Binance лишилась 6,3 миллиарда долларов в криптовалюте, и всё могло начаться с ноутбука одного инженера

Binance, крупнейшая криптовалютная биржа мира, пережила самую большую кражу в истории цифровых активов. Злоумышленник вывел криптовалюту примерно на 6,3 миллиарда долларов, и, судя по предварительным данным, атака началась со взлома рабочего ноутбука одного из DevOps-инженеров биржи.

Хакер забрал сразу несколько криптовалют, включая Ethereum, Bitcoin, Solana и XRP. Binance вместе с блокчейн-партнёрами уже заморозила примерно 3 миллиарда долларов, но судьба оставшихся 3,3 миллиарда пока неизвестна.

Официальное заявление биржа опубликовала в X:

Первоначальное расследование Binance показывает, что инцидент безопасности может быть связан со скомпрометированным ноутбуком DevOps-инженера. Это позволило злоумышленнику получить доступ к сервисному контейнеру и отправить неавторизованные транзакции на вывод средств. Мы не обнаружили никаких признаков утечки приватных ключей кошельков. Мы опубликуем подробный технический разбор после завершения расследования и полной проверки фактов.

DevOps-инженеры занимаются инфраструктурой, развёртыванием и сопровождением внутренних сервисов, поэтому их рабочие машины часто имеют доступ к критически важным системам. Сервисный контейнер здесь – изолированная программная среда, где работает один из компонентов биржи. Попав в него, атакующий получил возможность отправлять транзакции от имени самой Binance.

Биржа пообещала полностью покрыть убытки клиентов из фонда SAFU (Secure Asset Fund for Users) и собственных средств. Этот страховой фонд Binance создала ещё в 2018 году на случай взломов и других чрезвычайных ситуаций. Когда последствия будут устранены, биржа также планирует выпустить обновлённый отчёт Proof of Reserves, подтверждающий, что резервы покрывают все клиентские активы.

Пока идут проверки безопасности, Binance временно приостановила ввод и вывод средств. Кроме того, биржа отозвала авторизацию затронутого адреса и подключила правоохранительные органы и блокчейн-аналитиков к отслеживанию и возврату похищенного. В Binance добавили, что команды работают круглосуточно и вместе с полицией пытаются установить личности преступников.

Основатель Binance Чанпэн Чжао уже заявил в X, что средства пользователей будут полностью компенсированы. Чжао больше не управляет биржей – в 2024 году он провёл четыре месяца в американской тюрьме за нарушение законов о противодействии отмыванию денег, а позже получил помилование от президента Дональда Трампа.

Эксперты по кибербезопасности уже выдвинули свои версии произошедшего. Джаянт Дэйв из Check Point в разговоре с BBC News объяснил суть атаки:

Злоумышленники не взламывали шифрование и не крали приватные ключи. Они захватили систему, которая указывает ключам, что подписывать.

Соосновательница Global Signal Exchange Эмили Тейлор в комментарии BBC News отметила, что взлом провели "с невиданными ранее скоростью и масштабом".

Аналитическая блокчейн-компания TRM считает, что ключевую роль в краже сыграл так называемый горячий кошелёк. TRM описывает его как "кошелёк, подключённый к интернету, который биржа использует для обработки выводов средств клиентов". В отличие от холодных хранилищ, полностью отключённых от сети, горячие кошельки нужны для быстрых операций, но и атаковать их заметно проще.

Сначала сообщалось, что хакер с помощью фишинга получил авторизационные данные для одного из основных Ethereum-кошельков Binance. Потом выяснилось, что кражи шли и из других кошельков – на разных блокчейнах, с разными ключами и схемами подписи. Значит, доступ атакующего к инфраструктуре биржи был куда глубже.

Наиболее вероятное объяснение заключается в том, что злоумышленник получил возможность заставить систему подписи горячих кошельков Binance подписывать выбранные им транзакции в разных блокчейнах. В этом инциденте один участник получил действительные подписи для кошельков в десяти блокчейнах в течение нескольких часов.

По версии TRM, за атакой стоит северокорейская хакерская группировка TraderTraitor, действующая при поддержке государства. Именно её связывают со взломом биржи Bybit в феврале 2025 года, когда похитили около 1,5 миллиарда долларов – до нынешнего случая это считалось рекордом.

ФБР закрыло более 40 северокорейских ферм ноутбуков в Техасе и изъяло 200 девайсов

Южнокорейский депутат посоветовал президенту пройти Call of Duty Modern Warfare 4, чтобы осознать угрозу войны

Сама Binance пока официально не называет возможных исполнителей атаки и ждёт результатов работы правоохранительных органов. Масштаб кражи заметно больше, чем в случае с Bybit. А быстрая заморозка 3 миллиардов долларов силами нескольких крупных игроков рынка ещё раз напомнила, насколько криптоиндустрия зависит от централизованных площадок.