FUN и взлом Binance: почему токен после делистинга лежал на горячем кошельке, как хакер его распродал и что осталось от рынка

Коротко

Почему FUN вообще лежал на Binance

Binance исключила FUN из листинга в апреле 2026: торги остановили 23 апреля, депозиты отключили 24 апреля, а вывод был открыт до 23 июня. Делистинг закрывает торговлю, но не забирает токены у людей. Монеты клиентов остаются на бирже, пока владельцы их не выведут.

Баланс FUN на Binance 14, то есть на кошельке, который потом опустошили, показывает, что было дальше:

Сразу после делистинга Binance собрала FUN всех клиентов на одном горячем кошельке, чтобы люди могли их вывести. За полгода вывели лишь около четверти. Остальные 74% лежали на горячем кошельке ещё четыре месяца после закрытия окна вывода. Скорее всего, это токены клиентов, которые не успели или не захотели их вывести. В 2024 году Binance конвертировала такие остатки токенов, исключённых из листинга, в USDC, поэтому часть могла уже формально принадлежать бирже, но объявления по FUN мы не нашли. Binance заявила, что покроет потери клиентов от взлома из фонда SAFU.

Первая волна: дамп в тонкий пул

• 29 октября, 20:24:23 UTC. В той же транзакции, что вымела эфир, хакер перевёл 714 911 344 FUN на свой основной кошелёк 0x5227f603c1ee34ce3c06efe6477003bdfccb2f8c.
• 23:28:47 UTC. Вся сумма ушла на свежий адрес 0x06ea1ab3ecf570029eb1f94dbb9eac06bc79685f.
• Ночью. Этот адрес за 154 транзакции продавал FUN в небольшой пул FUN/WETH на Uniswap: 134 145 256 FUN всего за 111,48 ETH, около $250 тыс. Цена в пуле упала более чем на 90%.
• 30 октября, 06:30:11 UTC. Продажа остановилась, а остаток, 580 766 088 FUN, вернулся на основной кошелёк. Выручка 111,85 ETH ушла на кошелёк-хранилище 0x79e70d139fc05aa75f75611fdf2680e9952b544a, где лежит 34 280 ETH из других частей взлома.

Команда FUNToken попросила биржи временно отключить депозиты FUN. Тогда в новостях писали, что 580,8 млн FUN всё ещё лежат у хакера. Это было правдой ровно сутки.

Вторая волна: всё остальное, через несколько площадок

• 31 октября, 07:17 UTC. 580,8 млн FUN перевели на новый кошелёк 0xFB34f34A0a395afb3d5094816aa235483f0c2095.
• С 07:29 до 19:32 UTC. Кошелёк продал все 580 766 087 FUN за 103 транзакции, на этот раз не в один тонкий пул, а через Uniswap V3, DODO и JAM. Получил 231,04 ETH и переслал их на кошелёк-накопитель 0x8d4b8ee62124b7ee140a51ddd07390a56f1c9e19, где уже лежит 9 788 ETH из других частей взлома.
• После этого на всех кошельках хакера вместе осталось меньше 1 FUN.

Значит, заявление команды о том, что злоумышленник продал всё, подтверждается в блокчейне. Всего хакер превратил 714,9 млн FUN в 342,5 ETH, около $770 тыс. До взлома эти токены стоили около $6,3 млн. Он реализовал примерно 12% этой суммы, остальное просто исчезло в падении цены.

Отдельная деталь: мошенники с подменой адресов взялись за самого хакера. Они слали нулевые переводы с адреса-двойника 0xFB34459390a727c95d439b45c317b1029a112095, первые и последние символы которого совпадают с адресом его настоящего кошелька для продаж. Тот же трюк каждый день применяют против обычных пользователей, поэтому адрес нужно сверять полностью, а не по краям.

Как выглядит рынок после дампа

Что изменилось к лучшему. Крупнейший вынужденный продавец ушёл: второй волны от хакера не будет, потому что продавать ему нечего. 30 октября крупнейший кошелёк FUN, 0x86Fd9f0b475562dddecabb5de5b8b0f2199bed51 (около 30% эмиссии, без публичной метки), переслал 500 млн FUN на 0x2d5f17b56ecbb5323b7685e110dbea0703644d36, который сразу начал торговать в пулах Uniswap и докупил около 22 млн FUN. Похоже, что команда поддерживает ликвидность, как и обещала. Но это наш вывод из поведения кошельков: что они принадлежат команде, мы не подтвердили.

Что не изменилось.

• Цена падала и после того, как хакер остановился. В 19:32 UTC 31 октября, когда прошла его последняя продажа, FUN стоил около $0,0030. На момент написания около $0,0018, то есть ещё минус 40% уже без него. Продают обычные держатели.
• В целом цена упала примерно с $0,0088 до $0,0018, минус 80%, а капитализация примерно с $97 млн до $20 млн.
• Площадки. Binance исключила FUN из листинга ещё в апреле. Крупнейший объём сейчас на HTX, около $3 млн в сутки, а на HTX с 23 августа действует полный запрет ЕС. Остальные биржи дают десятки тысяч долларов оборота в сутки. Ликвидность в пулах Ethereum была около $16 тыс., поэтому даже небольшие продажи резко двигают цену.
• Концентрация. Два крупнейших кошелька держат 55% эмиссии: кошелёк без метки (около 30%) и Gate.io (около 25%). Ещё около 50 млн FUN лежит на кошельке хакера WazirX (взлом 2024 года), и он тоже может продать их в любой момент.
• Причины делистинга. Binance убрала FUN с торгов из-за слабых показателей ещё до взлома. Взлом этого не исправил.

Наш вывод: риск, что хакер продаст ещё, исчез, а проблемы, из-за которых FUN исключили из листинга, остались. Покупка сейчас представляет собой ставку на короткий отскок на тонком рынке, а не приобретение здорового актива со скидкой. Если торгуете, берите сумму, которую не жалко потерять полностью, и помните, что выйти из крупного объёма по хорошей цене будет сложно.

Что это значит, если у вас на бирже остался токен после делистинга

• Делистинг означает срок, в который нужно вывести токены. После закрытия окна вывода ваши токены могут лежать на горячем кошельке вместе с чужими или быть конвертированы на усмотрение биржи.
• Горячий кошелёк может держать большую долю эмиссии небольшого токена. Если его опустошат, эта доля сразу выйдет на рынок, и цена упадёт для всех держателей, даже для тех, кто биржей никогда не пользовался.
• Прежде чем покупать после дампа, посмотрите, кто держит эмиссию и где токен торгуется. Наш бесплатный чекер адресов показывает блеклист, санкции и скам-маркеры кошелька, с которым вы собираетесь иметь дело.

Метод и границы

Мы прочитали историю баланса FUN на Binance 14 на исторических блоках, проследили каждый перевод FUN с кошельков хакера, просуммировали выручку обменов по каждой транзакции и проверили конечные балансы всех задействованных кошельков. Суммы в долларах рассчитаны по курсу ETH на момент продаж и округлены. Связь крупнейших держателей с командой FUNToken является выводом из поведения кошельков, а не подтверждённый факт. Полная картина самого взлома в нашем основном расследовании: взлом Binance 29 октября 2026.