Binance подвергся хакерской атаке на $6.3 млрд — крупнейшей в истории криптовалют

Крупнейшая в истории хакерская атака на криптовалюту произошла на крупнейшей криптобирже. Binance озвучила сумму ущерба от инцидента с безопасностью, потрясшего биржу в четверг, 29 октября. В обновить Опубликовано сегодня: биржа подтверждает, что под угрозой оказались почти 6,3 млрд долларов. Это развивающаяся история, и цифры могут измениться по мере того, как Binance и её партнёры продолжают отслеживать средства. 

Отрасль объединила усилия для заморозки примерно 3 млрд долларов в блокчейне, что оставляет около 3,3 млрд долларов вне доступа на момент написания статьи. По данным DeFillama, только эта непокрытая часть превышает сумму, украденную за весь прошлый год во всём криптопространстве. Она также эквивалентна сумме потерь за 2023 и 2024 годы вместе взятые.  

Скомпрометированный ноутбук стал точкой входа для злоумышленника 

Первоначальные выводы Binance указывают на скомпрометированный ноутбук инженера DevOps. Биржа заявила, что злоумышленник использовал устройство для доступа к внутреннему сервисному контейнеру и отправки несанкционированных транзакций на вывод средств. На данный момент Binance утверждает, что не обнаружила признаков утечки приватных ключей кошельков и планирует опубликовать полный технический постмортем после подтверждения всех фактов. 

Согласно данным из блокчейна, полученным от Arkham, атака началась примерно в 16:30 по восточному времени. Данные Arkham показывают, что злоумышленник вывел крупные объемы биткоина, эфира, трона и соланы, а также других активов. Генеральный директор Tether Паоло Ардойно подтвердил в X, что они заморозили 1,567 млрд долларов в USDT, а генеральный директор Circle Джереми Аллар также сообщил о заморозке более 800 млн долларов в USDC. Ripple, World Liberty, BitGo и Paxos также заморозили украденные активы, а Совет безопасности Arbitrum заблокировал около 30,5 млн долларов. Крупнейший протокол децентрализованных кредитования Aave также приостановил работу своих рынков кредитования в качестве меры предосторожности после того, как злоумышленник взял эфир в долг под залог украденных USDT.

Binance также приостановила депозиты и выводы средств, поскольку продолжаются проверки безопасности. Binance также отозвала авторизацию для затронутого адреса и сотрудничает с правоохранительными органами и компаниями по анализу блокчейна в целях возврата средств. Биржа заявляет, что фонд экстренных случаев SAFU и резервы компании покроют каждый доллар потерь пользователей, а после устранения инцидента будет опубликован обновленный Proof of Reserves. 

Blockaid прослеживает вывод средств до одного горячего кошелька

Компания по безопасности блокчейна Blockaid опубликовала одно из самых подробных разборов атаки на основе данных из блокчейна. Ее отчет сосредоточен на Binance 14 — одном из крупнейших и наиболее активных горячих кошельков Ethereum биржи.

По данным Blockaid, злоумышленник профинансировал адрес оператора через Tornado Cash начиная с 28 октября и отработал всю последовательность действий на своих кошельках, выполнив тестовые транзакции на сумму от $2 до $6. В 20:20 UTC 29 октября он отправил одну транзакцию, содержащую 50 авторизаций EIP-7702, подписанных ключом Binance 14. Кошелёк всё ещё обрабатывал вывод средств, поэтому злоумышленник не знал, какой nonce будет активен, и подписал целый диапазон. Один из них совпал. Это передало контроль над кошельком непроверенному контракту-свиперу, которым мог управлять только атакующий.

Примерно через три минуты свипер опустошил Binance 14, выведя 167 464 ETH, 1,615 млрд USDT и около 60 других токенов на общую сумму примерно $2,5 млрд на тот момент. В кошельке осталось всего 1 ETH. В течение 12 минут ещё 10 горячих кошельков Binance в сетях Ethereum, Arbitrum, Avalanche и Optimism отправили средства на тот же адрес сбора. Делегирование оставалось активным, поэтому атакующий вернулся в 21:44 UTC и вывел ещё 200 млн USDT новых поступлений без новой подписи.

Генеральный директор Blockaid Идо Бен-Натан заявил, что улики указывают на скомпрометированную инфраструктуру подписей, и он не считает, что ключ был скомпрометирован. Это согласуется с версией Binance о взломанном ноутбуке и сервисном контейнере. Бен-Натан также провел параллели с хакерской атакой на Bybit в феврале 2025 года на сумму $1,5 млрд, которая теперь многократно уступает текущему инциденту.

Ончейн-исследователь ZachXBT подозревает северокорейскую группу Lazarus, однако ни Binance, ни какие-либо официальные органы не подтвердили эту информацию. Binance просила пользователей полагаться только на её официальные каналы для получения обновлений.