Что подтвердила Binance
Первый пост Binance вышел 29 октября в 21:29 UTC, когда деньги уходили уже больше часа: команда "проверяет сообщения о возможной проблеме безопасности", средства пользователей "в полной безопасности". Через 5 часов, 30 октября в 02:25 UTC, биржа выложила подробности в X и на сайте:
- Причина. Предварительное расследование показывает, что инцидент мог быть связан со скомпрометированным ноутбуком DevOps-инженера. Через него атакующий получил доступ к сервисному контейнеру и отправил несанкционированные транзакции на вывод.
- Ключи. Признаков утечки приватных ключей кошельков биржа не нашла. Подробный технический разбор обещан, когда расследование закончится и факты будут проверены.
- Деньги. Общий ущерб около $6,3 млрд, ончейн заморожено около $3 млрд. Все убытки Binance покроет из фонда SAFU и собственных средств, а после восстановления опубликует обновленное подтверждение резервов (Proof of Reserves).
- Меры. Депозиты и выводы временно приостановлены, авторизация затронутого адреса отозвана, к поиску денег подключены правоохранители и компании блокчейн-аналитики.
Скриншот: пост Binance в X с итогами предварительного расследования, 30.10.2026, 02:25 UTC
Основатель Binance Чанпэн Чжао (CZ) написал в тот же час: средства пользователей в безопасности, сооснователь Йи Хэ и сотни сотрудников всю ночь не спали, а помогали даже конкуренты, "включая некоторых, кто раньше был не очень дружелюбен". И закончил: "Больно, но мы выживем".
Как вывели $6,3 млрд: подписи вместо ключей
Binance говорит про ноутбук и контейнер, а ончейн-аналитики показали, что было дальше. Самый подробный разбор по Ethereum выложила Blockaid, картину по всем сетям собрала TRM Labs.
Подготовка. Кошелек оператора пополнили 3 выводами из миксера Tornado Cash начиная с 28 октября. 29 октября атакующий прогнал всю схему на 3 своих кошельках с переводами по $2-6, а в 15:59 UTC развернул контракт-свипер, которым потом и опустошил кошелек Binance.
Трюк с EIP-7702. Механизм пришел в Ethereum с обновлением Pectra: подписью владельца обычный адрес делегирует свой код смарт-контракту и начинает работать как контракт. Подпись привязана к порядковому номеру транзакции кошелька (nonce), а горячий кошелек биржи шлет транзакции непрерывно, и точный номер заранее не угадать. Поэтому атакующий подготовил 50 авторизаций, подписанных ключом кошелька Binance 14, под номера с 18 914 775 по 18 914 824. В 20:20:59 UTC он отправил их 1 транзакцией: 49 оказались невалидны, 1 совпала, и делегирование включилось, пока собственные транзакции Binance продолжали идти.
Вывод. Через 3 минуты 24 секунды, в 20:24:23, оператор вызвал свипер и 1 транзакцией вывел 167 464 ETH, 1,615 млрд USDT и около 60 других токенов на новый адрес. На Binance 14 остался 1 ETH. Делегирование при этом продолжало работать: Binance 14 управлял смарт-аккаунтом Circle (Binance Hot Wallet 34), и в 20:41 оператор через него увел 780 млн USDC и следом еще 43 млн. В 21:44 атакующий повторил вывод и забрал 200 млн USDT, которые пришли на Binance 14 уже после первого свипа.
Скриншот: TRM Labs, разбор взлома Binance, 30.10.2026
Остальные 9 сетей. На Ethereum пришлось больше половины суммы, но не вся. В тот же вечер кошельки Binance в других сетях отправили деньги атакующему обычными подписанными переводами: с 20:05 до 20:09 UTC 5 кошельков отдали 233,46 млн XRP, в 20:20 горячий кошелек в Bitcoin отправил 18 270 BTC, кошелек в TRON отдал 612,7 млн USDT и 46,4 млн TRX.
По оценке TRM, это указывает на компрометацию инфраструктуры, которая подписывает транзакции горячих кошельков Binance. С версией биржи это сходится: если у атакующего есть доступ к системе подписи, красть сами ключи не нужно. Как именно ноутбук инженера открыл дорогу к подписи сразу в 10 сетях, Binance обещает рассказать в разборе.
- Ethereum: $3,79 млрд. 200 630 ETH и 185 других токенов, в том числе 1,875 млрд USDT и 823 млн USDC
- Bitcoin: $1,47 млрд. 18 270 BTC
- TRON: $628 млн. 612,7 млн USDT и 46,4 млн TRX
- XRP Ledger: $296 млн. 233,46 млн XRP
- Solana: $96 млн. 970 500 SOL
- Arbitrum, Optimism, Base: $39 млн. В том числе 74,6 млн ARB
- Avalanche: $28 млн. AVAX и стейблкоины
- Polygon: $10 млн.
- Итого: $6,36 млрд по цене в момент вывода
Данные TRM Labs. По текущим ценам те же активы стоят около $6,23 млрд. Разброс оценок, от $5,9 млрд у Chainalysis до $6,36 млрд у TRM, дают разные цены и время подсчета, Binance называет около $6,3 млрд.
Инфографика: хронология взлома Binance по UTC, от пополнения кошелька оператора 28 октября до обещания открыть вывод. Данные: Blockaid, TRM Labs, Binance.
Кто стоит за взломом
Binance атакующего не называет. TRM Labs с "высокой уверенностью" приписывает атаку TraderTraitor, элитному хакерскому подразделению КНДР. Признаки знакомые: мелкие выводы из Tornado Cash на кошелек оператора, подготовка задолго до кражи, подписи, собранные заранее и исполненные одним залпом. Эту же группу ФБР назвало виновником взлома Bybit на $1,5 млрд в феврале 2025 года.
Chainalysis тоже с высокой уверенностью указывает на КНДР и добавляет деталь: средства, украденные КНДР при взломе Bitget в прошлом месяце, смешиваются с деньгами, выведенными у Binance.
Сколько заморозили и что осталось у хакеров
Эмитенты стейблкоинов сработали быстро: по данным TRM, Tether начала блокировки на главном адресе атакующего в 21:01 UTC, Circle в 21:04.
- Tether заморозила больше 1,567 млрд USDT, написал CEO Паоло Ардоино в 21:25 UTC.
- Circle заморозила больше 800 млн USDC "в координации с правоохранителями", сообщил CEO Джереми Аллер.
- Ripple заморозила кошелек с украденным RLUSD. По данным TRM, к этому моменту в нем оставалось 40,5 млн из 88,5 млн.
- World Liberty Financial заблокировала 27,8 млн USD1 (TRM).
- Security Council сети Arbitrum принудительно перевел 74 559 805 ARB и 8 425 ETH с адреса атакующего на замороженный промежуточный кошелек.
Всего, по подсчету TRM, заморожено стейблкоинов на $2,67 млрд, с учетом Arbitrum около $2,7 млрд, Binance называет около $3 млрд. Вне досягаемости эмитентов у атакующего остается больше 420 000 ETH и 18 270 BTC, около $2,4 млрд. Часть он уже пустил в оборот: 60 млн USDT внес в лендинг Aave и, как пишет Fortune, занял под них ETH, а 300 млн USDT в TRON ушли в протокол JustLend. Дальше, по опыту прошлых крупных краж, TRM ждет бриджи, своп-сервисы и OTC-брокеров.
Слухи: $5,7 млрд, Маск и опровержение Bybit
Первые цифры пошли раньше официальных. В 21:58 UTC The Kobeissi Letter написал, что Binance взломали и из кошельков в Ethereum, Bitcoin и TRON ушло $5,7 млрд. Через 35 минут Илон Маск процитировал пост фразой "Everyday is Zeroday", к утру у него больше 4,4 млн просмотров.
Следом в соцсетях заговорили о взломах сразу нескольких площадок. Bybit в 23:03 UTC ответила, что биржа не затронута: системы работают штатно, торговля и вывод доступны. CEO Бен Чжоу добавил, что Bybit поддерживает Binance. Binance.US тоже заявила, что инцидент ее не касается: это отдельная платформа.
Скриншот: пост Бена Чжоу с цитатой официального заявления Bybit, 29.10.2026, 23:05 UTC
Рынок
По данным самой Binance, BNB за час после начала вывода упал с $744,9 до $680, на 8,7%. BTC к 02:00 UTC опустился с $80 849 до $76 500. На 08:10 UTC 30 октября за сутки BTC теряет 2,5% ($78 073), ETH 3,8% ($2 229), BNB 6% ($706). Fortune называет реакцию сдержанной: рынок, похоже, верит, что Binance переживет убыток и вернет деньги клиентам.
Что делать арбитражнику с выплатами и балансом
Для веба Binance не только биржа, но и приемный кошелек для выплат из партнерок, точка входа в P2P и касса для пополнения карт, агентских кабинетов, прокси и антидетектов. Пока вывод закрыт, все это стоит.
- Не принимать выплаты на Binance до открытия вывода. На 08:10 UTC 30 октября, по публичному API биржи, вывод выключен во всех 1447 сетях, депозиты принимаются в 1049 из них. У USDT в TRON статус "вывод временно остановлен, пока Binance пополняет горячий кошелек". Деньги дойдут, но забрать их ты не сможешь, пока биржа не откроет сеть.
- Сменить кошелек в партнерке. Если выплата по графику, поменяй адрес в настройках выплат заранее: на свой некастодиальный кошелек или счет на другой бирже. Многие партнерки меняют реквизиты с задержкой и подтверждением, тянуть до дня выплаты не стоит.
- Заложить 48+ часов на спенд. Йи Хэ в 04:17 UTC пообещала начать возобновлять вывод в течение 48 часов, то есть ориентир 1 ноября. "Начать" не значит открыть все сразу: вероятнее всего, сети будут включать по очереди. Если пополняешь кабинеты с Binance, на эти дни ищи оборотку в другом месте.
- Осторожно с P2P. У атакующего около $2,4 млрд вне досягаемости эмитентов, и эти деньги будут отмывать через OTC и обменники. USDT от незнакомого контрагента может оказаться связан со взломом, а биржи замораживают балансы за такие поступления. Как это бывает, мы разбирали на примере Bybit и Capitalist. Работают ли сейчас P2P и Binance Pay, биржа публично не уточняла, проверяй в приложении перед сделкой.
- Не верить "компенсациям". Binance в первом же посте предупредила: не доверять неофициальным ссылкам, сообщениям и просьбам о данных аккаунта. Письма про "выплату из SAFU", "срочную верификацию для вывода" и "проверку кошелька" в ближайшие дни почти наверняка фишинг.
- Не держать все на 1 бирже. Даже если Binance покроет убытки до цента, на 2-3 дня деньги заморожены у всех клиентов. Разведи прием выплат, рабочий баланс и хранение по разным кошелькам, схема есть в нашем разборе про кражу крипты с iPhone.
Скриншот: пост сооснователя Binance Йи Хэ: депозиты работают, вывод начнут возобновлять в течение 48 часов, 30.10.2026, 04:17 UTC
Инфографика: что делать с выплатами, пока вывод с Binance закрыт. Статус сетей по API Binance на 30.10.2026, 08:10 UTC.
Итог
Binance взломали на $6,3 млрд, это крупнейшая кража в истории крипты, примерно в 4 раза больше Bybit. Биржа обещает закрыть убытки из SAFU и своих денег, около $3 млрд уже заморожено, а TRM и Chainalysis с высокой уверенностью указывают на КНДР и группу TraderTraitor.
Открытых вопросов 2: как именно ноутбук инженера дал доступ к подписи в 10 сетях и когда откроют вывод. На первый Binance обещает ответить в техническом разборе, на второй в течение 48 часов. До этого держи выплаты подальше от Binance.
