Хроника кражи $5,8 млрд с Binance: Хэ И пообещала покрыть все убытки

Автор: Гу Юй, ChainCatcher

30 октября в 04:24 по пекинскому времени ончейн-данные показали, что горячий кошелёк Binance, помеченный как Binance 14, перевёл на ранее не встречавшийся адрес 167 464 ETH, а также 63 токена, включая около 1,615 млрд USDT. Стоимость этой транзакции составила около $2,5 млрд.

Через сорок минут несколько аналитических сервисов зафиксировали суммарный отток на уровне около $5,6 млрд. Эта цифра превысила примерно $1,5 млрд, украденные у Bybit в феврале 2025 года, и стала крупнейшей кражей в истории криптовалют — причём у биржи с самой большой в мире командой безопасности и самым крепким балансом.

Всего несколькими часами ранее ведущая платформа рынков прогнозов Polymarket приостановила торги из-за взлома стороннего поставщика услуг. Почти одновременно две крупные криптобиржи остановили торги из-за хакерских инцидентов, что подчеркнуло крайнюю серьёзность проблем безопасности в криптосфере.

1. 40 минут, $5,6 млрд

Подготовка к атаке завершилась за день до перевода. 28–29 октября совершенно новый адрес получил через миксер Tornado Cash три транзакции примерно по 0,1 ETH — это была плата за газ. Биржи никогда не используют миксеры для оплаты газа при собственных переводах, и это побудило ончейн-аналитика Spreek опубликовать первое предупреждение: «Возможно, это рутинное обслуживание кошельков, но выглядит крайне подозрительно».

В 04:24 произошёл первый аномальный перевод. Через 24 секунды второй кошелёк Binance 16 перевёл на тот же адрес 28 005 ETH. В 04:41 горячий кошелёк 34 перевёл 780 млн USDC; в 04:59 — ещё 43 млн. Весь процесс был тихим, непрерывным и безостановочным, как санкционированный внутренний перевод. За 15 минут злоумышленник перевёл около 195 460 ETH на другой новый адрес.

На момент публикации отток, связанный с кошельками Binance, составил около $5,643 млрд: $3,528 млрд в сети Ethereum, $1,449 млрд в Bitcoin, $628 млн в Tron и $38 млн в Arbitrum, Optimism и Base. Следует отметить, что отток не равен краже и не равен итоговому убытку — Binance пока не раскрыла никаких цифр, а ончейн-метки могут быть ошибочными.

Однако рынок отреагировал раньше фактов. Биткоин на короткое время упал ниже $79 000, Ethereum — ниже $2 240, за час ликвидации по всему рынку составили $627,7 млн, из них $606,6 млн — длинные позиции, причём только на Binance — $344,8 млн. BNB на короткое время упал на 6%, до примерно $710.

Трейдеры закладывали в цены худший сценарий; само это поведение говорит прямее любого отчёта аналитиков: рынок решил, что у Binance действительно проблемы.

2. Заморожено $2,54 млрд

В течение часа после инцидента Tether и Circle приняли меры. Генеральный директор Tether Паоло Ардоино сообщил, что заморожено более 1,567 млрд USDT, хотя первоначально раскрытая цифра составляла 971 млн; Circle заморозил около 823 млн USDC.

По итогам проверки, предоставленной Binance утром 30-го числа, общая сумма замороженных активов составила $2,54 млрд, и эта цифра может продолжить расти по мере сотрудничества с правоохранительными органами, эмитентами, блокчейн-разведкой и отраслевыми партнёрами.

Это самый важный структурный факт данного инцидента. USDT и USDC — централизованно выпускаемые токены, и эмитенты сохраняют право замораживать любые адреса — украденные хакером стейблкоины с высокой вероятностью уже заблокированы и не могут быть перемещены. В отличие от них, ETH и BTC принадлежат сетям без эмитента, и ни одна организация не может нажать такую кнопку.

Так возникло ироничное противопоставление: чем «децентрализованнее» средства в этой индустрии, тем труднее их вернуть после кражи; чем сильнее зависимость от централизованных эмитентов, тем выше безопасность.

Реакции сторон образовали чёткий спектр. Официальный ответ Binance был самым сдержанным: сначала «заметили сообщения о потенциальной проблеме безопасности, ведём расследование, подтверждения влияния на средства пользователей пока нет»; затем сообщили, что вывод средств у части пользователей затруднён из-за «технической ошибки» и восстанавливается; к утру 30-го числа формулировка сменилась на «проводится проверка безопасности, вывод средств будет возобновлён после полного устранения проблем безопасности», при этом вывод средств и торговля Binance Alpha были приостановлены.

Соосновательница Хэ И подтвердила, что команда ведёт расследование. Уже не участвующий в повседневном управлении CZ высказался наиболее прямо: «Средства пользователей в безопасности, похоже, Binance действительно взломали. Я больше не управляю Binance.com, но как акционер ожидаю полной компенсации всех средств пользователей».

Что касается чистого убытка, основатель DefiLlama 0xngmi подсчитал: под управлением Binance находится около $144 млрд активов, после вычета замороженных стейблкоинов убыток составит около $1 млрд, или 0,69% активов под управлением, и «Binance легко покроет его за счёт баланса». CZ ретвитнул и добавил: убыток может оказаться немного выше этой цифры, но будет полностью компенсирован.

Это поднимает другой вопрос. Созданный Binance в 2018 году фонд безопасных активов пользователей SAFU долгое время публично заявлял о размере около $1 млрд. Если чистый убыток действительно, как говорит CZ, немного превысит $1 млрд, то реальным источником страховки станет уже не этот фонд, а собственный баланс Binance. Механизм защиты превратился из «подготовленного пула средств» в «кредит компании».

3. Третий инцидент Binance: от $41 млн до $5,6 млрд

Это не первый взлом Binance.

7 мая 2019 года на высоте блока 575012 хакер вывел из горячего кошелька Binance 7 000 биткоинов, стоивших тогда около $41 млн, что составляло 2% от всех биткоинов биржи. В заявлении Binance подробно описывалось: хакер совместил фишинг, вирусы и другие методы атаки, чтобы получить API-ключи и коды Google Authenticator 2FA множества пользователей. Тогда CZ сказал: «Сегодня не лучший день, но мы сохраним прозрачность», фонд SAFU полностью покрыл убыток, а ввод и вывод средств были приостановлены на неделю.

7 октября 2022 года уязвимость в кроссчейн-мосте Token Hub сети BNB Chain позволила злоумышленнику в двух транзакциях выпустить 2 млн BNB стоимостью около $566 млн, что привело к временной остановке производства блоков в BNB Chain. До этого, в марте и июле 2018 года, были ещё два инцидента с контролем рисков, вызванные фишингом пользователей API.

За семь лет — три инцидента, суммы от $41 млн до $566 млн и затем до $5,6 млрд. Цифры выросли более чем в тысячу раз, но цель атаки почти не изменилась: каждый раз взламывалась не математика ключей, а обходились процессы вокруг ключей.

В 2019 году — фишинг для получения API-ключей и 2FA; в 2022 году — логика проверки кроссчейн-моста; теперь ончейн-следы указывают на кражу прав подписи горячего кошелька. Форма изменилась, место — нет: уязвимости всегда находятся на стыке «человека» и «системы».

4. 2026 — чёрный год для бирж

За несколько часов до инцидента с Binance другая ведущая криптоплатформа пережила атаку гораздо меньшего масштаба, но почти по тому же сценарию.

Рано утром 30 октября рынок прогнозов Polymarket опубликовал в своём официальном аккаунте заявление: обнаружена и устранена проблема, затронувшая международную платформу Polymarket.com, взломан сторонний поставщик, инцидент передан правоохранительным органам; из осторожности платформа временно остановила торги. Примерно через час торги полностью возобновились. Polymarket заявил, что все пострадавшие получат полную компенсацию.

Взломаны были не кошельки и не контракты. По сообщениям CNBC и NBC News, проблема возникла из-за взлома базирующегося в Великобритании инструмента мониторинга производительности сайтов и веб-аналитики DebugBear, из-за чего Polymarket передал инцидент британским правоохранительным органам. DebugBear также подтвердил в своём аккаунте X, что переживает «продолжающийся инцидент безопасности». Американская платформа Polymarket не пострадала.

Масштаб убытка несопоставим с Binance. Данные блокчейн-аналитической компании Arkham указывают на сумму около $2,65 млн; CNBC со ссылкой на анализ Betting Intelligence и Polysights сообщает, что один аккаунт вывел как минимум $2,7 млн из 710 других кошельков. Сумма небольшая, но характер однозначен: злоумышленник не трогал системы Polymarket; он целился в чужое программное обеспечение, встроенное в системы Polymarket.

24 сентября 2026 года Bitget также подвергся взлому с убытком около $387,5 млн. Согласно реконструкции Galaxy Research и BlockSec, злоумышленник не получил приватные ключи, а использовал уязвимости нулевого дня в двух сторонних продуктах безопасности, чтобы получить внутренние привилегированные учётные данные, вставить поддельные инструкции на вывод средств в бэкенд кошельков и затем удалить следы. Генеральный директор Bitget Грейси Чен заявила: они не подделывали запросы пользователей на вывод и не получали приватные ключи холодных или горячих кошельков. Поддельные запросы структурно полностью совпадали с легитимными внутренними переводами, поэтому система авторизации их одобрила.

Инцидент с Bybit в феврале 2025 года был более ранней версией того же сценария: около $1,5 млрд в Ethereum, злоумышленник взломал UI и интерфейс отображения транзакций, которыми пользовались подписанты мультиподписи, заставив их думать, что они одобряют рутинный перевод. Приватные ключи всё время были в безопасности, контракт Safe не пострадал — проблема была в экране перед ключами. ФБР приписало атаку Северной Корее.

Galaxy Research резюмировал оба инцидента одной фразой, которая может служить эпитафией всей индустрии: никто не атакует математику приватных ключей; атакуют людей или системы, которые говорят математике, что делать.

Отмывание средств тоже стало индустриализированным. BlockSec отследил, что в деле Bitget около $269 млн чистого притока ушло в THORChain; Galaxy сообщил, что THORChain отказал Bitget в блокировке под предлогом «децентрализованности и отсутствия разрешений» — в своё время средства Bybit прошли похожим путём. Когда средства уходят в централизованные протоколы, возврат перестаёт быть технической проблемой и становится вопросом позиции.

Отраслевые данные столь же суровы. SlowMist сообщил о 182 инцидентах безопасности в первом полугодии 2026 года с убытком около $956 млн, что на 50,41% больше год к году; у CertiK — 344 инцидента и $1,316 млрд; Hacken отчитался об убытке $1,18 млрд в третьем квартале, что на 55% больше квартал к кварталу, причём 77% связаны со слепыми зонами в цепочке поставок.

По сумме убытков, согласно статистике Blockaid, на приватные ключи и операционную безопасность приходится 74,3%; по числу инцидентов на уязвимости кода — 79,3%. Иными словами: самая частая проблема — код, но самой смертоносной всегда остаются права доступа.

Заключение

От примерно $450 млн Mt. Gox до $1,5 млрд Bybit и теперь $5,6 млрд — цифры, которая всё ещё меняется, — рекорд «крупнейшей кражи в истории» обновляется каждые несколько лет, только за последний год он был побит трижды, и каждый раз индустрия становилась богаче, профессиональнее и более регулируемой. Это показывает, что скорость инвестиций криптокомпаний в безопасность по-прежнему не поспевает за развитием хакерских технологий и ИИ.

Ещё важнее природа противника. Дела Bybit и Bitget уже приписаны ФБР, Elliptic и Chainalysis северокорейской группировке Lazarus, а почерк нынешнего инцидента с Binance очень похож на два предыдущих. Подсанкционное и изолированное государство рассматривает криптобиржи как свой самый стабильный источник иностранной валюты — а издержки этого бизнеса несут пользователи по всему миру.

Binance, вероятно, сможет пережить этот убыток в $1 млрд, пользователи вряд ли потеряют хоть цент, а вывод средств, как ожидается, возобновится. Но от Mt. Gox до Binance прошло двенадцать лет, а биржи по-прежнему остаются самым уязвимым и самым привлекательным звеном этой цепочки; взламывали никогда не криптографию, а процессы, цепочки поставок и тот самый экран, на котором отображается транзакция.