Binance підтвердила масштабний інцидент безпеки, попередньо оцінивши його вплив приблизно у $6,3 млрд. Біржа заявила, що разом із партнерами заморозила близько $3 млрд активів і покриє втрати коштами SAFU та власними ресурсами. Це заяви компанії, а не завершений незалежний аудит наслідків. Офіційне повідомлення Binance
Що сталося
За аналізом TRM Labs, перекази з гаманців Binance почалися 29 жовтня приблизно о 20:05 UTC. Значну частину активів вивели приблизно за двадцять хвилин. TRM оцінює викрадене у $6,36 млрд за цінами на момент переказів та описує операції у десяти блокчейнах. Ці дані — зріз розслідування станом на 00:30 UTC 30 жовтня, а не остаточний баланс. TRM Labs
Первинна версія Binance пов’язувала інцидент зі скомпрометованим ноутбуком DevOps-інженера, доступом до сервісного контейнера та несанкціонованими запитами на виведення. Компанія наголосила: доказів витоку приватних ключів не виявлено. Це обережніше твердження, ніж остаточний висновок, що ключі за жодних обставин не могли бути скомпрометовані. Binance Support
У наступному оновленні Binance повідомила про додаткові точки проникнення. За її поясненням, атака була багатоступеневою: її не можна описувати як ситуацію, коли один інженер зі свого ноутбука міг «одним кліком» переказати всі кошти. Повного технічного звіту ще немає. Оновлення Binance News
Чи зламали холодні гаманці?
Наявні підтвердження вказують на гарячі гаманці Binance Global, а не на масовий злам холодного зберігання. Binance Japan прямо розмежувала уражені гарячі гаманці глобальної платформи та власні окремо керовані холодні гаманці. Японський підрозділ повідомив, що впливу на його клієнтські активи не встановлено. Ця заява стосується саме Binance Japan — її не можна автоматично поширювати на всі системи групи. Binance Japan
TRM пов’язує Ethereum-частину атаки з делегуванням EIP-7702: гарячий гаманець отримав поведінку контрольованого нападником контракту для виведення активів. На інших мережах дослідники побачили звичайні підписані перекази. Їхній висновок — ознаки компрометації інфраструктури підписання, а не доведений злам криптографічного алгоритму. TRM Labs
Документація Ethereum попереджає: делегування EIP-7702 є критичною для безпеки дією, оскільки делегований код отримує широкі можливості керування рахунком. Отже, збереження приватного ключа в таємниці саме по собі не виключає втрати активів через небезпечну авторизацію. Це пояснення ризику, а не доказ того, що всі апаратні чи холодні гаманці вразливі до нинішнього інциденту. Специфікація EIP-7702
Хто може стояти за атакою
TRM із високою впевненістю пов’язує її з північнокорейською групою TraderTraitor. Elliptic також вважає північнокорейський слід імовірним, але застерігає: перетин маршрутів відмивання коштів може свідчити про спільного посередника, а не обов’язково про одного виконавця. У перевіреному оновленні Elliptic немає підтвердженої державними органами атрибуції. TRM Labs, Elliptic
Що з коштами клієнтів і роботою біржі
Пізніше офіційний Binance News повідомив про резервування понад $6,34 млрд власних коштів — без урахування заморожених активів. За заявою біржі, близько $5 млрд уже є у відповідних токенах, а решту приблизно $1,34 млрд закуповують через ринок та позабіржові угоди. Оновлену перевірку резервів обіцяють опублікувати. Binance News про компенсацію
В останньому перевіреному повідомленні депозити працюють, а виведення залишаються призупиненими. Binance очікує відновлення протягом 48 годин; це прогноз, не підтвердження фактичного запуску. Статус сервісів Binance
Головне зараз — розрізняти викрадені, заморожені, повернуті та зарезервовані для компенсації активи. Замороження обмежує доступ нападника, але саме по собі ще не означає повернення коштів Binance чи клієнтам.
Холодне зберігання теж атакують — але різними способами
Bybit: підміна операції під час підписання
21 лютого 2025 року з одного Ethereum-мультипідписного холодного гаманця Bybit викрали активи приблизно на $1,46 млрд. За оприлюдненими 26 лютого попередніми результатами розслідування, компрометація облікових даних розробника Safe дозволила нападникам втрутитися в інфраструктуру Safe{Wallet} та обманом отримати схвалення шкідливої транзакції. Це приклад атаки на процес авторизації операції з холодного гаманця, а не доказ зламу криптографії або всіх холодних гаманців. Bybit повідомляла, що інші її холодні гаманці не постраждали. Хронологія Bybit, результати розслідування від 26 лютого
26 лютого 2025 року ФБР офіційно приписало крадіжку Північній Кореї та діяльності TraderTraitor — на відміну від нинішньої, поки не підтвердженої державними органами атрибуції атаки на Binance. ФБР
Модифіковані Ledger: фізичне втручання до продажу
У повідомленні від 15 жовтня 2026 року Ledger підтвердила інцидент, у якому злочинці купували справжні пристрої, встановлювали приховані апаратні компоненти для перехоплення фрази відновлення під час налаштування, а потім повертали модифіковані пристрої в продаж через реселерів у Південно-Східній Азії. За заявою компанії, її чипи, операційну систему та сервери не було скомпрометовано: вона характеризує подію як локалізовану атаку на канал дистрибуції після виходу пристроїв з-під її контролю. Ledger попросила авторизованих партнерів призупинити продажі в Південно-Східній Азії та Гонконгу й посилила правила поводження з товаром. Це підтверджений приклад фізичного втручання в окремі апаратні гаманці, не доказ компрометації всіх Ledger. Офіційна заява Ledger
15 жовтня — дата заяви, не встановлена дата єдиного злому: компанія описує підготовку протягом багатьох місяців. У перевіреній заяві немає точного числа уражених пристроїв, повного списку моделей чи підтвердженої загальної суми втрат.
Висновок
Холодне зберігання зменшує певні ризики, але не усуває небезпеку шкідливої авторизації, викрадення фрази відновлення чи фізичного втручання в пристрій. Водночас окремі інциденти Bybit і Ledger не можна використовувати як підтвердження того, що нинішня атака на Binance уразила саме холодні гаманці.
Коментарі