С кошельков Binance вывели криптовалюту на $6,3 млрд

Крупнейшая криптобиржа Binance расследует масштабную кибератаку. По её оценке, затронуты активы на $6,3 млрд, около $3 млрд уже заблокированы. Исследователи считают произошедшее крупнейшей криптокражей в истории.

Вечером 29 октября из кошельков Binance начали уходить огромные суммы в криптовалюте. Переводы проходили сразу в нескольких блокчейнах. Компания подтвердила инцидент и назвала предварительный масштаб ущерба — около $6,3 млрд. Если эта оценка подтвердится, прежний рекорд, связанный со взломом Bybit на $1,5 млрд в феврале 2025 года, окажется превышен более чем вчетверо.

Специалисты аналитической компании TRM Labs изучили операции в блокчейнах и оценили объём выведенных средств в $6,36 млрд. По их данным, злоумышленник получил доступ к активам в десяти сетях, включая Bitcoin, Ethereum и Tron, причём значительную часть перевёл примерно за 20 минут. Установить движение цифровых монет можно по публичным записям транзакций, но это ещё не означает возможность вернуть деньги.

Одна из наиболее тревожных деталей — предполагаемый способ проникновения. Binance сообщила, что начальная проверка указывает на скомпрометированный ноутбук инженера DevOps. Через него атакующий мог получить доступ к служебному контейнеру и отправлять несанкционированные запросы на вывод. При этом биржа пока не обнаружила признаков утечки закрытых ключей кошельков. Окончательную схему атаки компания обещает описать после завершения расследования.

TRM Labs предполагает более глубокую проблему: злоумышленник мог заставить инфраструктуру подписания операций самой биржи подтверждать переводы с нескольких горячих кошельков. Такие кошельки постоянно подключены к сети и используются для повседневных операций клиентов. Версия объясняет, почему переводы с разных блокчейнов выглядели действительными, хотя разрешения владельца на них не было. Однако это вывод аналитиков, а не установленная Binance причина взлома.

Часть похищенных активов удалось остановить благодаря эмитентам стейблкоинов и другим участникам крипторынка. Binance сообщила о блокировке примерно $3 млрд. Заморозка означает, что переводить эти токены дальше нельзя; она не равна возвращению денег на счета пользователей. Судьба оставшейся суммы пока не установлена полностью. Поэтому разницу в $3,3 млрд неверно считать окончательно потерянной или уже найденной.

За атакой TRM Labs с высокой степенью уверенности видит TraderTraitor — хакерскую группу, которую связывают с КНДР. Аналитики опираются на перемещения средств и другие признаки операции. Самой Binance причастность конкретных исполнителей пока не подтверждена, а правоохранительные органы продолжают расследование.

Сразу после обнаружения инцидента биржа приостановила пополнение счетов и вывод средств. Затем Binance сообщила, что пополнения снова работают, но вывод ещё остаётся ограниченным из-за проверки защиты. Компания рассчитывает восстановить его в течение 48 часов. Она также обещает покрыть все потери за счёт фонда SAFU и собственных средств; пока это обязательство биржи, а не подтверждение завершённых выплат.

История важна не только величиной суммы. Закрытые ключи могли остаться целыми, но если атакующий получает возможность пользоваться инфраструктурой, которая разрешает операции от имени биржи, формально корректные транзакции становятся инструментом кражи. Именно поэтому после такого инцидента недостаточно просто сменить пароли: необходимо понять, где была нарушена цепочка внутренних разрешений.

В блокчейне перевод можно увидеть почти сразу, однако остановить его гораздо сложнее. В истории Binance защиту цифровых активов теперь проверяют не размером резервов и не обещаниями, а способностью отделить настоящую команду на вывод от команды, которую подписала захваченная система.

Фото: редакция ИЗНАНКИ.