В четверг Binance столкнулась с крупнейшей на сегодняшний день кражей криптоактивов: аналитические компании оценивают похищенную сумму более чем в $6 млрд. Биржа сообщила, что затронуто около $5 млрд активов, и привлекает еще $1,3 млрд через рыночные и внебиржевые сделки, чтобы покрыть потери. Инцидент поставил под пристальное внимание защиту средств клиентов и сроки восстановления вывода, а также безопасность горячих кошельков и систем подтверждения транзакций на централизованных платформах.
Подготовка к атаке могла начаться за 36 часов
По предварительным данным Binance, злоумышленники могли получить доступ к ноутбуку инженера DevOps и проникнуть в служебный контейнер. Биржа заявила, что не обнаружила признаков компрометации приватных ключей. Содиректор Binance Ричард Тенг отметил, что атака была сложнее, чем кража учетных данных одного сотрудника.
TRM Labs установила, что подготовка могла начаться как минимум за 36 часов до хищения. Злоумышленники пополняли оперативные кошельки небольшими суммами через Tornado Cash, а затем развернули и проверили вредоносный код с использованием трех кошельков. Во время атаки они применили механизм EIP-7702 в Ethereum, чтобы превратить горячий кошелек Binance в инструмент для сбора средств под своим контролем. Заранее были подготовлены 50 разрешений на подпись — это должно было обеспечить действительность хотя бы одного из них в момент атаки.
Кроме того, злоумышленники координировали переводы через девять других блокчейнов. По оценке TRM, межсетевые операции могут указывать на то, что под угрозой оказалась не только одна учетная запись, но и более широкая инфраструктура подписания транзакций в горячих кошельках Binance. Elliptic считает, что после первоначального взлома атакующие могли сохранить доступ: воспользовавшись правами владельца скомпрометированного кошелька, они вывели средства из другого кошелька Binance и продолжали перемещать вновь поступавшие активы. Еще один горячий кошелек Ethereum напрямую отправил злоумышленникам активы на $174 млн. Это усилило вопросы о масштабе доступа к системе подтверждения транзакций биржи.
В центре расследования — доступ к подтверждению переводов
Сложность атаки могла заключаться не столько в коде блокчейна, сколько в способе получения доступа к инфраструктуре, сказала Симоне Имбресиа, вице-президент Immunefi. Контракт для сбора средств состоял примерно из 130 строк кода. Ключевым вопросом стало то, как злоумышленники получили доступ к системе, способной одобрять транзакции: это позволило простому коду привести к крупным потерям.
Chainalysis, Elliptic и TRM связывают атаку с северокорейской хакерской группировкой. TRM сообщила о связи с группой, причастной к атаке на Bybit в 2025 году, когда было похищено около $1,5 млрд. Chainalysis выявила ончейн-связь между украденными у Binance средствами и поступлениями от инцидента с Bitget в прошлом месяце, который также приписывают северокорейским хакерам. Elliptic подчеркнула, что совпадение затрагивает лишь небольшую часть похищенных у Binance средств и не позволяет заключить, что обе атаки совершила одна группа.
Следователи также обнаружили тысячи транзакций, проведенных за короткий промежуток времени: средства многократно переводились между адресами. Чтобы снизить вероятность блокировки активов эмитентами стейблкоинов, злоумышленники примерно за 20 минут обменяли стейблкоины на $325 млн на ETH стоимостью около $285 млн.
Часть средств направили в Aave, некоторые сделки прошли с дисконтом
По данным Elliptic, злоумышленники внесли в Aave $59,9 млн в украденных USDT в качестве залога и заняли 19 762 ETH. На момент последнего обновления аналитической компании заем оставался непогашенным и был близок к ликвидации. Также атакующие использовали децентрализованные биржи и маркетмейкеров, чтобы обменять сотни миллионов долларов в USDT на ETH. При некоторых сделках дисконт к рыночной цене достигал примерно 26%: злоумышленники переводили средства в активы, которые эмитенты не могут заморозить.
В пятницу Aave сообщила, что сняла ограничения на всех рынках протоколов V3 и V4. Компания заявила, что ее смарт-контракты не пострадали, а позиции пользователей обеспечены залогом на достаточном уровне. Инцидент с Binance связан с доступом к системам подписания транзакций биржи; вопрос о состоянии контрактов Aave — отдельный. Заявление Aave касалось работы протоколов и положения пользователей.
Binance привлекает $1,3 млрд и готовит отчет о резервах
Binance заявила, что затронуто около $5 млрд активов, и привлекает еще $1,3 млрд через рыночные и внебиржевые сделки, чтобы компенсировать потери. Тенг сообщил, что биржа планирует в понедельник опубликовать предварительный отчет о подтверждении резервов и работает над восстановлением вывода средств. В видео, опубликованном в пятницу, он сказал, что Binance рассчитывает вернуть возможность вывода до воскресенья. На тот момент цель биржи — восстановить необходимые процессы примерно за 40 часов.
Аналитики TD Cowen считают, что имеющиеся данные указывают на проникновение в инфраструктуру централизованного посредника, а не на сбой Bitcoin или его базовой сети. В ближайшее время ключевыми остаются вопросы о том, как Binance распорядится затронутыми активами, когда восстановит вывод средств и какие сведения раскроет о резервах. Следователи пока не установили, как именно злоумышленники проникли во внутренние системы, насколько широко была затронута процедура подписания транзакций и удастся ли вернуть похищенные средства.
Имбресиа отметила, что криптобезопасность зависит не только от хранения приватных ключей и аудита смарт-контрактов: в контур защиты входят также люди, инфраструктура и операционные процессы, которые могут задействовать ключи. Получив контроль над этим уровнем, злоумышленнику необязательно красть сами приватные ключи или использовать сложную уязвимость в контракте. Для пользователей Binance основными практическими вопросами остаются сроки восстановления вывода, публикация отчета о резервах и покрытие потерь.