Вкрали суму, що дорівнює трьом річним бюджетам Києва: як хакери обчистили Binance на $6,3 млрд

Про те, що найбільша криптобіржа світу Binance зламана в ніч проти 30 жовтня, повідомив засновник і колишній генеральний директор біржі Чанпен Чжао. Зловмисники вивели з її криптогаманців активи на суму близько $6,3 млрд. За оцінкою аналітиків, це може бути найбільша крадіжка криптовалюти за всю історію індустрії. Коротко про - про те, як трапилася ця багатомільярдна афера і до чого тут Північна Корея.

Дуже складна операція

За даними компанії TRM Labs, що займається аналізом криптовалютних транзакцій, атака відбулася увечері 29 жовтня. Гроші були виведені з криптогаманців Binance у десяти блокчейн-мережах – Ethereum, Bitcoin, Tron, Solana та XRP Ledger – лише за 20 хвилин. Пізніше було зафіксовано додаткову хвилю транзакцій у мережах Avalanche та Polygon.

Як це стало можливо, спробували пояснити в керівництві Binance. Поки що розглядається версія, за якою зловмисники отримали доступ до ноутбука DevOps-інженера (IT-фахівця, який займається розробкою та експлуатацією програмного забезпечення). Потім хакери змогли потрапити у внутрішню інфраструктуру біржі, так званий service container, і провести нелегальні операції виведення грошей.

Це хоч і основна, але попередня версія. Остаточних доказів, що саме ноутбук став початковою точкою входу, немає. Тим більше, що згодом ситуація стала виглядати складніше. Керівник Binance Річард Тенг заявив, що не йдеться про одну просту дію з використанням дозволів співробітника. За його словами, атака була складнішим багатоетапним процесом. Крім того, слідчі виявили додаткові точки проникнення до системи.

Біржа має спеціальні цифрові гаманці, підключені до інтернету. Вони називаються hot wallets – гарячі гаманці. З них біржа оперативно відправляє криптовалюту користувачам, коли оформляють висновок. Саме такі гаманці виявились джерелом викрадених коштів.

У звичайній ситуації операція виведення повинна проходити через внутрішні перевірки та цифрове підтвердження. Але, схоже, хакери змогли змусити інфраструктуру підписувати переклади, які сама біржа не збиралася робити. Тобто, образно кажучи, вони не вкрали ключа від сейфа, а навчилися змушувати охоронну систему відкривати його за своїм розпорядженням.

Дуже багато грошей

Як уже було сказано, обсяг викраденого досягає $6,3 млрд. Для порівняння: це сума, що дорівнює приблизно трьом річним бюджетам Києва (що становить близько $2, 3 мільярди), або півтора статкам найбагатшої людини України Ріната Ахметова (близько $4,2 мільярда).

Найбільше вкрадено криптовалют: Ethereum (на $3,79 млрд), Bitcoin (на $1,47 млрд), Tether (USDT) та TRX у мережі Tron ($628 млн), XRP ($296 млн), Solana ($96 млн) та ін.

Але вивести гроші з Binance вийшло, а ось скористатися ними не так вже й легко. На допомогу Binance прийшли інші компанії – емітенти криптовалюту. Так, Tether встигла заморозити значний обсяг своїх коштів на суму в $1,77 млрд, Circle заблокувала близько $825 млн в USDC, Arbitrum Security Council використав свої повноваження для переміщення викрадених ETH та ARB у недоступний гаманець злочинцю, і т.д.

Простіше кажучи, криптобіржі вдалося заморозити у себе частину викрадених коштів – приблизно на суму близько $3 млрд. Але хакери теж не дурні і розуміли, що біржа почне реагувати миттєво, тому діяли на випередження. Вони відразу ж почали обмінювати одне криптоденьги на інші, причому навіть за невигідним для них курсом. Важливіше було швидко позбутися токенів, які можна заморозити.

У результаті на ранок 30 жовтня хакери контролювали приблизно $3,2 млрд. Заморожені криптобіржею решту мільярдів, як і раніше, видно в базі даних (у блокчейні).

Хто зламав Binance?

Вже називають перших підозрюваних – хакерів із північнокорейського угруповання TraderTraitor. Виявилася дивовижна схожість нинішньої атаки з попередніми проведеними цим угрупуванням: гаманці теж спочатку поповнювалися, потім тестувалося виведення грошей та підготовлені цифрові дозволи.

TraderTraitor пов'язують із найбільшими криптовалютними розкраданнями останніх років, вони давно на олівці у спецслужб. Так, ФБР звинувачує північнокорейців у зломі біржі Bybit у лютому 2025 року – тоді вони взяли касу $1,5 млрд. Мотиви зрозумілі: Північна Коре через санкції практично не може заробляти гроші на традиційних фінансових ринках, тому використовує кіберзлочинність для отримання іноземної валюти.

За даними Associated Press, південнокорейська розвідка ще в грудні 2022 року повідомляла про крадіжку північнокорейськими хакерами криптовалюти та інших віртуальних активів на суму близько 1,1 млрд дол. за попередні п'ять років.

Бувало таке і раніше

Це не перший злом криптобіржі Binance – були в її історії інші серйозні епізоди і всі вони нагадують нинішній. У травні 2019 року, через два роки після виникнення Binance як такої, хакери отримали користувальницькі API-ключі, коди двофакторної аутентифікації та інші дані, після чого вивели з біржі $40 млн. Злочинці також не діяли хаотично, а ретельно готували операцію. Біржа визнала, що тодішня система безпеки спрацювала лише після виведення грошей. Binance зупинила всі висновки та поповнення приблизно на тиждень, провела масштабну перевірку безпеки та пообіцяла повністю покрити збитки зі свого резервного фонду SAFU.

У жовтні 2022-го було зламано не всю торгову платформу Binance.com, а пов'язану з нею інфраструктуру BNB. Хакери встигли вивести близько 130 млн. доларів, коли розробники зупинили роботу мережі.

Крптобіржа Bybit була зламана в лютому 2025 року і втратила 1,5 млрд доларів. тоді й заговорили про північнокорейське хакерське угруповання TraderTraitor. Як і в нинішній атаці на Binance, злочинці використали довірену інфраструктуру та механізм підтвердження операцій, а не просто викрали пароль від гаманця.

Компенсують із резерву або зі своєї кишені

"Ознак витоку закритих ключів гаманців не виявлено", - йшлося у повідомленні самої платформи за кілька годин після атаки в ніч на 30 жовтня цього року. Керівництво обіцяло відшкодувати клієнтам усі збитки із резервного фонду SAFU та з власних коштів, до роботи підключено правоохоронні органи, а також аналітики та партнери по галузі. Вони спробують відстежити викрадені активи та заблокувати їх.

Ринок відреагував на інцидент короткостроковим падінням курсів криптовалюту. Користувачі поки що вірять обіцянкам криптобіржі відшкодувати їм усі втрати. Розробники самої платформи Binance вивчають усі критичні вразливості в архітектурі безпеки найбільшої криптобіржі світу, а поліція прикидає, як знайти хакерів із Північної Кореї та вибити з них викрадене.