Взлом Binance на $6,3 млрд: как атака на инфраструктуру позволила вывести криптовалюту

29 октября с кошельков Binance были выведены активы на миллиарды долларов. Масштаб инцидента оказался настолько большим, что его уже называют крупнейшим взломом в истории криптовалют. По предварительной оценке Binance, затронуты активы на $6,3 млрд. Около $3 млрд удалось заморозить при содействии других участников крипторынка.

Но самое интересное в этой истории — предполагаемый способ проникновения.

По предварительным результатам расследования Binance, злоумышленники могли получить доступ к внутренней инфраструктуре через скомпрометированный ноутбук DevOps-инженера. При этом биржа не обнаружила признаков утечки приватных ключей криптокошельков.

Как удалось вывести миллиарды долларов, если ключи не украли? Одно из объяснений заключается в том, что преступникам вообще не потребовалось завладевать ключами. Достаточно было заставить легитимную инфраструктуру Binance самостоятельно подписывать подготовленные злоумышленниками операции.

Эта версия согласуется с предварительными выводами специалистов Blockaid и TRM Labs. Однако окончательно механизм проникновения можно будет установить после публикации технического отчёта Binance.

Как могли получить доступ к инфраструктуре

В крупных финансовых компаниях DevOps-инженеры отвечают за инфраструктуру, автоматизацию развёртывания программ, серверные окружения и процессы обновления сервисов. В зависимости от должностных обязанностей такой специалист может иметь доступ к внутренним системам, недоступным обычным разработчикам.

Представим ситуацию. Инженер работает на корпоративном ноутбуке, использует защищённое подключение и имеет необходимые разрешения для взаимодействия с инфраструктурой. Его компьютер становится первоначальной целью злоумышленников.

Возможных способов компрометации несколько: поддельное предложение о работе, заражённый файл, вредоносная зависимость в программном проекте или похищенная сессия корпоративной авторизации. Пока неизвестно, какой именно сценарий мог использоваться против сотрудника Binance.

После проникновения злоумышленник теоретически получает возможность действовать от имени скомпрометированной учётной записи. Если дополнительные проверки отсутствуют или их удаётся обойти, следующим этапом становится обращение к внутренним сервисам.

Здесь появляется принципиальная разница между взломом криптокошелька и компрометацией системы управления кошельками. Для перевода биткоинов или Ethereum необходима действительная криптографическая подпись. Однако приватный ключ необязательно должен оказаться непосредственно в распоряжении преступника. Если злоумышленник получил возможность отправлять команды системе, которая имеет право формировать подписи, результат может оказаться аналогичным. Фактически такая система становится посредником между преступником и средствами биржи.

По нашей оценке, наиболее опасная особенность предполагаемой атаки заключается именно в злоупотреблении легитимными полномочиями. Защита криптографического ключа могла оставаться исправной, но система, принимающая решения о его использовании, оказалась под чужим контролем. Этот сценарий показывает, почему компрометация корпоративной инфраструктуры опасна даже при использовании аппаратных средств защиты ключей.

Как использовали EIP-7702

Техническое расследование компании Blockaid обнаружило необычную деталь. В центре операции оказался горячий кошелёк Binance 14. Для атаки на него использовался механизм Ethereum под названием EIP-7702, появившийся после обновления Pectra в мае 2025 года.

Механика EIP-7702 позволяет обычному криптокошельку делегировать выполнение операций программному коду смарт-контракта. При корректном использовании это помогает автоматизировать операции, объединять транзакции и реализовывать дополнительные функции управления средствами. Но если разрешение выдаётся вредоносному контракту, последствия могут оказаться совершенно другими.

По данным Blockaid, злоумышленники подготовили 50 авторизаций EIP-7702, связанных с кошельком Binance 14. Все они указывали на контракт, находившийся под контролем атакующего.

Почему понадобилось именно 50 разрешений? У каждого Ethereum-кошелька есть счётчик транзакций — nonce. Когда кошелёк активно используется, значение этого счётчика постоянно изменяется. Чтобы делегирование сработало, авторизация должна соответствовать определённому значению nonce.

Преступники подготовили диапазон из 50 значений. Из них сработало одно.

В 20:20:59 UTC 29 октября была отправлена транзакция с подготовленными авторизациями. Уже в 20:24:23 UTC атакующий воспользовался полученными полномочиями.

За одну операцию с Binance 14 были переведены приблизительно 167 464 ETH, 1,615 млрд USDT и десятки других токенов. По оценке Blockaid, стоимость выведенных активов составляла около $2,5 млрд.

Вся операция заняла несколько минут.

Особенно показательно, что после первоначального вывода средств вредоносное делегирование продолжало действовать. Это позволяло злоумышленнику обращаться к кошельку повторно, пока соответствующие полномочия не были отозваны. Получается, что атакующий мог временно превратить официальный кошелёк Binance в инструмент автоматического вывода поступающих активов. Технология, разработанная для расширения возможностей криптокошельков, могла стать инструментом их компрометации.

Однако EIP-7702 не следует считать уязвимостью сам по себе. Для эксплуатации потребовались действительные авторизации. Пока неясно, каким образом преступники добились подписания авторизаций.

Подготовка и атака в разных сетях

Если бы злоумышленники случайно получили доступ к одному кошельку, логичным сценарием был бы быстрый перевод его содержимого на сторонний адрес. Данные расследования указывают на предварительную подготовку.

Согласно данным Blockaid, ещё 28 октября адрес оператора получил средства через Tornado Cash. На следующий день атакующие протестировали механизм делегирования на трёх собственных кошельках, переводя небольшие суммы — примерно по $2–6.

В 15:59 UTC 29 октября был развёрнут вредоносный смарт-контракт, впоследствии использованный против Binance. Позднее начались операции с реальными активами биржи. Это обстоятельство позволяет предположить, что организаторы заранее проверяли техническую последовательность действий и стремились минимизировать вероятность ошибки при основной операции.

Ещё интереснее география вывода средств внутри блокчейн-инфраструктуры. По оценке TRM Labs, атака охватила десять блокчейнов. Помимо Ethereum, выводились активы из Bitcoin, Tron, XRP Ledger, Solana и других сетей. Основная масса переводов была проведена за короткий промежуток времени.

Разные блокчейны используют разные модели транзакций, механизмы подписания и форматы операций. Если злоумышленник одновременно получил доступ к кошелькам в нескольких сетях, вероятность эксплуатации одной специфической ошибки в конкретном блокчейне становится значительно ниже.

Гораздо убедительнее выглядит другая гипотеза: преступники воздействовали на централизованную инфраструктуру Binance, управляющую формированием и отправкой транзакций. В такой модели атакующему не нужно искать отдельную уязвимость в каждом блокчейне. Достаточно получить полномочия в системе, которая обслуживает сразу несколько сетей. Это и есть наиболее тревожный элемент произошедшего. Уязвимой точкой мог стать общий механизм управления активами, тогда как сами блокчейны продолжали функционировать по установленным правилам.

Использовали ли атакующие искусственный интеллект

Учитывая количество атакованных кошельков и скорость перевода активов, возникает вопрос о возможном применении ИИ.

На данный момент доказательств того, что искусственный интеллект использовался непосредственно для проникновения в Binance, нет. Но автоматизация действий злоумышленников очевидна по характеру операции. Подготовка авторизаций, выбор подходящего значения nonce, взаимодействие со смарт-контрактами и последовательный перевод активов могли выполняться программными средствами.

В данном случае сложность заключалась не в генерации транзакций. При наличии необходимого доступа подобные процессы можно автоматизировать обычным кодом. Гораздо более трудоёмкой задачей было получить возможность инициировать действия от имени доверенной инфраструктуры.

ИИ теоретически мог применяться на предварительных этапах: при анализе корпоративной инфраструктуры, подготовке социальной инженерии или обработке технической информации. Но связывать эти возможности с конкретным инцидентом без доказательств преждевременно.

Интереснее другое. Даже если в атаке не использовался искусственный интеллект, её последствия показывают, насколько опасна автоматизация финансовых операций без независимой проверки назначения и смысла каждой транзакции. Система может безошибочно выполнить команду, которую вообще не должна была принимать.

Что инцидент означает для клиентов брокеров

История Binance поднимает вопрос, который выходит за пределы криптовалютного рынка: насколько защищены торговые платформы, если злоумышленник получает доступ к их внутренней инфраструктуре?

Для сравнения можно рассмотреть NPB Markets — брокера, предоставляющего доступ к валютным парам, металлам, индексам и торговым инструментам, связанным с криптовалютами. Здесь используется другая модель взаимодействия с рынком.

При торговле криптовалютными CFD трейдер открывает позицию на изменение стоимости базового актива, но не становится владельцем соответствующих монет. Следовательно, механизм хранения и вывода криптовалюты отличается от спотовой торговли на Binance.

Однако отсутствие прямого владения криптовалютой не означает отсутствия технологических рисков. Брокерская инфраструктура также зависит от систем авторизации, торговых серверов, механизмов обработки заявок, платёжных шлюзов и административных полномочий сотрудников. Компрометация этих компонентов теоретически способна привести к несанкционированным операциям, нарушениям исполнения заявок или ограничению доступа клиентов к средствам.

Поэтому инцидент Binance даёт основание пересмотреть критерии оценки торговых компаний, включая NPB Markets.

Трейдеру недостаточно знать размер спреда, скорость исполнения ордеров и величину кредитного плеча. Имеет значение то, как компания разделяет административные полномочия, контролирует изменение платёжных реквизитов, проверяет подозрительные операции и ограничивает доступ сотрудников к критическим системам.

При торговле криптовалютными CFD через NPB Markets клиент не владеет самими монетами. Но деньги на счёте всё равно зависят от безопасности платформы и её платёжных систем.

Сотрудник, способный менять настройки инфраструктуры, в идеале не должен иметь возможность единолично санкционировать движение клиентских средств. Расследованию ещё предстоит установить, какие ограничения действовали в Binance и почему они не остановили переводы.

При этом брокерская модель несёт собственные риски, включая контрагентский, маржинальный и риск доступности торговой платформы. Поэтому рассматривать CFD как гарантированно безопасную замену хранению криптовалюты было бы ошибкой.

Что произошло с похищенными активами

После обнаружения инцидента Binance начала взаимодействовать с эмитентами токенов, аналитическими компаниями и правоохранительными органами. По данным биржи, которые приводит Cointelegraph, на 30 октября удалось заморозить активы приблизительно на $3 млрд. Компания объявила, что намерена компенсировать потери за счёт фонда SAFU и собственных средств.

Но возможность блокировки зависит от типа криптовалюты.

В частности, эмитенты централизованных стейблкоинов USDT и USDC обладают механизмами заморозки определённых адресов в поддерживаемых сетях. Это позволяет ограничивать дальнейшее перемещение похищенных токенов.

С биткоином ситуация другая. У него нет централизованного эмитента, который способен по запросу заблокировать произвольный адрес. Поэтому преступники заинтересованы в переводе похищенных средств из активов с возможностью административной блокировки в криптовалюты, движение которых гораздо сложнее остановить.

TRM Labs сообщила, что злоумышленники начали обменивать часть похищенных стейблкоинов и использовать DeFi-протоколы для получения других активов. Это превращает расследование в соревнование двух процессов: злоумышленники пытаются вывести активы из-под потенциальной блокировки, а аналитические компании отслеживают транзакции и устанавливают связи между адресами.

Впрочем, заморозка средств ещё не означает их возврата Binance. Для окончательного восстановления активов могут потребоваться дополнительные юридические и технические процедуры.

Кто мог стоять за атакой

Специалисты TRM Labs с высокой степенью уверенности связывают операцию с северокорейской группой TraderTraitor. В пользу этой версии, по мнению аналитиков, говорят характер предварительной подготовки, механизмы проведения транзакций и сходство с ранее исследованными атаками.

Похожий вопрос возник после взлома Bybit в феврале 2025 года. Тогда было похищено приблизительно $1,5 млрд, а атакующие использовали компрометацию инфраструктуры, связанной с подписанием транзакций. Предполагаемый механизм нынешней атаки на Binance демонстрирует сходную проблему: злоумышленникам выгоднее воздействовать на систему принятия решений, чем пытаться нарушить работу самой криптографии.

При этом Binance пока официально не установила личности преступников. Атрибуция TRM Labs остаётся выводом независимой аналитической компании, а не окончательным результатом расследования биржи.

Если предварительные выводы подтвердятся, октябрьский инцидент покажет одну из наиболее опасных особенностей цифровых финансовых систем. Злоумышленникам необязательно взламывать блокчейн, подбирать приватный ключ или искать ошибку в алгоритме шифрования. Иногда достаточно проникнуть в инфраструктуру компании и получить возможность отдавать команды от имени доверенного компонента.

В такой ситуации криптографическая подпись подтверждает, что операция была авторизована определённым ключом. Но она не доказывает, что компания действительно намеревалась выполнить соответствующий перевод. Это принципиальная разница. Подписанная транзакция может быть технически корректной, даже если она возникла вследствие взлома служебной системы.

Случай Binance заставляет иначе посмотреть и на требования к безопасности финансовых посредников. Для криптобиржи, Forex-брокера или платёжного сервиса недостаточно хранить секретные ключи и пароли в защищённой среде. Требуется контролировать, какие именно операции разрешено выполнять, кому, в каких пределах и при каких обстоятельствах.

Если злоумышленник завладел доступом сотрудника, одного успешного входа недостаточно для доверия к переводу. Крупные и необычные операции нужно проверять отдельно — до того, как деньги уйдут.

Транзакция на $2,5 млрд, необычный адрес получателя либо серия переводов из нескольких сетей должны оцениваться с учётом экономического смысла и предыдущего поведения системы. Одной формальной корректности подписи недостаточно.

Технический отчёт Binance будет важен и за пределами криптовалютного сообщества. Он может ответить на вопрос, существовали ли независимые ограничения, способные остановить подозрительные команды ещё до формирования подписей, и почему они не предотвратили инцидент.

Крупнейший взлом криптовалютной биржи мог произойти без нарушения самой криптографии. Если это подтвердится, компаниям придётся уделять больше внимания проверке полномочий собственной инфраструктуры — той части системы, которой они привыкли доверять.