Содержание
Коротко: 29 октября 2026 года из кошельков Binance ушло около $6,3 млрд, большая часть — примерно за 20 минут. Ничего не взламывали в лоб: блокчейн не был взломан, и Binance не нашла свидетельств утечки приватных ключей. Первые выводы указывают на скомпрометированный ноутбук одного DevOps-инженера, через который атакующий добрался до сервиса, которому доверено отправлять выводы средств. Переводы обошли обычные согласования и прошли по легитимному маршруту, поэтому могли выглядеть рутинными. Две аналитические компании подозревают северокорейскую группу TraderTraitor; это не подтверждено.
Что произошло
"The estimated total impact sits at around $6.3B" («по оценке, общий ущерб составляет около $6,3 млрд»), — сообщила Binance в обновлении о безопасности от 30 октября. BBC назвала это "what is thought to be the largest hack in history - worth up to $6.3bn (£4.7bn)" («тем, что считается крупнейшим взломом в истории, — на сумму до $6,3 млрд (£4,7 млрд)»).
Для сравнения: корреспондент BBC по кибербезопасности Джо Тайди перечислил прежние рекорды: "Last year $1.5bn (£1.12bn) was taken from Bybit. Before that it was $600m (£433m) from Poly Network in 2021 and $540m (£412m) from Ronin in 2022." («В прошлом году у Bybit увели $1,5 млрд (£1,12 млрд). До этого были $600 млн (£433 млн) у Poly Network в 2021 году и $540 млн (£412 млн) у Ronin в 2022-м».)
Всё произошло быстро. TRM Labs: "On October 29, 2026, an attacker moved approximately USD 6.36 billion out of Binance wallets on ten blockchains, most of it in about 20 minutes starting at 20:05 UTC" («29 октября 2026 года атакующий вывел около 6,36 млрд долларов США из кошельков Binance в десяти блокчейнах, большую часть — примерно за 20 минут начиная с 20:05 UTC»). Как сказал BBC Ари Редборд из TRM: "That speed is the product of long preparation." («Такая скорость — результат долгой подготовки».)
Не блокчейн и не ключи
Удивительно то, что осталось целым. Митчелл Лабиак из BBC: "The short version is that the blockchain wasn't hacked. Rather, the exchange on which people trade cryptocurrency was hacked." («Если коротко, блокчейн не взламывали. Взломали биржу, на которой люди торгуют криптовалютой».)
И Binance: "We have found no evidence of any wallet private key leak." («Мы не нашли никаких свидетельств утечки приватных ключей кошельков».)
Возможно, всё началось с одного ноутбука
Первый ответ Binance: "Binance's initial investigation suggests that the security incident may involve a compromised DevOps engineer's laptop, which allowed an attacker to gain access to a service container and submit unauthorized withdrawal transactions." («Первоначальное расследование Binance указывает, что инцидент, возможно, связан со скомпрометированным ноутбуком DevOps-инженера, который позволил атакующему получить доступ к сервисному контейнеру и отправить несанкционированные транзакции на вывод средств».)
Возможно, машина была не одна. Со-CEO Binance Ричард Тенг, по данным BBC: "This was not carried out by one person. Our initial investigation suggested that the security incident may have involved a compromised laptop, however our subsequent investigation has uncovered additional points of breach." («Это сделал не один человек. Первоначальное расследование указывало, что в инциденте, возможно, был замешан скомпрометированный ноутбук, однако дальнейшее расследование выявило дополнительные точки проникновения».)
Binance не раскрыла, как именно был получен доступ к сервису, и этот пост не строит догадок.
Почему от этого трудно защититься
Тенг также сказал, что переводы "did not pass through our normal approval controls" («не прошли через наши обычные процедуры согласования»).
Маккензи Джексон из Aikido описал BBC общую схему: "From one laptop, an attacker can open one internal system, then another, until they reach a service trusted to send out withdrawals. Those withdrawals travel through a legitimate route, so they can look routine." («С одного ноутбука атакующий может открыть одну внутреннюю систему, потом другую, пока не доберётся до сервиса, которому доверено отправлять выводы средств. Эти выводы идут по легитимному маршруту, поэтому могут выглядеть рутинными».)
В пересказе BBC слов Джексона: "He says hackers have shifted from going after company infrastructure to going after the machines of the people who run it. Those machines hold the digital keys that unlock a company's systems, so an attacker can act as that engineer." («По его словам, хакеры переключились с инфраструктуры компаний на компьютеры людей, которые её обслуживают. На этих компьютерах хранятся цифровые ключи от систем компании, так что атакующий может действовать от имени этого инженера».)
Кто: подозревают, но не подтверждено
TRM Labs, по данным BBC: "Several features of this attack match earlier North Korea-linked heists" («ряд особенностей этой атаки совпадает с прежними кражами, связанными с Северной Кореей»). Одна из них — Bybit. ФБР: "North Korea was responsible for the theft of approximately $1.5 billion USD in virtual assets from cryptocurrency exchange, Bybit, on or about February 21, 2025." («Северная Корея ответственна за кражу виртуальных активов на сумму около 1,5 млрд долларов США с криптобиржи Bybit примерно 21 февраля 2025 года».)
В случае Binance две аналитические компании называют подозреваемого. TRM Labs: "TRM attributes the attack to TraderTraitor, North Korea's elite hacking unit, based on robust on and off-chain intelligence. We make this judgment with high confidence." («TRM приписывает атаку TraderTraitor, элитному хакерскому подразделению Северной Кореи, на основе надёжных ончейн- и офчейн-данных. Мы делаем этот вывод с высокой степенью уверенности».) Chainalysis: "Chainalysis investigators assess the $6.4 billion hack of Binance … to be the work of North Korean cybercrime group TraderTraitor." («Следователи Chainalysis оценивают взлом Binance на $6,4 млрд … как дело рук северокорейской киберпреступной группы TraderTraitor».)
Но Elliptic отмечает: "No government or law enforcement agency has confirmed attribution, and Binance has not commented on who was responsible." («Ни одно правительство и ни один правоохранительный орган не подтвердили атрибуцию, а Binance не комментировала, кто несёт ответственность».) И BBC: "We don't yet know who was behind the attack" («мы пока не знаем, кто стоит за атакой»). Итак: подозревают, но не подтверждено.
Что было дальше
Binance "temporarily suspended withdrawals while security checks are completed" («временно приостановила вывод средств до завершения проверок безопасности») и заявила: "Binance will cover all losses from the SAFU fund and the company's funds. User funds are safe." («Binance покроет все потери из фонда SAFU и средств компании. Средства пользователей в безопасности».) Также сообщалось: "We have worked with blockchain partners to freeze affected assets, with ~$3 billion frozen on-chain so far." («Вместе с блокчейн-партнёрами мы заморозили затронутые активы; на данный момент ончейн заморожено ~$3 млрд».)
Время имеет значение. Кража заняла минуты; отмывание занимает недели. Chainalysis: "Following major theft events between 2022-2025, stolen funds follow a structured, multi-wave laundering pathway that unfolds over approximately 45 days" («после крупных краж 2022–2025 годов украденные средства проходили структурированный многоволновой путь отмывания, растянутый примерно на 45 дней»). Для масштаба: "North Korean hackers stole $2.02 billion in cryptocurrency in 2025, a 51% year-over-year increase" («в 2025 году северокорейские хакеры украли криптовалюты на $2,02 млрд, на 51 % больше, чем годом ранее») (Chainalysis).
А вернуть деньги — долго. О Bybit спустя 18 месяцев Decrypt сообщал: "around $48.4 million has been recovered and about $30.5 million frozen across more than 28 exchanges and custodians" («возвращено около $48,4 млн, и ещё примерно $30,5 млн заморожено более чем на 28 биржах и у кастодианов»). Это около 3 % от $1,5 млрд (наш расчёт: $48,4 млн ÷ $1,5 млрд).
Что помогает
- Согласовывайте вне той системы, которая запрашивает. ФБР советует: "Require multiple factors of authentication and approvals from several different unconnected networks" («требовать несколько факторов аутентификации и согласования из нескольких разных, не связанных между собой сетей») перед любым перемещением финансовых активов компании.
- Разделите, кто что может подписывать. TRM Labs: "Signing infrastructure and approval paths should be separated by chain and wallet tier." («Инфраструктура подписи и пути согласования должны быть разделены по блокчейнам и уровням кошельков».)
- Заприте машины, которые близко к деньгам. "For companies with access to large quantities of cryptocurrency, the FBI recommends blocking devices connected to the company's network" («компаниям с доступом к большим объёмам криптовалюты ФБР рекомендует запрещать устройствам, подключённым к сети компании») скачивать или запускать что-либо, кроме одобренных программ.
Крупнейшие кражи не взламывают криптографию; они перехватывают процесс, которому доверено перемещать деньги, а этот процесс проходит через людей и их ноутбуки.
Источники
- Binance, Security Incident Update, 30 октября 2026 года
- TRM Labs, North Korea steals $6.36 billion from Binance in the largest hack in history, 29 октября 2026 года
- Chainalysis, Binance exploit: latest findings and response, 30 октября 2026 года
- Elliptic, Binance: the largest hack in history, 30 октября 2026 года
- BBC News, North Korea thought to be behind $6.3bn crypto hack, as firm begins recovering some funds (онлайн-трансляция), 30 октября 2026 года
- Chainalysis, Crypto hacking and stolen funds 2026, декабрь 2025 года
- Decrypt, Bybit sues North Korea over $1.5B hack, wins order freezing assets, 10 августа 2026 года
- FBI, PSA 250226 (Bybit), 26 февраля 2025 года
- FBI, PSA 240903: North Korea Aggressively Targeting Crypto Industry with Well-Disguised Social Engineering Attacks, 3 сентября 2024 года
Видео анимировано кодом, а сценарий написан с помощью ИИ; каждая цифра выше сверена с источниками. Условно показаны заражение, заполняющее экран ноутбука, маршрут от узла к узлу и журнал транзакций. Этот пост объясняет риск и способы защиты, а не шаги атаки. Видео на английском. Сделано в Shotloop — моём бесплатном Mac-приложении для объясняющих видео из кода, которые правятся по одной сцене за раз.