// Зміст
О 20:20:59 UTC 29 жовтня 2026 року в мережі Ethereum з’явилася транзакція з комісією $14,46. Грошей вона не переказувала: у полі суми нуль. Раніше того ж дня зловмисник відпрацьовував схему на власних гаманцях, переказуючи по $2–6. Через три з половиною хвилини з гарячого гаманця Binance, відомого аналітикам як Binance 14, пішли 167 464 ефіру та $1,6 млрд у стейблкоїні USDT. До ранку біржа оцінила збиток приблизно в $6,3 млрд. Зовнішні аналітики поки рахують менше: від $5,3 до $5,9 млрд. Попередній рекорд, крадіжка з біржі Bybit у лютому 2025 року, становив близько $1,5 млрд.
Утім, найдивніше тут не масштаб. Майже половину здобичі, близько $3 млрд, зупинили за кілька годин. Не поліція і не «сам блокчейн», а жменька компаній, у яких є кнопка заморожування. Криптовалюти ж придумали саме для того, щоб такої кнопки не було ні в кого.
Довіреність за чотирнадцять доларів
Біржа тримає гроші клієнтів у гаманцях двох типів. Холодні працюють офлайн і зберігають основний резерв. Гарячі завжди на зв’язку: через них ідуть щоденні виведення, тож робочий залишок на них є постійно. У найбільшої біржі світу цей залишок сягає мільярдів.
Ключем до атаки стала функція EIP-7702. Вона з’явилася в Ethereum 7 травня 2025 року з оновленням Pectra. Простіше кажучи, це довіреність: звичайний гаманець дозволяє сторонній програмі діяти від свого імені. Її придумали для зручності, щоб об’єднувати кілька дій в один клік або щоб комісію сплачував хтось інший. Підписати таку довіреність може тільки сам гаманець. Вона діє, доки власник її не скасує.
Транзакція за $14,46 і була такою довіреністю. Вона містила 50 авторизацій, і кожна передавала Binance 14 під керування «підмітальної» програми, яку зловмисник розгорнув чотирма годинами раніше. Спрацювала одна з п’ятдесяти. Уявіть чекову книжку, де дозвіл діє лише для чека з одним певним номером. Гарячий гаманець видає такі «чеки» без упину, тож наступний номер вгадати важко. П’ятдесят підписів поспіль виглядають як спосіб переконатися, що хоча б один влучить.
«Підмітальник» спорожнив Binance 14 однією операцією, залишивши 1 ефір. За наступні 12 хвилин гроші ще з десяти гарячих гаманців біржі в чотирьох мережах потекли на ту саму адресу. Так атаку відтворила Blockaid, компанія з безпеки блокчейнів.
Як зловмисник отримав підпис гаманця, досі незрозуміло. За попередньою версією Binance, усе почалося зі зламаного ноутбука DevOps-інженера, тобто працівника, який відповідає за сервери та розгортання програм. Через цей ноутбук зловмисник дістався сервісного контейнера і звідти подав несанкціоновані запити на виведення. Біржа заявляє, що слідів витоку приватних ключів гаманців не знайшла. Якщо це так, красти ключ злодієві не довелося. Він змусив власну систему біржі підписати довіреність за нього.
// Хроніка
- Іде транзакція з 50 авторизаціями для гаманця Binance 14, комісія $14,46.
- Однією операцією з Binance 14 виходять 167 464 ETH, 1,6 млрд USDT і близько 60 інших токенів.
- Через гаманець, який і далі лишається під довіреністю, із сусіднього гаманця біржі забирають 780 млн USDC.
- Circle заморожує понад 800 млн USDC, Tether — понад 1,567 млрд USDT.
- Binance призупиняє депозити та виведення, оцінює збиток у $6,3 млрд і називає імовірною причиною зламаний ноутбук інженера.
Кнопка, якої немає в біткоїна
USDT і USDC називають стейблкоїнами. Це цифрові долари, які випускають дві приватні компанії, Tether і Circle, і кожна обіцяє викупити свій токен за долар. Про одну їхню властивість згадують рідко: емітент може заблокувати будь-яку адресу в мережі. В умовах USDC Circle прямо залишає за собою право блокувати перекази на адресу та з неї. Tether має таку саму можливість.
Тієї ночі ними скористалися. Гендиректор Tether Паоло Ардоїно написав, що компанія заморозила понад 1,567 млрд USDT. Гендиректор Circle Джеремі Аллер заявив, що понад 800 млн USDC заблоковано в координації з правоохоронцями. Ripple зупинила близько $200 млн свого стейблкоїна, World Liberty Financial — близько $27 млн. Навіть Arbitrum, мережа, яку зазвичай називають децентралізованою, за рішенням своєї Ради безпеки заморозила 74,56 млн токенів ARB.
// Ніч 29 жовтня в цифрах
З ефіром і біткоїнами було інакше. Емітента немає, кнопки немає. Аналітична компанія Glassnode нарахувала серед викрадених активів 17 985 біткоїнів, близько $1,45 млрд. Ефір із першого «підмітання» теж лишився в нападника. Переказ, підписаний правильним ключем, ніхто у світі не скасує. Для злодія це головна чеснота біткоїна. Як зловмисник дістався окремих біткоїн-гаманців біржі, Binance поки не розкрила. Пояснила б це теорія сервісного контейнера, коли виведення підписувала сама система.
Рятівник із правом вето
Якщо подумати, це абсурд. Найбільшу крадіжку в історії крипти майже наполовину зупинили інструменти, яких у «справжньої» криптовалюти бути не повинно. Біткоїн повівся саме так, як задумав його творець: підписаний переказ остаточний. Цифрові долари повелися як банк.
Кнопка, що забрала в злодія півтора мільярда, працює проти будь-кого. Натискає її компанія, а не суд. Це займає хвилини. Той, хто тримає USDT, володіє не доларом на рахунку, а обіцянкою Tether викупити токен, і в цієї обіцянки є застереження. Багатьом такий обмін здасться розумним: банки теж блокують підозрілі перекази. Просто стейблкоїн ближчий до банківського рахунку, ніж до готівки в кишені, і ця ніч показала різницю краще за будь-яку лекцію.
Що це означає для клієнтів Binance
За даними самої біржі, у Binance понад 335 мільйонів зареєстрованих користувачів. Тієї ночі вона призупинила депозити та виведення, а до ранку 30 жовтня не назвала, коли їх відновить. Співзасновниця Binance І Хе пообіцяла, що біржа «покриє всі збитки від злому» зі страхового фонду SAFU та власних коштів. Засновник Чанпен Чжао спостерігав за крадіжкою майже як глядач. «Схоже на злам Binance», — написав він в X, зазначивши в тому ж дописі, що біржею більше не керує, але очікує повного покриття коштів користувачів.
З лютого 2026 року фонд SAFU зберігається в біткоїнах, а саме 15 000 BTC. За курсом 30 жовтня це приблизно $1,2 млрд. Якщо оцінка самої біржі правильна, незаморожена частина збитку, близько $3,3 млрд, майже втричі більша. Отже, більшу частину діри доведеться закривати власними коштами біржі. До речі, у самому фонді біткоїнів менше, ніж забрав нападник.
Ринки відреагували одразу, хоча тиснули на них і слабкі звіти технологічних компаній. Біткоїн впав нижче $77 000, до шеститижневого мінімуму. BNB, власний токен біржі, за добу втратив понад 8%.
Хто це зробив, невідомо. Блокчейн-детектив ZachXBT і компанія Blockaid назвали імовірним винуватцем Північну Корею, але офіційно атаку нікому поки не приписали. Крадіжку з Bybit ФБР справді приписало Північній Кореї. За даними Blockaid, перші операції зловмисник фінансував через Tornado Cash, міксер, що ховає слід переказів. Binance обіцяє докладний технічний розбір, щойно факти буде перевірено.
Роками крипто-спільнота сперечалася, чи потрібна грошам кнопка зупинки. За одну ніч така кнопка врятувала близько $3 млрд. Тепер суперечка, найімовірніше, зміститься: хто вирішує і за якими правилами, коли її натискати?
