Binance подтвердила масштабный инцидент безопасности, предварительно оценив его влияние примерно в $6,3 млрд. Биржа заявила, что совместно с партнёрами заморозила около $3 млрд активов и покроет потери средствами SAFU и собственными ресурсами. Это заявления компании, а не завершённый независимый аудит последствий. Официальное сообщение Binance
Что произошло
По анализу TRM Labs, переводы из кошельков Binance начались 29 октября примерно в 20:05 UTC. Значительную часть активов вывели приблизительно за двадцать минут. TRM оценивает похищенное в $6,36 млрд по ценам на момент переводов и описывает операции в десяти блокчейнах. Это срез расследования по состоянию на 00:30 UTC 30 октября, а не окончательный баланс. TRM Labs
Первоначальная версия Binance связывала инцидент со скомпрометированным ноутбуком DevOps-инженера, доступом к сервисному контейнеру и несанкционированными запросами на вывод. Компания подчеркнула: доказательств утечки приватных ключей не обнаружено. Это более осторожное утверждение, чем окончательный вывод о том, что ключи ни при каких обстоятельствах не могли быть скомпрометированы. Binance Support
В последующем обновлении Binance сообщила о дополнительных точках проникновения. По её объяснению, атака была многоступенчатой: её нельзя описывать как ситуацию, когда один инженер со своего ноутбука мог «одним кликом» перевести все средства. Полного технического отчёта пока нет. Обновление Binance News
Взломали ли холодные кошельки?
Имеющиеся подтверждения указывают на горячие кошельки Binance Global, а не на массовый взлом холодного хранения. Binance Japan прямо разграничила затронутые горячие кошельки глобальной платформы и собственные отдельно управляемые холодные кошельки. Японское подразделение сообщило, что влияния на его клиентские активы не установлено. Это заявление относится именно к Binance Japan — его нельзя автоматически распространять на все системы группы. Binance Japan
TRM связывает Ethereum-часть атаки с делегированием EIP-7702: горячий кошелёк получил поведение контролируемого злоумышленником контракта для вывода активов. В других сетях исследователи увидели обычные подписанные переводы. Их вывод — признаки компрометации инфраструктуры подписания, а не доказанный взлом криптографического алгоритма. TRM Labs
Документация Ethereum предупреждает: делегирование EIP-7702 критично для безопасности, поскольку делегированный код получает широкие возможности управления счётом. Поэтому сохранение приватного ключа в тайне само по себе не исключает потери активов из-за опасной авторизации. Это объяснение риска, а не доказательство того, что все аппаратные или холодные кошельки уязвимы к нынешнему инциденту. Спецификация EIP-7702
Кто может стоять за атакой
TRM с высокой уверенностью связывает её с северокорейской группой TraderTraitor. Elliptic также считает северокорейский след вероятным, но предупреждает: пересечение маршрутов отмывания средств может указывать на общего посредника, а не обязательно на одного исполнителя. В проверенном обновлении Elliptic нет подтверждённой государственными органами атрибуции. TRM Labs, Elliptic
Что со средствами клиентов и работой биржи
Позднее официальный Binance News сообщил о резервировании более $6,34 млрд собственных средств — без учёта замороженных активов. По заявлению биржи, около $5 млрд уже имеется в соответствующих токенах, а оставшиеся примерно $1,34 млрд закупают через рынок и внебиржевые сделки. Обновлённое подтверждение резервов обещают опубликовать. Binance News о компенсации
В последнем проверенном сообщении депозиты работают, а вывод средств остаётся приостановленным. Binance ожидает возобновления в течение 48 часов; это прогноз, не подтверждение фактического запуска. Статус сервисов Binance
Сейчас важно различать похищенные, замороженные, возвращённые и зарезервированные для компенсации активы. Заморозка ограничивает доступ злоумышленника, но сама по себе ещё не означает возвращения средств Binance или клиентам.
Холодное хранение тоже атакуют — но разными способами
Bybit: подмена операции при подписании
21 февраля 2025 года из одного Ethereum-мультиподписного холодного кошелька Bybit похитили активы примерно на $1,46 млрд. Согласно опубликованным 26 февраля предварительным результатам расследования, компрометация учётных данных разработчика Safe позволила злоумышленникам вмешаться в инфраструктуру Safe{Wallet} и обманом получить одобрение вредоносной транзакции. Это пример атаки на процесс авторизации операции с холодного кошелька, а не доказательство взлома криптографии или всех холодных кошельков. Bybit сообщала, что другие её холодные кошельки не пострадали. Хронология Bybit, результаты расследования от 26 февраля
26 февраля 2025 года ФБР официально приписало кражу Северной Корее и деятельности TraderTraitor — в отличие от нынешней, пока не подтверждённой государственными органами в проверенных источниках атрибуции атаки на Binance. ФБР
Модифицированные Ledger: физическое вмешательство до продажи
В сообщении от 15 октября 2026 года Ledger подтвердила инцидент, в котором преступники покупали настоящие устройства, устанавливали скрытые аппаратные компоненты для перехвата фразы восстановления во время настройки, а затем возвращали модифицированные устройства в продажу через реселлеров в Юго-Восточной Азии. По заявлению компании, её чипы, операционная система и серверы не были скомпрометированы: она характеризует событие как локализованную атаку на канал дистрибуции после выхода устройств из-под её контроля. Ledger попросила авторизованных партнёров приостановить продажи в Юго-Восточной Азии и Гонконге и ужесточила правила обращения с товаром. Это подтверждённый пример физического вмешательства в отдельные аппаратные кошельки, не доказательство компрометации всех Ledger. Официальное заявление Ledger
15 октября — дата заявления, а не установленная дата единственного взлома: компания описывает подготовку на протяжении многих месяцев. В проверенном заявлении нет точного числа затронутых устройств, полного списка моделей или подтверждённой общей суммы потерь.
Вывод
Холодное хранение уменьшает определённые риски, но не исключает опасность вредоносной авторизации, кражи фразы восстановления или физического вмешательства в устройство. При этом отдельные инциденты Bybit и Ledger нельзя использовать как подтверждение того, что нынешняя атака на Binance затронула именно холодные кошельки.
Комментарии