Украли сумму равную трем годовым бюджетам Киева: как хакеры обчистили Binance на $6,3 млрд

О том, что крупнейшая криптобиржа мира Binance взломана в ночь на 30 октября, сообщил основатель и бывший генеральный директор биржи Чанпэн Чжао. Злоумышленники вывели из ее криптокошельков активы на сумму около $6,3 млрд. По оценке аналитиков, это может быть крупнейшая кража криптовалюты за всю историю индустрии. Коротко про – о том, как случилась эта многомиллиардная афера и при чем здесь Северная Корея.

Очень сложная операция

По данным компании TRM Labs, занимающейся анализом криптовалютных транзакций, атака произошла вечером 29 октября. Деньги были выведены из криптокошельков Binance в десяти блокчейн-сетях – Ethereum, Bitcoin, Tron, Solana и XRP Ledger – всего лишь за 20 минут. Позже была зафиксирована дополнительная волна транзакций в сетях Avalanche и Polygon.

Как это стало возможно – попытались объяснить в руководстве Binance. Пока рассматривается версия, по которой злоумышленники получили доступ к ноутбуку DevOps-инженера (IT-специалиста, который занимается разработкой и эксплуатацией программного обеспечения). Затем хакеры смогли попасть во внутреннюю инфраструктуру биржи, в так называемый service container, и провести нелегальные операции вывода денег.

Это хоть и основная, но предварительная версия. Окончательных доказательств, что именно ноутбук стал первоначальной точкой входа, нет. Тем более что со временем ситуация стала выглядеть сложнее. Соруководитель Binance Ричард Тенг заявил, что речь не идет об одном простом действии с использованием разрешений сотрудника. По его словам, атака представляла собой более сложный многоэтапный процесс. Кроме того, следователи обнаружили дополнительные точки проникновения в систему.

У биржи есть специальные цифровые кошельки, подключенные к интернету. Они называются hot wallets – горячие кошельки. Из них биржа оперативно отправляет криптовалюту пользователям, когда те оформляют вывод. Именно такие кошельки оказались источником похищенных средств.

В обычной ситуации операция вывода должна проходить через внутренние проверки и цифровое подтверждение. Но, похоже, хакеры смогли заставить инфраструктуру подписывать переводы, которые сама биржа не собиралась совершать. То есть, образно говоря, они не украли ключ от сейфа, а научились заставлять охранную систему открывать его по своему распоряжению.

Очень много денег

Как уже было сказано, объем похищенного достигает $6,3 млрд. Для сравнения: это сумма, равная приблизительно трем годовым бюджетам Киева (составляющим порядка $2, 3 миллиарда), или полутора состояниям самого богатого человека Украины Рината Ахметова (около $4,2 миллиарда).

Больше всего украдено криптовалют: Ethereum (на $3,79 млрд), Bitcoin (на $1,47 млрд), Tether (USDT) и TRX в сети Tron ($628 млн), XRP ($296 млн), Solana ($96 млн) и др.

Но вывести деньги с Binance получилось, а вот воспользоваться ими не так уж легко. На помощь Binance пришли другие компании – эмитенты криптовалют. Так, Tether успела заморозить значительный объем своих средств на сумму в $1,77 млрд, Circle заблокировала около $825 млн в USDC, Arbitrum Security Council использовал свои полномочия для перемещения похищенных ETH и ARB в недоступный преступнику кошелек, и т.д.

Проще говоря, криптобирже удалось заморозить у себя часть похищенных средств – примерно на сумму около $3 млрд. Но хакеры тоже оказались не дураками и понимали, что биржа начнет реагировать моментально, поэтому действовали на опережение. Они сразу же начали обменивать одно криптоденьги на другие, причем даже по невыгодному для них курсу. Важнее было быстро избавиться от токенов, которые можно заморозить.

В итоге на утро 30 октября хакеры контролировали примерно $3,2 млрд. Замороженные криптобиржей остальные миллиарды по-прежнему видны в базе данных (в блокчейне).

Кто взломал Binance?

Уже называют первых подозреваемых – хакеров из северокорейской группировки TraderTraitor. Обнаружилось удивительное сходство нынешней атаки с предыдущими проведенными этой группировкой: кошельки тоже сначала пополнялись, затем тестировался вывод денег и подготовленные цифровые разрешения.

TraderTraitor связывают с крупнейшими криптовалютными хищениями последних лет, они давно на карандаше у спецслужб. Так, ФБР обвиняет северокорейцев во взломе биржи Bybit в феврале 2025 года – тогда они взяли кассу в $1,5 млрд. Мотивы поняты: Северная Коре из-за санкций практически не может зарабатывать деньги на традиционных финансовых рынках, поэтому использует киберпреступность для получения иностранной валюты.

По данным Associated Press, южнокорейская разведка еще в декабре 2022 года сообщала о краже северокорейскими хакерами криптовалюты и других виртуальных активов на сумму около $1,1 млрд за предыдущие пять лет.

Бывало такое и раньше

Это не первый взлом криптобиржи Binance – были в ее истории другие серьезные эпизоды и все они здорово напоминают нынешний. В мае 2019 года, через два года после возникновения Binance как таковой, хакеры получили пользовательские API-ключи, коды двухфакторной аутентификации и другие данные, после чего вывели с биржи $40 млн. Преступники также не действовали хаотично, а тщательно готовили операцию. Биржа признала, что тогдашняя система безопасности сработала только после вывода денег. Binance остановила все выводы и пополнения примерно на неделю, провела масштабную проверку безопасности и пообещала полностью покрыть ущерб из своего резервного фонда SAFU.

В октябре 2022-го была взломана не вся торговая платформа Binance.com, а связанная с ней инфраструктура BNB. Хакеры успели вывести около 130 млн долларов, когда разработчики остановили работу сети.

Крптобиржа Bybit была взломана в феврале 2025 года и лишилась 1,5 млрд долларов. тогда-то и заговорили о северокорейской хакерской группировке TraderTraitor. Как и в нынешней атаке на Binance, преступники использовали доверенную инфраструктуру и механизм подтверждения операций, а не просто похитили пароль от кошелька.

Компенсируют из резерва или из своего кармана

"Признаков утечки закрытых ключей кошельков не обнаружено", – говорилось в сообщении самой платформы через несколько часов после атаки в ночь на 30 октября этого года. Руководство обещало возместить клиентам все убытки из резервного фонда SAFU и из собственных средств, к работе подключены правоохранительные органы, а также аналитики и партнеры по отрасли. Они попытаются отследить похищенные активы и заблокировать их.

Рынок отреагировал на инцидент краткосрочным падением курсов криптовалют. Пользователи пока верят обещаниям криптобиржи возместить им все потери. Разработчики самой платформы Binance изучают все критические уязвимости в архитектуре безопасности крупнейшей криптобиржи мира, а полиция прикидывает, как найти хакеров из Северной Кореи и выбить из них похищенное.