Крупнейший взлом в истории: как хакеры оставили криптобиржу Binance без $6,3 млрд и что изменится для рынка

Ведущая в мире криптовалютная биржа подверглась крупнейшему в истории крипторынка взлому. Хакеры «угнали» с кошельков пользователей 6,3 млрд долларов. Как им это удалось и кто за это заплатит, разбиралась «Фонтанка».

Долгое время Binance была одной из самых популярных криптобирж среди россиян, однако после начала боевых действий на Украине стала постепенно ограничивать их возможности. Сначала ограничения коснулись владельцев крупных криптокошельков, затем — операций с рублями. В 2023 году площадка объявила о полном уходе из России и продаже местного бизнеса малоизвестной бирже CommEX, владельцы которой не раскрывались. Российским пользователям предложили перевести туда свои активы или вывести их с Binance. Однако CommEX просуществовала недолго и уже весной 2024 года объявила о закрытии. Таким образом, россияне лишились прямого доступа к обеим площадкам, хотя сама криптовалюта, которую они успели вывести на другие кошельки, осталась в их распоряжении.

Вечером 29 октября с криптокошельков Binance начали выводить крупные суммы в различных цифровых валютах. По предварительной оценке самой биржи, ущерб составил около 6,3 млрд долларов.

Согласно расследованию американской аналитической компании TRM Labs, основная часть средств была выведена примерно за 20 минут. Среди активов — более 18 тысяч биткоинов и около 200 тысяч монет Ethereum. Специалисты с высокой степенью уверенности заявляют о якобы причастности к атаке группировки TraderTraitor, которую ранее ФБР обвиняло во взломе криптобиржи Bybit и связывало с КНДР.

Сама Binance пока не подтвердила причастность северокорейских хакеров. Согласно предварительным результатам внутреннего расследования, злоумышленники могли получить доступ к системе через скомпрометированный ноутбук одного из инженеров. Это позволило отправлять несанкционированные транзакции. Признаков утечки закрытых ключей от криптокошельков компания не обнаружила.

Биржа временно приостановила операции по вводу и выводу средств. Вместе с партнерами ей удалось заморозить активы на сумму около 3 млрд долларов. В Binance заявили, что активы пользователей находятся в безопасности, а все потери будут компенсированы за счет собственных средств площадки и страхового фонда SAFU (Secure Asset Fund for Users — Фонд защиты активов пользователей), созданного ею же на случай чрезвычайных ситуаций.

В предварительных результатах расследования Binance есть одна любопытная деталь: хакерам, судя по всему, даже не пришлось взламывать криптокошельки. Вместо этого они получили доступ к системе, которая управляет переводами. Причем ключом к миллиардам долларов мог стать обыкновенный рабочий ноутбук одного из сотрудников.

«Представьте, что у сотрудника есть рабочий ноутбук, через который он подключается к внутренним системам биржи — как пульт управления. Если злоумышленник получает доступ к этому ноутбуку, он не „вскрывает сейф с деньгами“, а просто начинает действовать от имени сотрудника: видит внутренние системы, использует его доступы, отдаёт команды. Для биржи это выглядит как легитимная работа», — объясняет Ян Кривоносов, директор сообщества Crypto Emergency, организатор форума «Крипто Юг».

По его словам, речь идет о компрометации доверенной среды. Иными словами, злоумышленник получает возможность пользоваться уже существующими полномочиями сотрудника, вместо того чтобы преодолевать защиту каждого отдельного криптокошелька.

Член экспертного совета Российской ассоциации криптоиндустрии и блокчейна (РАКИБ) и совета директоров Московской международной валютной ассоциации (ММВА) Валерий Петров поясняет, почему именно компьютер DevOps-инженера мог оказаться столь привлекательной целью. Такие специалисты отвечают за работу программной инфраструктуры и обладают расширенными правами доступа ко внутренним системам компании. Вредоносное программное обеспечение может попасть на их устройства разными способами — например, через зараженные хранилища программного кода, фишинговые сообщения или уязвимости удаленного подключения. Каким именно способом воспользовались нападавшие в данном случае, пока не установлено.

Дальше хакерам требовалось заставить внутреннюю систему биржи отправлять криптовалюту на нужные им адреса. По объяснению Кривоносова, для этого мог использоваться так называемый сервисный контейнер — программа внутри инфраструктуры Binance, которой разрешено отправлять запросы на вывод средств. Получив контроль над такой программой, преступники могли инициировать переводы, которые система воспринимала как собственные операции биржи.

«Система думала, что команда „своя“, и подписывала транзакции. Поэтому Binance и говорит, что утечки приватных ключей не было — ключи не крали, использовали доверенный сервис», — объясняет эксперт.

Петров описывает и более сложный технический механизм, который использовался в блокчейне Ethereum, — EIP-7702. Он позволяет обычному криптокошельку временно выполнять функции смарт-контракта, то есть программы, автоматически исполняющей заданные условия.

Как объясняет эксперт, для проведения каждой операции в сети Ethereum используется специальный порядковый номер — nonce. Он нужен, чтобы система понимала, в какой последовательности выполняются переводы, и не позволяла провести одну и ту же операцию дважды. Хакеры заранее подготовили около 50 вариантов разрешения на управление кошельком, каждый со своим порядковым номером. Расчет был на то, что хотя бы один из них совпадет с номером, который в этот момент ожидает система Binance. Когда такое совпадение произошло, злоумышленники смогли изменить правила работы горячего кошелька — подключенного к интернету хранилища криптовалюты, из которого биржа проводит повседневные переводы. Таким образом, они получили возможность распоряжаться средствами, не похищая секретные ключи от самого кошелька.

«Это позволило перехватить контроль над операционной логикой горячего кошелька и в течение нескольких минут инициировать несанкционированные переводы на девяти различных блокчейнах без необходимости взламывать криптографическую защиту самих базовых адресов», — отмечает Петров.

Полный отчет о расследовании Binance пока еще не опубликован.

Несмотря на то что преступникам удалось вывести гигантскую сумму, незаметно воспользоваться похищенными средствами им будет трудно. Дело в том, что практически все операции с криптовалютами оставляют публичный след в блокчейне — распределенной базе данных, в которой фиксируются переводы между адресами.

Специальные аналитические компании могут проследить дальнейшее движение украденных монет, сопоставить используемые адреса и выявить характерные схемы перемещения средств. Именно на такой анализ, в частности, опираются специалисты TRM Labs и Chainalysis, связывающие нападение с северокорейскими хакерами, отмечает Валерий Петров.

Кривоносов обращает внимание, что значительная часть замороженных средств приходится на стейблкоины — цифровые валюты, курс которых привязан к стоимости обычных денег, в данном случае доллара. Речь прежде всего об USDT и USDC, выпускаемых компаниями Tether и Circle.

«Отдельно важно: Tether заблокировала около $1,57 млрд USDT, Circle — более $800 млн USDC. Это сработало потому, что у USDT и USDC в смарт-контракт встроен административный контроль: эмитент может занести адрес в чёрный список, и контракт просто отказывается исполнять перевод. Хакер видит деньги, но не может их сдвинуть», — рассказывает эксперт.

Иначе обстоят дела с биткоинами и Ethereum. Их блокчейны не предусматривают аналогичного механизма блокировки по решению компании-эмитента. Поэтому перемещения этих активов можно отслеживать, но остановить перевод таким же способом не получится.

По словам Петрова, в таких ситуациях преступники используют микширование — специальные механизмы запутывания цепочек криптовалютных переводов, а также внебиржевые сделки, при которых цифровые активы меняют непосредственно между участниками, минуя обычные биржевые торги. Впрочем, незаметно обменять или продать такое огромное количество украденной криптовалюты будет крайне сложно — покупателей на подобные суммы немного.

Важно и другое: заморозить похищенную криптовалюту и вернуть ее законному владельцу — не одно и то же. Замороженные активы пока остаются частью общей суммы ущерба, даже если злоумышленники уже не могут ими распорядиться.

Руководитель направления развития продуктов финансовой группы «Финам» Кирилл Писцов предостерегает от попыток оценить размер ущерба, сопоставляя его с торговыми оборотами Binance. Хотя через крупнейшую криптобиржу проходят огромные суммы, это вовсе не означает, что все они принадлежат компании.

«Для оценки устойчивости важны свободные средства Binance и способность восполнить похищенное без использования денег других клиентов», — объясняет он.

По его словам, в последнем опубликованном сообщении Binance заявила о резервировании более 6,34 млрд долларов для покрытия потерь. Эта сумма не включает примерно 3 млрд долларов замороженных активов. При этом около 5 млрд долларов уже находятся в необходимых криптовалютах, а недостающие монеты компания закупает.

Если все заявленные средства действительно доступны, ущерб выглядит покрываемым, считает эксперт. Но пока речь идет о сообщениях самой биржи, а не о независимом подтверждении ее финансовых возможностей.

Отдельный вопрос — насколько в компенсации поможет фонд SAFU. Как поясняет Писцов, структуру нельзя сравнивать с государственной системой страхования банковских вкладов. Правила использования этого фонда определяет сама компания, а его размер, согласно актуальным сообщениям, составляет около 1 млрд долларов.

«Для покрытия $6,3 млрд одного такого фонда явно недостаточно: это около одной шестой названного ущерба, поэтому принципиальное значение имеет готовность и способность Binance добавить собственные средства. Возврат замороженных активов впоследствии может уменьшить окончательный убыток компании», — отмечает эксперт.

По его мнению, для полноценного восстановления доверия бирже необходимо выполнить три условия: устранить уязвимость, через которую произошел взлом, восстановить обеспечение клиентских балансов и вернуть нормальную работу вывода средств. Но окончательно доверие восстановят исполненные обязательства.

Ян Кривоносов обращает внимание на один важный документ — Proof of Reserves, или доказательство резервов. Это публикуемые биржей данные, позволяющие проверить наличие активов, которыми она обеспечивает средства клиентов. Binance пообещала обновить их после завершения необходимых восстановительных мероприятий.

«Binance обещает покрыть убытки из фонда SAFU и средств компании. Это сильное заявление, но пока нет обновлённого Proof of Reserves — доказательства резервов, — это обещание, а не проверенный факт», — подчеркивает эксперт.

Взлом может подорвать доверие не только к Binance, но и к централизованным криптобиржам в целом. Такие площадки (CEX) позволяют торговать криптовалютой, но фактически контролируют доступ пользователей к размещенным на них активам. Их альтернатива — децентрализованные биржи (DEX) и самостоятельное хранение криптовалюты.

«Доверие к централизованным криптобиржам, на мой взгляд, временно снизится, поскольку взлом показал уязвимость даже крупнейших участников рынка. Часть инвесторов может перевести активы на личные кошельки», — считает аналитик Freedom Global Владимир Чернов.

Масштаб произошедшего подчеркивают и цифры. По данным CoinMarketCap, на 1 октября резервы Binance оценивались примерно в $165 млрд. Таким образом, похищенная сумма в $6,3 млрд составляет около 4% от них. Для сравнения: при взломе Bybit в феврале 2025 года злоумышленники похитили около $1,46 млрд.

«Глубина кризиса доверия будет зависеть от дальнейших действий компании. Быстрое восстановление работы и прозрачный разбор причин помогут ограничить последствия. Затянувшиеся ограничения или противоречивые объяснения усилят опасения в отношении других площадок», — говорит Кирилл Писцов.

Взлом может стать дополнительным аргументом в пользу ужесточения требований к безопасности криптобирж. В этом уверены все опрошенные «Фонтанкой» эксперты.

«Данный прецедент станет мощным аргументом для регуляторов по всему миру, включая Центральный банк Российской Федерации, в пользу ужесточения требований безопасности к цифровым финансовым активам и криптобиржам, — считает Валерий Петров. — Регуляторы получат дополнительные основания утверждать, что централизованные криптобиржи представляют собой зону повышенного системного риска, уязвимую для киберпреступности и санкционных обходов. Это может ускорить внедрение жестких барьеров, трансграничных ограничений и требований к обязательному локальному лицензированию инфраструктурных игроков».

Владимир Чернов напоминает, что с 1 сентября 2026 года в России действует закон № 282-ФЗ о регулировании криптовалютного рынка. Кроме того, ЦБ подготовил изменения требований к информационной безопасности, которые распространяются в том числе на цифровые депозитарии и криптообменники. Аналитик полагает, что последует усиление внимания к резервам и защите клиентских средств.

Речь может идти также о конкретных технических ограничениях. Например, о независимом согласовании крупных переводов, лимитах на вывод средств и возможности оперативно блокировать подозрительные операции. Такие меры, поясняет Кирилл Писцов, должны ограничивать возможный ущерб даже в том случае, если злоумышленникам уже удалось проникнуть во внутренние системы биржи.

Впрочем, сам по себе государственный контроль не гарантирует защиты от взломов. Как отмечает Ян Кривоносов, уязвимости могут сохраняться даже у регулируемых площадок, если у них недостаточно надежная архитектура доступа и плохо защищены рабочие устройства сотрудников. Иными словами, наличие регулятора не заменяет техническую безопасность.

Самостоятельное хранение криптовалюты тоже требует навыков: ошибки с ключами могут привести к необратимой потере средств. Эксперты советуют не хранить все активы на одной бирже. Альтернатива — некастодиальные кошельки, в которых приватные ключи находятся под контролем самого владельца.

«Основные средства лучше держать в некастодиальных кошельках, где ключи у вас, лучше — на аппаратных. Seed-фразу хранить офлайн. Не ваши ключи — не ваши деньги», — советует Кривоносов.

Эксперты отдельно подчеркивают, что взлом биржи не означает ненадежности самого блокчейна. Предварительные данные указывают на компрометацию внутренних систем Binance, а не на уязвимость технологии биткоина.

«Однако криптовалюты остаются высокорискованными активами из-за волатильности, киберугроз и отсутствия государственных гарантий. На эти риски неоднократно обращал внимание и Банк России. Поэтому я бы не рассматривал криптовалюту как полноценную замену банковским депозитам и другим более защищенным инструментам сбережений», — отмечает Чернов.