У Binance украли $6 млрд, почти половину спасла кнопка заморозки

29 октября 2026 года в 20:20:59 по Гринвичу в сеть Ethereum ушла транзакция с комиссией $14,46. Денег она не переводила: в графе «сумма» стоит ноль. Схему атакующий отрепетировал в тот же день на своих кошельках, перекладывая между ними по $2–6. А через три с половиной минуты после той транзакции с горячего кошелька биржи Binance, который аналитики называют Binance 14, ушли 167 464 эфира и 1,6 млрд долларов в стейблкоинах USDT. К утру Binance оценила ущерб примерно в $6,3 млрд. Внешние аналитики пока насчитывают меньше: от $5,3 до $5,9 млрд. Прежний рекорд — кража у биржи Bybit в феврале 2025 года — составлял около $1,5 млрд.

Удивительнее суммы другое. Почти половину украденного, около $3 млрд, остановили за несколько часов. Сделали это не полиция и не «сам блокчейн», а несколько компаний, у которых есть кнопка заморозки. А ведь криптовалюты когда-то придумывали ровно затем, чтобы такой кнопки не было ни у кого.

Доверенность за четырнадцать долларов

Биржа держит деньги клиентов в кошельках двух видов. Холодные отключены от сети и хранят основной запас. Горячие всегда в сети: через них идут ежедневные выводы, поэтому в них постоянно лежит рабочий остаток. У крупнейшей биржи мира он измеряется миллиардами.

Ключом к атаке стала функция EIP-7702. Она появилась в Ethereum 7 мая 2025 года вместе с обновлением Pectra. Если упростить, это доверенность: обычный кошелёк разрешает внешней программе распоряжаться собой. Задумывали её ради удобства: чтобы проводить несколько действий одним нажатием или чтобы комиссию за пользователя платил кто-то другой. Подписать такую доверенность может только сам кошелёк. Действует она, пока владелец её не отзовёт.

Транзакция за $14,46 и была доверенностью. В ней было 50 разрешений, и каждое отдавало кошелёк Binance 14 под управление программы-«пылесоса». Её атакующий развернул за четыре часа до этого. Сработало одно разрешение из пятидесяти. Представьте чековую книжку, где доверенность годится только для чека с определённым номером. Горячий кошелёк выписывает такие «чеки» без остановки, и угадать номер следующего трудно. Пятьдесят подписей на номера подряд, видимо, и были способом наверняка попасть в нужный.

«Пылесос» одной операцией вынес из Binance 14 почти всё и оставил там 1 эфир. За следующие 12 минут на тот же адрес ушли деньги ещё с десяти горячих кошельков биржи в четырёх сетях. Так ход атаки восстановила компания Blockaid, которая следит за безопасностью блокчейнов.

Как атакующий получил подпись кошелька, пока неясно. По первой версии Binance, всё началось со взломанного ноутбука DevOps-инженера, то есть сотрудника, который отвечает за серверы и выкладку программ. Через ноутбук злоумышленник пробрался в служебный контейнер и уже оттуда отправил выводы, которых никто не разрешал. Следов того, что утекли приватные ключи, биржа, по её словам, не нашла. Если версия подтвердится, выходит, что вору не понадобилось красть ключ: он заставил систему биржи саму подписать доверенность.

Кнопка, которой нет у биткоина

USDT и USDC называют стейблкоинами. Это цифровые доллары частных компаний Tether и Circle: каждая обещает выкупать свой токен за доллар. Об одной их особенности вспоминают редко: эмитент может заблокировать любой адрес в сети. Circle прямо пишет об этом в условиях USDC: компания вправе запретить переводы на любой адрес и с него. Такая же функция есть у Tether.

В ту ночь ею и воспользовались. Глава Tether Паоло Ардоино написал, что компания заморозила больше 1,567 млрд USDT. Глава Circle Джереми Аллэр сообщил, что компания вместе с правоохранительными органами заблокировала более 800 млн USDC. Ripple остановила около $200 млн своего стейблкоина, World Liberty Financial — примерно $27 млн. Даже Arbitrum, которую принято считать децентрализованной сетью, заморозила 74,56 млн токенов ARB: так решил её совет безопасности.

С эфиром и биткоинами так не вышло. Эмитента у них нет. Кнопки тоже. Аналитическая компания Glassnode насчитала среди похищенного 17 985 биткоинов, около $1,45 млрд. Эфир из первой операции тоже остался у атакующего. Перевод, подписанный правильным ключом, не может отменить никто в мире. Для вора это главное удобство биткоина. Как атакующий добрался до отдельных биткоин-кошельков биржи, Binance пока не раскрыла. Это объяснила бы версия со служебным контейнером: через него система сама подписывала выводы.

Спасатель с правом вето

Картина анекдотическая. Крупнейшую кражу в истории криптовалют почти наполовину остановили инструменты, которых у «настоящей» криптовалюты быть не должно. Биткоин повёл себя ровно так, как задумывал его создатель: подписанный перевод окончателен. Цифровые доллары — как банк.

Кнопка, которая отняла у вора полтора миллиарда, работает против кого угодно. Нажимает её компания, а не суд. Уходят на это минуты. Владелец USDT держит не доллар на счёте, а обещание Tether выкупить токен, и в этом обещании есть оговорка. Многим такая сделка покажется разумной: банки тоже блокируют подозрительные переводы. Просто стейблкоин ближе к банковскому счёту, чем к купюре в кармане, и эта ночь показала разницу нагляднее любой лекции.

Что ждёт клиентов биржи

У Binance, по словам самой биржи, больше 335 млн зарегистрированных пользователей. В ночь взлома биржа остановила вводы и выводы и к утру 30 октября так и не сказала, когда их вернёт. Сооснователь Binance И Хэ пообещала, что биржа «покроет все потери от взлома» из страхового фонда SAFU и собственных денег. Основатель биржи Чанпэн Чжао следил за происходящим почти как зритель. «Похоже на взлом Binance», — написал он в X и тут же оговорился: биржей он больше не управляет, но ожидает, что потери пользователей покроют полностью.

Фонд SAFU с февраля 2026 года хранится в биткоинах, их там 15 000. По курсу 30 октября это примерно $1,2 млрд. Если верна оценка самой биржи, незамороженная часть ущерба, около $3,3 млрд, почти втрое больше фонда. Выходит, большую часть дыры бирже придётся закрывать своими деньгами. Сам фонд, кстати, меньше даже одного биткоин-улова атакующего.

Рынок отреагировал сразу. Впрочем, на него давили и слабые отчёты технологических компаний. Биткоин опустился ниже $77 000, до минимума за шесть недель. BNB, собственный токен биржи, потерял за сутки больше 8%.

Кто стоит за атакой, неизвестно. Блокчейн-детектив ZachXBT и компания Blockaid назвали вероятным автором Северную Корею, но официально атаку пока никто не приписал. Кражу у Bybit ФБР в своё время приписало как раз КНДР. Деньги на первые операции, как пишет Blockaid, пришли к атакующему через Tornado Cash — миксер, который запутывает следы переводов. Подробный технический разбор Binance обещает выложить, когда проверит факты.

Криптовалютное сообщество годами спорило, нужна ли деньгам кнопка «стоп». За одну ночь она сберегла около $3 млрд. Теперь спор, видимо, сместится к другому вопросу: кто и по каким правилам решает, когда её нажимать?