрд — це колосальні гроші. Набагато цікавіше, як імовірний злам робочого ноутбука міг призвести до таких масштабних втрат. Якщо ця версія підтвердиться, Binance доведеться серйозно пояснювати, чому доступу до окремих внутрішніх систем виявилося достатньо для проведення такої кількості операцій. А для арбітражних команд це ще одне нагадування: навіть на найбільших біржах робочі кошти не завжди можуть бути доступними саме тоді, коли вони потрібні.
Автор: Сергій Леончненко
Операційний директор TrafficUltras
👉🏻 Будьте в курсі головних новин арбітражу — підписуйтеся на наш Telegram-канал «Новини Арбітражу».
Коментарів поки немає. Почніть обговорення.