DIGINEWS

Как хакеры за минуты украли $6,3 млрд с Binance

Kyle Torpey
30.10.2026
Блокчейн
Binance взлом криптовалюта кндр Ethereum хакеры gizmodo.com

Binance расследует взлом на $6,3 млрд, связанный с хакерской группой из КНДР. Обновление Ethereum позволило злоумышленнику вывести средства из горячего кошелька одной транзакцией. Биржа обещает покрыть все убытки.

Binance все еще пытается выяснить, как хакеры вывели около 6,3 миллиарда долларов в криптовалюте, но следователи уже выявили две важные детали: атака связана с северокорейской хакерской группой TraderTraitor, а обновление Ethereum предоставило злоумышленнику возможность опустошить один из крупнейших горячих кошельков биржи одной транзакцией.

По данным TRM Labs, кража произошла вчера на 10 блокчейнах, причем большая часть средств покинула кошельки, контролируемые Binance, примерно за 20 минут. Изначально Binance указывала на взломанный ноутбук одного из DevOps-инженеров, но позже заявила о наличии дополнительных точек проникновения в рамках сложной атаки. Детали того, как злоумышленнику удалось получить достаточные полномочия для проведения транзакций из кошельков Binance, остаются неясными.

Binance оценивает общий ущерб примерно в 6,3 миллиарда долларов (около 3 миллиардов долларов из которых заморожены различными третьими сторонами) и заявляет, что покроет все убытки за счет своего фонда SAFU (Secure Asset Fund for Users) и других средств компании.

Что заявила Binance

Первое публичное объяснение Binance указывало на ноутбук DevOps-инженера. Поздним вечером биржа сообщила, что предварительное расследование предполагает, что взломанный ноутбук позволил злоумышленнику получить доступ к служебному контейнеру и инициировать несанкционированные транзакции на вывод. Binance добавила, что не обнаружила никаких свидетельств утечки приватных ключей.

Согенеральный директор Binance Ричард Тенг позже уточнил, что атака не была простым злоупотреблением разрешениями одного сотрудника, написав в X: «Злоумышленник не просто использовал разрешения одного инженера, и это не было единичным действием «в один клик». Это был более сложный процесс атаки».

Тенг добавил, что Binance обнаружила дополнительные точки проникновения, но не возложила ответственность на конкретных лиц. Биржа пообещала предоставить подробный технический отчет после завершения расследования.

Стоит отметить, что Конор Гроган, руководитель отдела бизнес-операций по продуктам Coinbase, предупредил во время атаки, что автоматические переводы средств с депозитных кошельков Binance продолжали работать после первоначальной атаки. Эти автоматические переводы перемещают средства с индивидуальных адресов депозитов клиентов на агрегированные горячие кошельки биржи. В данном случае это означало, что новые депозиты могли пополнить кошелек, который уже был скомпрометирован злоумышленником.

Наблюдатели блокчейна указывают на Северную Корею

Несколько фирм, занимающихся анализом блокчейна, и аналитики приписали атаку группе TraderTraitor, спонсируемой государством Северной Кореи, которая также связана с более широкой группой Lazarus.

TRM Labs заявила, что с «высокой степенью уверенности» приписывает кражу TraderTraitor. Фирма указала на несколько особенностей, схожих с предыдущими крипто-кражами, связанными с Северной Кореей, включая взлом Bybit на 1,4 миллиарда долларов в феврале 2025 года. Соучредитель и генеральный директор Chainalysis Джонатан Левин также написал в X, что взлом Binance «вероятно, совершен группой КНДР TraderTraitor» из-за связей с предыдущими взломами. Кроме того, The Wall Street Journal сообщила, что следователи указывают на Северную Корею, а основатель Elliptic Том Робинсон заявил изданию: «Это государственное воровство в масштабах, с которыми не может сравниться ни одна преступная группа, а вырученные средства идут на финансирование оружейных программ Северной Кореи».

Исследователь блокчейна ZachXBT сообщил, что средства, украденные при взломе Binance, и средства от отдельного взлома Bitget на 388 миллионов долларов, который также ранее связывали с Северной Кореей, были смешаны по одному адресу после прохождения через кросс-чейн обменник THORChain.

Северную Корею неоднократно обвиняли в использовании крипто-взломов для получения иностранной валюты, несмотря на международные санкции. Разумеется, они отрицают эти обвинения и утверждают, что это не более чем пропаганда правительства США. По оценкам TRM Labs на апрель, с 2017 года Северная Корея заработала на крипто-кражах более 6 миллиардов долларов, но с тех пор режим был связан с кражами на миллиарды долларов.

Как обновление Ethereum помогло злоумышленнику

С технической точки зрения, произошедшее в сети Ethereum является самой интересной частью истории. Что касается того, как произошел взлом в этой конкретной блокчейне, TRM сообщает, что злоумышленник пополнил операторский кошелек путем мелких выводов средств из миксера Tornado Cash, основанного на Ethereum, заранее подготовил атаку и создал 50 авторизаций EIP-7702, подписанных Binance, перед тем как совершить кражу в быстрой последовательности. EIP-7702 — это обновление Ethereum, которое было запущено в мае 2025 года и предназначено для повышения гибкости обычных кошельков Ethereum, позволяя им временно выполнять код смарт-контракта.

Внешне управляемый аккаунт (EOA) обычно контролируется приватным ключом и не может самостоятельно применять правила или выполнять пакетные операции. EIP-7702 позволяет ему подписать авторизацию, делегирующую его поведение смарт-контракту, что делает возможными такие действия, как объединение одобрения токена и перевода. В случае с Binance злоумышленник использовал EIP-7702, чтобы превратить Binance 14, один из горячих кошельков биржи в сети Ethereum, в кошелек, управляющий сканирующим контрактом, контролируемым злоумышленником.

Согласно технической реконструкции событий от Blockaid, злоумышленник отправил транзакцию, содержащую 50 авторизаций EIP-7702, каждая из которых была подписана Binance 14 и привязана к разному последовательному nonce. Nonce — это счетчик, который увеличивается каждый раз, когда аккаунт Ethereum отправляет транзакцию. Поскольку Binance 14 активно обрабатывал выводы средств, его nonce постоянно менялся. Злоумышленник не мог знать, какой nonce будет актуальным на момент обработки транзакции авторизации, поэтому он заранее подготовил 50 различных вариантов. Один из них оказался совпадением.

Эта авторизация направила Binance 14 к сканирующему контракту, которым мог управлять только кошелек злоумышленника. Через несколько минут злоумышленник использовал контракт для перемещения примерно 167 464 ETH, около 1,6 миллиарда долларов в USDT и более 60 других токенов в одной транзакции стоимостью около 2,5 миллиардов долларов.

Важно отметить, что EIP-7702 не позволил постороннему получить контроль над произвольным кошельком. Авторизация все равно должна была быть подписана ключом кошелька или инфраструктурой, способной выдать действительную подпись. Детали использования EIP-7702 также не применимы к тому, что произошло в других блокчейнах.

Дерек Чианг, основатель Ethlabs и исследователь, заявил, что сам по себе EIP-7702 не был сломан. Скорее, эта функция сделала кражу быстрее и эффективнее, как только злоумышленник получил возможность получить действительные авторизации. Без нее злоумышленнику пришлось бы отправлять отдельные транзакции для перемещения каждого токена, конкурируя с законными выводами средств Binance за следующий nonce кошелька.

Это не FTX

Кража вызвала сравнения с FTX, но обстоятельства этого последнего инцидента, по крайней мере, в том виде, в каком они понимаются в настоящее время, кажутся совершенно иными. Binance утверждает, что средства клиентов в безопасности и что она покроет убытки за счет SAFU и собственных средств компании. Нет никаких публичных доказательств того, что это была внутренняя работа, или что Binance неплатежеспособна.

Учитывая, что большая часть украденных средств была заморожена, реальный ущерб от взлома, вероятно, меньше, чем штрафы в размере 4,3 миллиарда долларов, которые Binance согласилась выплатить в рамках урегулирования с Министерством юстиции США в 2023 году за нарушения законов о борьбе с отмыванием денег и санкциями.

В X соучредитель и бывший генеральный директор Binance Чанпэн «CZ» Чжао выступил с ответным заявлением после того, как Илон Маск отреагировал на пост, сравнивающий текущую ситуацию с Binance с предыдущим крахом FTX. Чжао попросил Маска прекратить троллинг и указал на инвестиции Binance в SpaceX как на свидетельство финансовых возможностей компании.

У биржи могут быть ресурсы, чтобы возместить ущерб клиентам, но детали того, как злоумышленник получил достаточные полномочия для создания действительных подписей в нескольких блокчейнах, остаются неясными. Обещанный Binance постмортем должен будет объяснить не только взломанный ноутбук, но и дополнительные точки проникновения и средства контроля, которые не смогли остановить вывод средств на миллиарды долларов.

*Facebook, *Instagram и *WhatsApp принадлежат компании *Meta Platforms Inc., деятельность которой признана экстремистской и запрещена на территории Российской Федерации.

Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.

Автор – Kyle Torpey

Оригинал статьи

Похожие новости: