Между 20:04 и 23:56 UTC 29 октября 2026 года с горячих кошельков Binance ушло примерно $6,3 млрд в цифровых активах, которые так и не вернулись. По данным аналитической компании Bitquery, отток средств затронул от девяти до десяти различных блокчейнов. TRM Labs оценила сумму примерно в $6,36 млрд и отметила, что большая часть средств была выведена примерно за двадцать минут, начиная с 20:05 UTC.

Самый важный момент произошёл в 20:20:59 UTC. Компания по безопасности Blockaid отследила одну транзакцию в Ethereum, содержавшую пятьдесят так называемых авторизаций EIP-7702, все из которых были направлены на кошелёк, публично известный как Binance 14. Сорок девять попыток завершились неудачей. Одна — удалась. Эта авторизация передала контроль над кошельком смарт-контракту, принадлежащему злоумышленнику, который затем вывел 167 464 ETH и 1,6 млрд USDT. Второй горячий кошелёк Binance в сети Ethereum отдельно подписал девять переводов на сумму $174 млн напрямую злоумышленнику. Только в сети Ethereum, по данным Etherscan, ушло около $2,8 млрд, включая 195 470 ETH, 1,615 млрд USDT, 780 млн USDC и более шестидесяти других токенов.

Для сравнения: предыдущий рекорд по краже криптовалюты принадлежал взлому Bybit в феврале 2025 года — около $1,5 млрд. Нынешний случай примерно в четыре раза масштабнее. Основатель Binance Чанпэн Чжао в 21:15 UTC написал в X, что происходящее похоже на взлом — и это было в момент, когда средства всё ещё выводились.

В этой статье мы разберём, как на самом деле устроен горячий кошелёк биржи, что такое EIP-7702 и почему эта функция превратила подпись в универсальную отмычку, как взломанный ноутбук инженера вписывается в общую картину, почему версия событий самой Binance менялась, как примерно $3 млрд были заморожены прямо в процессе вывода, и что этот эпизод означает для аргументов в пользу хранения активов на централизованных биржах.

Горячие и холодные кошельки: зачем биржам нужны оба

Криптовалютная биржа хранит активы клиентов в двух широких категориях.

  • Холодные кошельки — это хранилища, закрытые ключи которых (секретные строки, авторизующие транзакцию) хранятся офлайн. Для вывода средств требуется физическое, осознанное, часто многоступенчатое действие с участием нескольких человек. Безопасно, но медленно.
  • Горячие кошельки подключены к интернету и к собственному программному обеспечению биржи. Они существуют для того, чтобы, когда клиент нажимает кнопку вывода средств, монеты приходили за минуты, а не за часы. Это касса, а не сейф.

Этот компромисс — структурная особенность, а не ошибка. Биржа без горячего кошелька не сможет функционировать. Биржа с горячим кошельком — это подключённая к интернету система, которая по замыслу уполномочена подписывать транзакции, перемещающие деньги клиентов. Многие крупные кражи на биржах были атаками именно на этот стык, хотя не все: кража $1,5 млрд у Bybit в феврале 2025 года опустошила мультиподписной холодный кошелёк Ethereum во время плановой передачи средств через манипулированный интерфейс подписания.

Стоит отметить соотношение масштабов. По данным DefiLlama, публичные кошельки Binance до взлома держали почти $145 млрд, так что кража составила около 4,4% от общего объёма. В абсолютном выражении это разрушительная цифра, в относительном — вполне переносимая, и именно поэтому модель горячего кошелька продолжает существовать.

Что такое EIP-7702 простыми словами

У Ethereum исторически было два типа аккаунтов. Внешне управляемый аккаунт — это обычный кошелёк, контролируемый закрытым ключом: он может хранить активы и отправлять их, и это всё, на что он способен. Аккаунт смарт-контракта — это фрагмент кода, который может хранить активы и выполнять запрограммированные инструкции, но у него нет собственного ключа.

EIP-7702, представленный вместе с обновлением Pectra в Ethereum, стирает эту границу. Он позволяет обычному кошельку, управляемому ключом, временно делегировать выполнение операций коду смарт-контракта, подписав сообщение-авторизацию. По сути кошелёк заявляет: для целей этой транзакции обращайтесь со мной так, как будто я выполняю эту программу.

Замысел состоит в удобстве для пользователя. Делегирование позволяет объединять несколько действий в одну транзакцию или позволять третьей стороне оплачивать комиссию за газ от имени пользователя, не вынуждая людей переходить на совершенно новый адрес кошелька. Это реальное улучшение удобства использования.

Риск — это зеркальное отражение преимущества. Авторизация EIP-7702 — это не перевод средств. Это передача контроля. Одобрите не ту авторизацию — и в момент подписания подписавший не теряет ни единой монеты; он просто вручает ключи от машины незнакомцу, который может угнать её позже.

Именно это и произошло. Успешная авторизация делегировала горячий кошелёк Binance тому, что Elliptic описала как «контракт-подметальщик» (sweeper contract) — программу, созданную с единственной целью: вывести всё, что хранится на кошельке, за один проход. С точки зрения блокчейна транзакция, опустошившая кошелёк, была полностью валидной. В итоге Etherscan пометил адреса получателей как Binance Hot Wallet Exploiter и Binance Hot Wallet Exploiter 2 с тегом Exploit, поскольку на уровне протокола ничего некорректного не произошло.

Человеческая лазейка

Валидная авторизация должна быть кем-то подписана. В 02:23 UTC 30 октября Binance объявила о первых выводах расследования: взломанный ноутбук DevOps-инженера позволил злоумышленнику получить доступ к сервисному контейнеру и отправить несанкционированные транзакции на вывод средств. DevOps-инженер — это специалист, обслуживающий инфраструктуру, которая обеспечивает работу систем биржи; сервисный контейнер — изолированная программная среда, в которой работает одна из таких систем.

Важно, что Binance заявила: доказательств утечки какого-либо закрытого ключа кошелька обнаружено не было. Генеральный директор Blockaid Идо Бен-Натан заявил, что имеющиеся данные указывают скорее на компрометацию инфраструктуры подписания, чем на утечку ключа, и провёл параллель со взломом Bybit в феврале 2025 года.

Это различие важнее, чем может показаться. Украденный ключ — это кража секрета. Скомпрометированный конвейер подписания — это подрыв легитимного процесса: система по-прежнему хранит свои секреты, но её убедили использовать их в интересах злоумышленника. Со стороны, на уровне блокчейна, эти два сценария неотличимы друг от друга. Оба дают совершенно валидные подписи.

Точный механизм, посредством которого доступ к ноутбуку превратился в подписанную авторизацию EIP-7702, опубликован не был, и было бы неправильно строить предположения на этот счёт.

Где расходятся версии событий

Версия Binance не оставалась неизменной. Сначала указав на ноутбук, компания позже заявила, что инцидент является результатом множества факторов, а продолжающееся расследование выявило дополнительные точки проникновения. Со-генеральный директор Ричард Тенг, сменивший Чанпэна Чжао в ноябре 2023 года, заявил, что злоумышленник не просто воспользовался правами доступа одного инженера и что это было не единичное действие в один клик. Тенг также отметил, что расследование пока не возложило ответственность на какое-либо конкретное лицо.

Внешние следователи оказались быстрее в вопросе атрибуции. TRM Labs связала ограбление с группировкой TraderTraitor — северокорейским хакерским подразделением, действующим при поддержке государства, также известным как Lazarus Group и APT38. Сама Binance в своих заявлениях не связывала инцидент ни с какой хакерской группировкой или источником угрозы.

Это расхождение — нормальное явление, а не повод для подозрений. Компании, занимающиеся блокчейн-аналитикой, строят атрибуцию на основе совокупности ончейн- и оффчейн-паттернов и публикуют выводы быстро. Биржа, находящаяся под юридическим и регуляторным контролем, подтверждает только то, что может доказать. Стоит отметить, что в доступных источниках никакого официального подтверждения атрибуции со стороны правоохранительных органов не было; связь с Северной Кореей основывается на анализе частных компаний.

Заморозка: тихая централизация крипторынка

Около $3 млрд из похищенных средств, то есть примерно половина общей суммы, были заморожены прямо в блокчейне. Генеральный директор Tether заявил, что было заморожено более 1,567 млрд USDT. Circle, эмитент USDC, а также связанная с Трампом компания World Liberty Financial также заморозили удерживаемые стейблкоины.

Над этим стоит задуматься. Стейблкоин, привязанный к доллару, является обязательством своего эмитента, и эмитент сохраняет техническую возможность внести адрес в чёрный список, сделав находящиеся на нём токены неработоспособными. Актив по-прежнему остаётся в блокчейне. Он просто перестаёт быть погашаемым или передаваемым.

Таким образом, крупнейшим фактором смягчения последствий в крупнейшей краже криптовалюты за всю историю оказалась не криптография, не децентрализация и не неизменность записей. Это было административное решение горстки частных компаний в отношении собственных токенов. Украденный ETH, у которого нет эмитента, заморозить таким же образом было невозможно. Практический вывод таков: чем более централизован криптоактив, тем выше его шансы быть возвращённым после кражи — и тем больше его держатели в остальное время зависят от усмотрения эмитента.

Кто несёт убытки

Binance заявила, что покроет все убытки за счёт своего Фонда защиты активов пользователей (Secure Asset Fund for Users), известного как SAFU, — резерва примерно в $1 млрд в биткоинах, а также собственных средств компании. SAFU — это страховой фонд, созданный Binance именно на случай подобного события. При объёме примерно в $1 млрд против общего убытка в $6,3 млрд он покрывает лишь часть потерь, а оставшаяся сумма будет взята из собственного баланса компании и, если усилия по возврату средств увенчаются успехом, из возвращённых замороженных активов.

В оперативном плане Binance приостановила вводы и выводы средств, отозвала авторизацию скомпрометированного адреса и привлекла правоохранительные органы и партнёров по блокчейн-аналитике. Компания рассчитывала возобновить выводы средств в течение примерно 48 часов, а позже сообщалось, что процесс идёт по графику — в пределах 45 часов с момента последнего обновления — после доработки системы безопасности сервиса вывода средств.

Приостановка выводов средств — это момент, когда торговая площадка превращается в вопрос кредитного риска. Клиенты, считавшие, что владеют активами, обнаруживают, что владеют лишь требованием к компании, а ценность этого требования зависит от того, сможет ли компания покрыть образовавшуюся дыру.

Что это означает для централизованных бирж

Из произошедшего следуют три неприятных вывода.

  • Новые функции протоколов расширяют поверхность атаки так, как институциональные игроки этого не учитывали. EIP-7702 — разумное решение, служащее интересам реальных пользователей. Но оно же превращает подпись в передачу контроля, что повышает ставки при любой компрометации пути подписания.
  • Самым слабым звеном остаётся человеческий и операционный фактор. Эта атака не потребовала взлома криптографии. Потребовался лишь доступ к механизмам, легитимно использующим эту криптографию.
  • Масштаб сам по себе становится фактором риска. Площадка, держащая на видимых кошельках почти $145 млрд, представляет собой цель, ради которой хорошо обеспеченный ресурсами противник, в том числе государственно поддерживаемый, готов потратить месяцы на подготовку.

Контраргумент заключается в том, что система выдержала удар. Binance сохранила платёжеспособность, примерно половина средств была заблокирована, а возобновление выводов ожидалось в сроки, измеряемые днями: биржа заявила, что остаётся на пути к перезапуску выводов примерно через 45 часов с момента последнего обновления, приостановив их около 22:15 UTC 29 октября. Это заметно отличается от исходов краха бирж на более ранних этапах истории криптовалют.

Ключевые выводы для инвесторов

  • Около $6,3 млрд ушли с горячих кошельков Binance 29 октября 2026 года в девяти-десяти блокчейнах — примерно в четыре раза больше, чем кража $1,5 млрд у Bybit в феврале 2025 года.
  • Единственная успешная авторизация EIP-7702 в 20:20:59 UTC — одна из пятидесяти попыток в составе одной транзакции — делегировала горячий кошелёк Binance контракту-«подметальщику», контролируемому злоумышленником.
  • Binance сообщила об отсутствии доказательств утечки закрытого ключа, указав вместо этого на компрометацию инфраструктуры подписания через ноутбук DevOps-инженера, а позже — на дополнительные точки проникновения.
  • Было заморожено около $3 млрд, включая стейблкоины, замороженные эмитентами Tether, Circle и World Liberty Financial, что подчёркивает: возможность возврата средств в криптовалюте зависит от централизованного контроля эмитентов.
  • Binance обязалась покрыть убытки из резерва SAFU объёмом примерно $1 млрд плюс собственные средства компании; кража составила около 4,4% от публично видимых активов биржи.
  • Атрибуция атаки северокорейской группировке TraderTraitor исходит от частных разведывательных компаний, а не от Binance и не от подтверждённых официальных заявлений правоохранительных органов в доступных источниках.

Заключение

Примечательно, насколько мало в этом взломе было связано со сбоем самой технологии блокчейна. Каждая транзакция была валидной. Каждая подпись прошла проверку. Реестр сработал ровно так, как был задуман, — и в этом вся проблема: система, построенная для безоценочного исполнения инструкций, выполнит и инструкции вора с той же невозмутимостью, с какой выполняет инструкции клиента.

Остановили кровотечение не код, а контрагенты. Tether заморозила токены. Circle заморозила токены. Binance заложила собственный баланс. Инфраструктура, ограничившая ущерб, оказалась тем самым централизованным, дискреционным, корпоративным уровнем, в обход которого изначально и создавалась криптовалюта. Хранение активов на бирже всегда было ставкой на институт, а не на протокол. Взлом октября 2026 года этого не изменил. Он лишь сделал эту ставку наглядной — и показал, во что она обходится, когда наступает момент расплаты.