29 октября с кошельков Binance за считаные минуты ушло около $6,3 млрд — это крупнейшая кража в истории криптовалют. Аналитики приписывают атаку северокорейским хакерам, а сама биржа называет отправной точкой взломанный ноутбук DevOps-инженера.
Для IT-индустрии это история не столько о криптовалюте, сколько о том, что рабочая машина инженера с доступом к продакшену стала главной мишенью.
Коротко
- По оценке Binance, ущерб составил около $6,3 млрд. Компания TRM Labs насчитала $6,36 млрд, которые ушли из кошельков биржи в десяти блокчейнах, большей частью примерно за 20 минут.
- По первой версии Binance, атака началась со скомпрометированного ноутбука DevOps-инженера. Позже биржа сообщила и о других точках проникновения.
- TRM Labs и Chainalysis приписывают атаку северокорейской группе TraderTraitor — той же, что в 2025 году украла $1,5 млрд у биржи Bybit.
- Около $3 млрд удалось заморозить, остальное Binance обещает покрыть из своих средств.
Что произошло
По данным TRM Labs, вывод средств начался в 20:05 UTC 29 октября. Деньги ушли сразу в десяти сетях, включая Ethereum, Bitcoin, Tron и Solana. По подсчёту TRM, это примерно вчетверо больше взлома Bybit в феврале 2025 года, который до сих пор считался рекордным.
Binance приостановила вывод средств, а затем подтвердила взлом. В заявлении, которое приводит Engadget, биржа оценила ущерб примерно в $6,3 млрд и сообщила, что около $3 млрд заморожено вместе с партнёрами. Утечки приватных ключей от кошельков, по словам Binance, не обнаружено.
Оценки немного расходятся: Chainalysis насчитала не менее $5,91 млрд, TRM — $6,36 млрд. Это нормально на первых днях расследования, потому что компании считают по-разному: по курсу на момент перевода или по итоговой сумме.
С чего всё началось
Первая версия Binance звучала так: скомпрометированный ноутбук DevOps-инженера дал злоумышленнику доступ к служебному контейнеру, а через него — возможность отправлять несанкционированные запросы на вывод средств. Контейнер — изолированная среда, в которой работает отдельный сервис биржи.
Уже на следующий день биржа уточнила картину. Как пишет The Next Web, повторное расследование нашло «дополнительные точки проникновения», а один из двух гендиректоров Binance Ричард Тенг заявил, что атака не сводилась к доступу одного человека.
TRM Labs, в свою очередь, считает, что злоумышленник смог заставить систему подписи транзакций биржи одобрять переводы сразу во многих сетях. Полного технического отчёта Binance пока не опубликовала и обещает сделать это после завершения расследования.
Кто стоит за атакой
TRM Labs с «высокой уверенностью» приписывает атаку группе TraderTraitor. Это подразделение северокорейских государственных хакеров, которое специализируется на криптовалютных платформах. Chainalysis пришла к такому же выводу. По данным TRM, подготовка началась минимум за 36 часов до кражи.
Эта же группа, по заключению ФБР, стояла за взломом Bybit в 2025 году. Официального заявления ФБР о взломе Binance мы на момент публикации не нашли: атрибуция пока исходит от частных аналитических компаний.
Не первый раз: ноутбук разработчика как ворота
История с Bybit во многом похожа. Тогда, по итогам расследования с участием Mandiant, атака началась с компрометации ноутбука разработчика компании Safe, чей кошелёк использовала биржа. Злоумышленники получили доступ к облачной инфраструктуре Safe и подменили интерфейс, через который сотрудники Bybit подписывали перевод.
В обоих случаях взламывали не блокчейн и не криптографию. Слабым местом оказался человек с широкими доступами и его рабочий компьютер. Для северокорейских групп это давно отработанный приём: они целенаправленно выходят на конкретных инженеров, в том числе через поддельные вакансии и проекты.
Весь сценарий одной строкой: не ломать защищённую систему, а зайти через компьютер того, кому эта система доверяет.
Заморозки: спасение и спор о централизации
Быстрее всех отреагировала не биржа, а эмитенты стейблкоинов. Стейблкоин — криптовалюта, привязанная к доллару, которую выпускает конкретная компания. По данным Reuters, которые перепечатал Investing.com, Tether заморозила около 1,57 млрд USDT, Circle — более $800 млн в USDC, Ripple — около $200 млн.
Это стало возможным, потому что эмитенты могут блокировать адреса прямо в смарт-контрактах своих токенов. Скорость сработала в пользу пострадавших. Но та же возможность — давний аргумент критиков: у «децентрализованных» денег есть компании, которые в любой момент могут их остановить.
Заморозить удалось далеко не всё. По подсчёту TRM, у злоумышленника осталось более 420 тысяч ETH и 18 270 BTC — около $2,4 млрд в активах, которые никакой эмитент заблокировать не может.
Хватит ли у Binance денег
Биржа обещает покрыть все потери из страхового фонда SAFU и собственных средств. Фонд SAFU создан в 2018 году для таких случаев и, по данным CNBC, оценивается примерно в $1,2 млрд. Аналитик Fundstrat Шон Фаррелл считает, что угрозы платёжеспособности Binance взлом сейчас не создаёт.
По данным CoinDesk, биржа зарезервировала более $6,34 млрд собственных средств, чтобы восстановить балансы клиентов, и докупает недостающие токены на рынке. Вывод средств Binance обещает возобновить примерно в течение двух суток, а ввод, по словам сооснователя И Хэ, уже работает.
Открытые вопросы
Открытый вопрос. Как доступ с одной рабочей машины превратился в возможность подписывать вывод на миллиарды долларов в десяти сетях? Пока Binance не опубликовала технический отчёт, ответа нет — а именно он покажет, где отказали механизмы контроля.
Неясно и то, насколько окончательны цифры. Часть замороженных средств ещё предстоит вернуть через юридические процедуры, а оставшиеся активы злоумышленник, вероятно, будет отмывать через другие сети.
Что это значит для разработчиков и бизнеса
Детали атаки на Binance пока неизвестны, но общие уроки понятны уже сейчас. Они касаются любой компании, где инженеры работают с продакшеном, а не только криптобирж.
- Рабочий ноутбук — часть периметра. Если с машины инженера можно дотянуться до систем, которые двигают деньги или данные, её нужно защищать как сервер, а не как личный компьютер.
- Наименьшие привилегии. У инженера не должно быть постоянного доступа ко всему: права выдаются на время задачи и отзываются после.
- Критичные операции — только с независимым подтверждением. Крупный вывод или изменение в системе подписи должны требовать согласия нескольких людей, проверяющих операцию на отдельных устройствах.
- Лимиты и тревоги. Автоматические ограничения на объём и скорость операций дают время заметить аномалию до того, как ущерб станет огромным.
- Осторожность с «проектами со стороны». Тестовые задания, сторонние репозитории и контейнеры, присланные незнакомцами, лучше открывать только в изолированной среде.
Для пользователей вывод проще: даже крупнейшая биржа может на несколько дней закрыть вывод средств. Держать все активы в одном месте рискованно.
Вывод
Взлом Binance — рекорд по сумме, но не по методу. Как и в случае с Bybit, всё, по имеющимся данным, началось не с уязвимости в блокчейне, а с компьютера инженера, которому доверяет инфраструктура.
Главный вопрос сейчас — не «сколько украли», а «почему одной точки входа хватило на миллиарды». Ответ даст технический отчёт Binance, и его стоит прочитать каждой компании, где у инженеров есть доступ к продакшену.