Взлом Binance 29 октября 2026: как $6,3 млрд ушли из горячих кошельков, где они сейчас и сливают ли их

Скачать полный PDF-отчёт со всеми адресами

Коротко в цифрах

Как это произошло: слабые места

Первое заявление Binance указывало на взломанный ноутбук DevOps-инженера: через него злоумышленник получил доступ к сервисному контейнеру, из которого можно отправлять транзакции вывода. Биржа также заявила, что признаков утечки приватных ключей не нашла. Позже Binance сообщила, что расследование выявило «дополнительные точки проникновения». Полного технического отчёта пока нет, поэтому ниже то, что сегодня подтверждают данные блокчейна и публичные заявления.

1. Система подписи выполняла команды злоумышленника сразу в десяти сетях. Bitcoin, TRON, XRP, Solana, Avalanche, Polygon, Arbitrum, Optimism и Base опустели обычными подписанными переводами с кошельков Binance с разницей в несколько минут. Если системе можно приказать подписывать переводы в десяти сетях, а ключи при этом из неё не выходят, слабое место не в ключе, а в слое, который решает, что подписывать. К тому же выводу пришли Elliptic и TRM. Поэтому фраза «приватные ключи не утекли» ничего не гарантирует: ключам и не нужно было выходить.

2. Горячий кошелёк подписал делегирование EIP-7702. EIP-7702 (работает с обновления Pectra в мае 2025 года) позволяет обычному адресу одним подписанным разрешением «подключить» к себе код смарт-контракта. Злоумышленник отправил одну транзакцию с 50 такими разрешениями, каждое подписано ключом Binance 14 под другой порядковый номер (nonce). Сработало только одно. Эта деталь важна: тот, кто запрашивал подписи, мог их получить, но не знал текущего состояния кошелька. Это похоже на доступ к сервису подписи, а не на владение ключом. Мы проверили состояние блокчейна: начиная с блока 26 300 753 (20:20:59 UTC) на Binance 14 стоит маркер делегирования на контракт 0x63e842b054bd624a465454d533c33f573e9c6fae. Его код верифицирован под именем «Target», развернул его адрес 0x7c8601d4645b93cea45f71e118a729332e6b5ca0 на стороне злоумышленника, который накануне пополнили через Tornado Cash. Горячему кошельку, который делает только обычные переводы, незачем подписывать разрешение типа 4. Политика подписи, которая это пропустила, и есть самый очевидный сбой контроля, видимый в блокчейне.

3. Делегирование держалось почти четыре часа. Делегирование EIP-7702 действует, пока его не заменят. После установки любое новое поступление на Binance 14 можно было вымести без единой подписи. Злоумышленник выметал кошелёк ещё в 20:41, 20:59, 21:04, 21:44, 22:39 и 23:56 (TRM). В состоянии блокчейна маркер исчезает только в блоке 26 301 896, в 00:10:35 UTC 30 октября: 3 часа 49 минут 36 секунд открытого доступа. В итоге Tether в 22:06:23 UTC внёс в блеклист сам Binance 14, чтобы поступающие туда USDT нельзя было забрать. Насколько нам известно, это первый случай, когда эмитент замораживает собственный горячий кошелёк биржи, чтобы защитить его от чужого делегирования.

4. Слишком много денег в одном горячем кошельке. В Ethereum украли около $3,8 млрд, почти всё из Binance 14. Он также был исполнителем смарт-аккаунта Binance, и именно так забрали 823 млн USDC. Горячий кошелёк должен держать оборотный остаток, а не миллиарды. Эти же кошельки входят в доказательство резервов Binance, поэтому CoinDesk оценивает покрытие эфира примерно в 94%, пока не поступят средства на замену.

5. Часы видимой подготовки. 28 октября операционный кошелёк получил три вывода по 0,1 ETH из Tornado Cash, 29 октября в 15:59 UTC развёрнут контракт-«пылесос», и, по данным TRM, его отработали на тестовых кошельках примерно за четыре часа до атаки. Всё это было видно в блокчейне, просто никто не связал это с Binance, пока деньги не ушли.

Что из этого должны вынести биржи. Подписывать по политике, а не по запросу: для горячих кошельков разрешён только белый список типов транзакций, а разрешение EIP-7702 запрещено полностью. Следить за кодом на собственных адресах: если eth_getCode на горячем кошельке биржи возвращает что-то кроме пустого значения, это мгновенная тревога. Ограничивать баланс и скорость вывода горячих кошельков в каждой сети и считать одновременные крупные выводы в нескольких сетях одним инцидентом. Держать рабочие каналы заморозки с эмитентами: всё, что удалось спасти 29 октября, спасли Tether, Circle, Ripple и World Liberty Financial за время от 40 минут до двух часов, и только для токенов, которые вообще можно заморозить.

Хронология (UTC)

Куда ушли деньги: сеть за сетью

Стейблкоины в Ethereum: в основном перехвачены. Главный кошелёк хакера 0x5227f603c1ee34ce3c06efe6477003bdfccb2f8c сейчас держит 1 175 464 713 USDT и 823 000 000 USDC, оба заморожены. Гонка была плотной: USDT пришли около 20:24, а заморозка сработала в 21:01, через 37 минут. За это время злоумышленник продал маркетмейкерам и через UniswapX и 1inch от 325 до 434 млн USDT за эфир со скидкой более 10% (TRM, Elliptic). Кто переплачивает за эфир 10%, тот очень торопится. По пути заморожены два промежуточных кошелька со 175,0 млн и 30,0 млн USDT. Эти два адреса, 0xaa246bf639586a6ba46762d378ce50ca4fc654a0 и 0xb171ca86f82070282138352ff7111b494060c8c3, пока отсутствуют в публичном блоклисте Elliptic: мы нашли их через свой корпус заморозок, их заморозили в те же двадцать минут. Ещё один адрес, замороженный в этом окне, 0x7aa4d3029e4c6a8e916300014ad95b6d6c03bfd1, делегирован на тот же код смарт-аккаунта, что и кошелёк хакера из блоклиста.

Эфир: припаркован. 413 477 ETH лежат на трёх кошельках: 0x8532fa14acaf483729c449b8458aeddb900543d4 (197 460 ETH), 0xc887af690e0301cd4edbbce8f8d31b4ec65b286a (137 602 ETH) и 0x897c80d1a9729e94460e2bd93178bd5215158df3 (78 415 ETH). Ни один из них ещё не отправил ни одной транзакции (nonce 0). Четвёртый кошелёк-хранилище, 0x79e70d139fc05aa75f75611fdf2680e9952b544a, держит ещё 34 280 ETH, собранных утром 30 октября с трёх кошельков хакера из списка; его тоже нет в публичном блоклисте Elliptic. Итого 447 757 ETH на четырёх кошельках. Активность, которую видно в эксплорерах, это входящая пыль и сообщения от посторонних, а не выводы. Кроме того, около 19 760 ETH заняты в Aave под залог 59,9 млн USDT, прежде чем Aave заморозил рынки (Elliptic).

Биткоин: разбит, но не продан. 18 270,2 BTC за несколько минут разбили на 19 адресов: на 17 ровно по 1 000 BTC, на двух 832,5 и 437,7. Мы прошли всё дерево: сумма непотраченных выходов равна 18 270,2 BTC, то есть ни одна монета его не покинула. Круглые пакеты по 1 000 BTC удобны для внебиржевых (OTC) продаж, и это самый вероятный следующий этап, но пока ничего не двигалось. У биткоина нет эмитента, и заморозить его некому.

TRON: гонка с Tether, в основном проигранная. 612,7 млн USDT ушли с Binance-Hot 7 в 20:22:45. До заморозки хакер успел переслать 300 млн: около 234 млн ушли в пулы SunSwap и вышли примерно 638 млн TRX, 65,99 млн переслали дальше и заморозили в течение пяти минут, а 312,73 млн заморозили на первом же кошельке-получателе. TRX затем собрали на одном адресе и разбили на пять: четыре кошелька со 158,2 млн, 120 млн, 120 млн и 120 млн TRX не двигались. Пятый отправил 120 млн TRX на TRBdWqHnDVSZCVGfgHdKFLQPirQcA2PRki, куда также напрямую пришли 46,38 млн TRX, украденных у Binance. Этот адрес создан в 00:06 UTC 30 октября и с тех пор раздал около 73,7 млн TRX пакетами от 30 тыс. до 950 тыс. на десятки новых адресов. Это единственная часть украденного, которую отмывают прямо сейчас. Elliptic также сообщает, что часть потока в TRON дошла до адреса, где лежат средства от сентябрьского взлома Bitget.

XRP, Solana, NEAR: без движения. 233 461 943 XRP лежат на rK21t6nGLy4MNDqhvy3pGwcLFy25qgfzMx, 970 554 SOL на AffzFDKZbyMiU11zmVBoAqD25ugpr7xoWWyRyGigBEaU, 12,41 млн NEAR на одном аккаунте. Это нативные монеты без функции заморозки, эмитенты здесь не помогут. Совет безопасности Arbitrum в 00:08 UTC вывел из-под контроля хакера 8 426 ETH и 74,6 млн ARB (TRM).

Сливает ли хакер средства?

Массово и сейчас нет. Слив был в первые часы и только там, где решала скорость: стейблкоины продавали или меняли, пока эмитенты не успели заморозить, а мелкие токены сливали на DEX до 06:36 UTC (Elliptic). С тех пор биткоин, припаркованный эфир, XRP, SOL и NEAR не двигались. Единственный активный поток это TRX через свежие адреса, типичная подготовка к обменным сервисам и OTC-брокерам. Если повторится сценарий прошлых крупных краж, дальше будут мосты между сетями и внебиржевые брокеры, и это может растянуться на недели. Рынок пока реагирует на страх, а не на продажи: 30 октября биткоин упал примерно на 4%, ликвидации достигли около $1,6 млрд.

Слив FUN: что случилось с маленьким токеном

При выметании Binance 14 в 20:24 UTC хакер забрал и 714 911 344 FUN (FUNToken, бывший FunFair) на главный кошелёк. В 23:28:47 UTC всю сумму перебросили на свежий адрес 0x06ea1ab3ecf570029eb1f94dbb9eac06bc79685f, и тот за 154 транзакции продавал их в тонкий пул FUN/WETH на Uniswap. Продано 134 145 256 FUN, а получено всего 111,48 ETH, около $250 тыс.; цена в пуле рухнула более чем на 90% (CoinDesk). В 06:30 UTC хакер прекратил продажу и вернул остаток, 580 766 088 FUN (около 5,4% всей эмиссии), на главный кошелёк, где они лежат и сейчас. Выручка 111,85 ETH ушла на кошелёк-хранилище 0x79e7…544a. FUNToken попросил биржи временно отключить депозиты FUN. Урок для держателей небольших токенов: горячий кошелёк биржи может держать заметную долю эмиссии вашего токена, и если его украдут, этот «навес» будет давить на цену, пока хакер его держит. А ещё кто-то начал слать хакеру нулевые переводы FUN с адреса-двойника: классическое отравление адресов, на этот раз против самого злоумышленника.

Что это значит для пользователей Binance

Binance заявляет, что балансы клиентов не пострадали, потому что украдены средства собственных горячих кошельков биржи, и что зарезервировала более $6,34 млрд на покрытие ущерба, из них около $5 млрд уже в тех же токенах. Выводы остановлены в 22:15 UTC 29 октября. Биржа называет предварительный ориентир около 40 часов и обещает полное доказательство резервов к понедельнику. Депозиты работают.

• Игнорируйте всех, кто предлагает «компенсацию» или «возврат» от Binance. После каждого крупного взлома за несколько часов появляются фейковые аккаунты поддержки. Binance не просит сид-фраз, оплат и «проверочных переводов».
• На этой неделе не спешите покупать USDT или TRX у незнакомцев на P2P. Украденные TRX распыляют прямо сейчас. Монеты, прошедшие через эти адреса, могут заморозить ваш аккаунт на следующей бирже, даже если вы ничего не нарушали.
• Проверяйте адрес контрагента перед сделкой. Наш бесплатный чекер читает блеклисты USDT и USDC напрямую из контрактов, поэтому замороженные адреса хакера там видны сразу. Полный список адресов хакера есть в PDF.
• Следите за доказательством резервов. Вопрос не в общей сумме, а в каждом токене отдельно: действительно ли эфир и биткоин на замену лежат на указанных кошельках.

Метод и границы

Мы взяли за основу публичный блоклист Elliptic на 48 адресов и опубликованные CoinDesk кошелёк Binance 14 и хеши транзакций, прочитали текущие балансы, код контрактов и статус блеклистов USDT и USDC каждого адреса, прошли деревья биткоина и TRX до мест, где монеты остановились, и сверили каждую заморозку с собственным корпусом событий контрактов USDT в Ethereum и TRON. Окно делегирования найдено чтением кода Binance 14 на исторических блоках. Суммы в долларах, обмены первого часа, позиция в Aave и атрибуция взяты из источников, указанных в таблице. Первопричина не подтверждена, пока Binance не опубликует свой отчёт; как только это случится, мы обновим страницу.

Ваши средства заморожены и вы считаете это ошибкой? Опишите ситуацию в бесплатной оценке кейса: честно скажем, какие шансы и с чего начать.