29 октября 2026 года с горячих кошельков Binance за четыре часа похитили активы на $6,34 млрд. По курсу на день атаки это крупнейшая кража в истории криптовалют. Прежний рекорд поставил взлом Bybit в 2025 году: тогда биржа потеряла около $1,5 млрд, вчетверо меньше.

Binance покрывает убытки из собственных денег. Вывод средств уже открывают, но постепенно, сеть за сетью.

Что произошло 29 октября

Несанкционированные переводы шли примерно с 20:05 до 23:56 по UTC. Злоумышленник опустошал горячие кошельки биржи сразу в десяти блокчейнах: Ethereum, Bitcoin, Tron, XRP Ledger, Solana, Arbitrum, Optimism, Base, Avalanche и Polygon. По подсчётам аналитиков Hacken, основная сумма ушла примерно за первые 20 минут. Биткоин в тот вечер подешевел больше чем на 4% и опускался ниже $78 тыс.

Часть денег остановили почти сразу. Tether заморозил больше 1,5 млрд USDT, Circle заблокировал около 823 млн USDC, Ripple и World Liberty Financial сделали то же со своими стейблкоинами RLUSD и USD1. Всего, по оценке Binance, заморожено или перехвачено около $2,85 млрд. Заморозка ещё не означает возврат. Обычно для этого нужен запрос правоохранителей или решение суда, после чего эмитент сжигает заблокированные токены и выпускает новые. Биткоин и эфир нельзя даже заморозить: у них нет эмитента, который мог бы заблокировать адрес.

Атаку готовили с июня

По предварительному отчёту Binance, взлом начался за несколько месяцев до 29 октября, и первой целью стали сотрудники биржи.

В июне один из инженеров искал ИИ-инструмент для программирования и установил изменённую злоумышленниками версию Homebrew, популярного менеджера программ для macOS. Binance заметила подозрительную активность, выдала инженеру новый ноутбук и сменила учётные данные. Но атакующий уже успел понять, чем занимается этот инженер и с кем он работает.

Следующий заход выглядел как приглашение на работу. В сентябре разработчику биржи прислали «тестовое задание» от несуществующего работодателя. Когда он развернул проект из репозитория, вредоносный код подменил компонент pyenv (утилиты для управления версиями Python), и защитные программы на компьютере ничего не заметили. Через этот компьютер и внутренний ИИ-инструмент Binance злоумышленник в октябре получил доступ к аккаунтам ещё двух инженеров, которые работали с кошельками.

29 октября он с украденными учётными данными развернул служебный контейнер, запустил скрипт и добрался до внутреннего сервиса, который подписывает транзакции. Дальше система сама подтверждала его переводы как обычные. Признаков утечки приватных ключей биржа не нашла.

В сети Ethereum атакующий воспользовался стандартом EIP-7702: он позволяет обычному кошельку передавать исполнение операций коду смарт-контракта. Горячий кошелёк Binance делегировал часть прав контракту злоумышленника, и через него баланс вычистили за несколько минут. Отозвать разрешение одной командой не получилось. Кошелёк работает на технологии MPC: ключ разделён между несколькими участниками, поэтому для отмены понадобилась отдельная процедура.

Взлом Binance: от заражённого ноутбука до открытия вывода, 2026

31 октября ФБР назвало исполнителя: северокорейскую группировку TraderTraitor, которой бюро приписало и взлом Bybit в 2025 году. В КНДР свою причастность отрицают. Фальшивые вакансии — привычная приманка: северокорейские хакеры годами используют их против сотрудников криптокомпаний. Как были устроены другие крупные атаки, от Mt. Gox до Bybit, мы разбирали в статье о крупнейших взломах в истории криптовалюты.

Кто платит за украденное и когда можно забрать деньги

Binance сразу закрыла вывод средств и объявила, что покроет ущерб сама. Под это она выделила больше 100% нужной суммы: из SAFU, страхового фонда фьючерсов, биткоин-резерва и корпоративной казны. На эти деньги биржа покупает на рынке монеты взамен украденных. К 30 октября она восполнила около 80% похищенных активов, а к 4 ноября уже около 98%. Остаток приходится на малоликвидные токены: их докупать дольше всего.

«Восполнила» здесь значит, что биржа заплатила из своего кармана. Похищенные монеты на биржу не вернулись. По данным ФБР, их переводят в основном в эфир и готовят к дальнейшему отмыванию через DeFi и сервисы мгновенного обмена.

Первым 1 ноября открыли вывод BTC, ETH, USDT, USDC, BNB и XRP, остальные сети биржа подключала по мере проверок безопасности. В первый день чистый отток составил $3,64 млрд, около 2% активов биржи, а уже 3 ноября приток на биржу снова превысил отток. На 5 ноября процесс ещё не закончен, так что перед переводом стоит проверить нужную сеть на странице статуса в приложении или на сайте Binance.

Кого ещё взломали этой осенью

24 сентября Bitget потеряла около $388 млн из горячих и тёплых кошельков: атакующие воспользовались уязвимостью в стороннем сервисе безопасности и отправили поддельные команды на вывод. Потери биржа покрывает из фонда защиты пользователей. 2 ноября о взломе горячих кошельков сообщила бразильская Mercado Bitcoin. Сначала ущерб оценили примерно в $40 млн, позже ончейн-аналитики Bitquery насчитали $48,5 млн. Компенсацию клиентам эта биржа тоже пообещала. Почему крупные суммы опасно держать даже на самой большой бирже, мы разбирали в материале о рисках хранения крупных сумм на бирже.

Если вы держите крипту на бирже

Несколько дней клиенты Binance не могли вывести деньги. Такая пауза обычно случается после крупного взлома. Если на это время придётся оплата квартиры или расчёт с продавцом машины, компенсация сделку уже не спасёт. Поэтому сумму под такую сделку лучше перевести с биржи заранее.

На бирже разумно держать то, что нужно для торговли, а остальное хранить в собственном кошельке. Сама Binance после взлома расширила проверку резервов (Proof of Reserves) с 10 до 44 токенов. Риск хранения на централизованной площадке от этого не исчезает, и касается он любой биржи.

На волне таких новостей мошенники охотнее пишут от имени «поддержки биржи». Binance предупреждала клиентов не переходить по неофициальным ссылкам и никому не сообщать данные аккаунта.

Если криптовалюту нужно превратить в деньги, заводить её на биржу не обязательно. GeCrypto работает по лицензии Национального банка Грузии. Как сделать такой обмен законно, мы подробно рассказали в отдельном гайде. Монеты вы отправляете на обмен прямо со своего кошелька, без промежуточного хранения на бирже, а деньги получаете наличными в нашем офисе в Тбилиси или переводом на счёт в банке.