Взлом Binance на $6,3 млрд: ФБР назвало КНДР, биржа возместила около 95%. Что пока не проверено
Острая фаза прошла быстрее, чем можно было ждать. ФБР назвало виновную группу, Binance покупает украденные токены на свои деньги и поэтапно возвращает вывод. Но почти всё про платёжеспособность пока известно только со слов самой биржи, а первая проверяемая точка — подтверждение резервов к 3 ноября. Данные на 01.11.2026, 12:00 мск. Рекомендаций покупать или продавать здесь нет.
Данные
| Что | Значение | Источник |
|---|---|---|
| Ущерб | $6,3 млрд по Binance, $6,36 млрд по TRM Labs | Binance, TRM |
| Заморожено | около $3 млрд по Binance, около $2,7 млрд по TRM на 30.10, около $2,8 млрд по Chainalysis | те же |
| Осталось у атакующего | около $2,4 млрд, в том числе больше 420 тыс. ETH и 18 270 BTC | TRM, 30.10 |
| Резерв на покрытие | больше $6,34 млрд | Binance |
| Возмещено | 80% на 30.10, 90% на 31.10, около 95% на 01.11 | Binance |
| Рынок в первые сутки | BTC -4,5%, ETH около -5%, BNB около -7%, ликвидации больше $1,3 млрд | The National, Mail.ru Финансы |
Разброс в оценках ущерба и заморозки — это разные методики и разные моменты подсчёта.
Как шла атака
По данным TRM, подготовка началась минимум за 36 часов, с небольших поступлений через Tornado Cash. Массовый вывод пошёл в 23:05 мск 29 октября: сначала XRP Ledger, затем Bitcoin, Tron и Ethereum, основная часть ушла примерно за 20 минут.
Предварительная версия Binance — взломанный ноутбук DevOps-инженера, откуда атакующий попал в сервисный контейнер. Один из двух руководителей биржи Ричард Тенг говорит о сложной атаке с вредоносной программой, которая удаляла следы. Утечки приватных ключей биржа не нашла, но признаёт и другие точки проникновения. TRM считает вероятной причиной взлом инфраструктуры подписи горячих кошельков. Итогового технического отчёта пока нет.
Заявление ФБР
31 октября ФБР вместе с Секретной службой и налоговым расследовательским подразделением IRS-CI назвало виновной группу TraderTraitor из КНДР. Ту же группу ФБР считает ответственной за взлом Bybit. К заявлению приложены адреса: больше 600 в Ethereum, чуть меньше 20 в Bitcoin и один в Solana.
Практическая часть важнее политической. Агентства просят операторов нод, сервисы мгновенного обмена, DeFi и аналитические компании блокировать транзакции с этими адресами. По наблюдениям ФБР, украденное конвертируют в основном в эфир, и дальше ждут отмывания через DeFi и сервисы обмена. Chainalysis добавляет, что атакующие уже использовали тысячи адресов.
Две оговорки. Публично ФБР показало адреса, а не доказательную базу. А президент США сказал журналистам: «Мы не знаем, КНДР ли это».
Устойчив ли Binance к таким атакам?
Возмещение — не то же самое, что проверенная устойчивость. Binance заявляет, что покрывает потери из части фонда SAFU, страхового фонда фьючерсов и корпоративной казны. В SAFU 15 тыс. BTC, около $1,2 млрд, то есть меньше пятой части ущерба. Разбивка по источникам не раскрыта, поэтому оценить, насколько снизился собственный запас прочности биржи, пока нельзя.
Подтверждение резервов будет ограниченным. Снимок сделан 31 октября в 00:00 UTC, проверяемый результат обещан к 3 ноября. Он покроет десять токенов: BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD и ZEC. Это покажет обеспечение обязательств перед клиентами по этим активам, но не даст полной картины капитала биржи.
Заморозка не равна возврату. Около $3 млрд заблокированы, но сообщений о возврате этих денег я не видел. От судьбы этой суммы зависит итоговая цена взлома для Binance: при полном возврате потери заметно меньше $6,3 млрд, без него они остаются на балансе.
Покупка замещающих активов может влиять на рынок. Часть токенов биржа покупала на открытом рынке и во внебиржевых сделках, примерно $1,3 млрд на момент обновления от 30 октября. С другой стороны, у атакующего остаётся крупный объём ETH и BTC, и ФБР прямо ждёт его дальнейшего движения. Как эти потоки сложатся, я не прогнозирую.
Риск биржи дошёл до DeFi. Атакующий заложил 60 млн USDT в Aave и занял около 19,8 тыс. ETH. По оценке LlamaRisk, уязвимости протокола не использовались, но Aave временно закрыл новые депозиты и займы в большинстве рынков. Плохого долга протокол не сообщал: позиция остаётся с избыточным залогом.
Стейблкоины показали обе стороны. Больше $2,4 млрд заблокировано именно потому, что у эмитентов есть такая возможность. Эта же возможность остаётся риском для любого держателя. BTC и ETH заморозить нельзя, и именно они в основном и остались у атакующего.
Что со слухами о других биржах
В первые часы писали, что той же ночью взломаны Bybit и Bitget. Подтверждений в данных о транзакциях и у TRM я не нашёл и на 1 ноября, а биржи, по сообщениям СМИ, заявили о штатной работе. Реальный взлом Bitget был 24 сентября: биржа сначала назвала $351,6 млн, потом около $387,5 млн. Похоже, старую новость смешали с новой. Polymarket — отдельный случай другого масштаба: заражён скрипт стороннего поставщика на сайте, ущерб около $2,7 млн.
Риски
- Новые суммы и точки проникновения: расследование не закончено, вторая фаза вывода пока без даты.
- Подтверждение резервов может выйти позже обещанного: первоначально его ждали к 2 ноября.
- Доверие к централизованным биржам: аналитики говорят о возможной переоценке риска контрагента.
- Фишинг на волне новости. Binance просит не реагировать на подозрительные ссылки и сообщения.
- Для резидентов России остаётся свой контур: с 01.07.2027 сделки с цифровой валютой идут только через организаторов обращения (ч. 1 ст. 30 закона 282-ФЗ).
За чем слежу дальше
- Подтверждение резервов к 3 ноября и какие обязательства в него войдут.
- Вторая фаза вывода и закрытие оставшихся примерно 5% в менее ликвидных токенах.
- Технический отчёт: что это за другие точки проникновения.
- Возврат замороженных средств и движение около $2,4 млрд у атакующего.
Материал носит информационный характер и не является инвестиционной рекомендацией. Данные предварительные и могут измениться.
Об авторе. Альфред Хамзин — предприниматель, на крипторынке с 2016 года. Автор — основатель Web3Capital Academy. Telegram: t.me/AlfredinCrypto.
Источники: заявление ФБР в пересказе CoinDesk, NBC News, Fox Business, TRM Labs, crypto.news о резерве, crypto.news о выводе, Хакер, The National, Insurance Business, BleepingComputer о Polymarket, CoinDesk о Bitget, Fortune о Bitget.
