Взлом Binance: что произошло и куда ушли $6,3 млрд

Binance пообещала покрыть все потери клиентов после взлома, который, по её оценкам, затронул 6,3 млрд долларов. Её усилия по восстановлению теперь включают несколько различных процессов — от заморозки стейблкоинов до отслеживания активов, которые ни один эмитент токенов не может заблокировать.

Binance оценила, что 6,3 млрд долларов в криптовалюте были затронуты её взломом 29 октября, и обязалась покрыть все убытки, в то время как партнёры заморозили около 3 млрд долларов.

В обновлении по безопасности Binance говорится, что её предварительное расследование указывает на ноутбук скомпрометированного DevOps-инженера, который, возможно, позволил получить доступ к внутреннему сервисному контейнеру и подать несанкционированные запросы на вывод средств.

Биржа сообщает, что не нашла доказательств утечки приватных ключей кошельков. Она отозвала авторизацию затронутого адреса, привлекла правоохранительные органы и пообещала технический отчёт после того, как следователи завершат установление того, что произошло.

Блокчейн-следователи опубликовали отдельные описания переводов. Их цифры описывают разные этапы инцидента и используют разные масштабы: некоторые учитывают стоимость в момент, когда активы покинули Binance, а другие описывают активы, которые впоследствии были заморожены.

Таким образом, цифра заморозки в 3 млрд долларов соседствует с оценкой в 6,3 млрд долларов. Binance не описывала 3 млрд долларов как деньги, уже возвращённые клиентам, и не публиковала окончательный отчёт о своих собственных финансовых потерях после восстановления.

Взлом Binance затронул несколько сетей за считанные минуты

Согласно TRM Labs, основной всплеск переводов начался примерно в 20:05 UTC 29 октября, и большая часть украденных средств была перемещена примерно за 20 минут. Её расследование охватывает 10 сетей, а дополнительная волна достигла Avalanche и Polygon позже тем же вечером.

Оценка TRM определяет стоимость активов на момент каждого перевода. Цифра Binance в 6,3 млрд долларов — это оценка компанией воздействия инцидента, поэтому разница между двумя итогами сама по себе не устанавливает, что следователи обнаружили ещё одну кражу.

Фирма приписывает атаку северокорейской группе TraderTraitor, используя ончейн- и офчейн-разведданные. Binance не подтвердила личность злоумышленника, и атрибуция остаётся оценкой следователей.

Как ранее сообщала crypto.news, первоначальная атрибуция и отслеживание связали инцидент с хакерским подразделением, ранее идентифицированным ФБР в краже у Bybit в феврале 2025 года. Техническая атрибуция и уголовное установление — это отдельные этапы, даже когда следователи выражают высокую уверенность.

Переводы включали активы с очень разными возможностями восстановления. Долларовые токены могут иметь механизмы контроля эмитента, тогда как нативный Bitcoin и Ethereum не дают компании-эмитенту стейблкоинов сопоставимой возможности внести баланс держателя в чёрный список.

Следовательно, адрес, фигурирующий в записи отслеживания, может быть полезной зацепкой, не являясь при этом восстановимым балансом. Следователи могут отслеживать публичные переводы после того, как злоумышленник меняет кошельки, но возможность наблюдать за перемещением не даёт никому автоматически полномочий отменить его.

Одна авторизация Ethereum изменила то, что мог делать горячий кошелёк

В техническом расследовании Blockaid описывается атака на Binance 14 — активно используемый горячий кошелёк Ethereum. Транзакция содержала 50 авторизаций EIP-7702, одна из которых совпадала со счётчиком транзакций аккаунта и активировала делегирование вредоносному коду.

Исследователи утверждают, что злоумышленник впоследствии использовал делегированный кошелёк для перевода крупного набора активов и получил доступ к другому смарт-аккаунту, контролируемому этим кошельком. Вредоносное делегирование могло оставаться полезным для последующих депозитов до тех пор, пока оно не было удалено.

Механизм авторизации кошелька уже рассматривался в технических материалах издания. Его роль в этом инциденте заключалась в том, чтобы позволить коду работать в контексте существующего кошелька после принятия необходимой авторизации.

В спецификации EIP-7702 Ethereum описывается постоянное делегирование, а не разрешение, которое обязательно исчезает после одной транзакции. В ней предупреждается, что делегированный код имеет неограниченный доступ к аккаунту и должен тщательно проверяться поставщиками кошельков.

Это различие объясняет, почему удаление затронутой авторизации должно входить в ответные меры наряду с приостановкой выводов. Пауза в клиентском интерфейсе биржи и удаление ончейн-адреса делегирования затрагивают разные части одного и того же инцидента.

Blockaid описывает другие переводы как обычные подписанные транзакции из кошельков в нескольких сетях. Его выводы не устанавливают, что каждый доллар ушёл через делегирование Ethereum, и одна функция Ethereum сама по себе не может объяснить переводы в Bitcoin или Tron.

Предварительное заявление Binance и технический отчёт следователей отвечают на разные вопросы. Биржа описывает возможный путь проникновения в свои системы, тогда как исследователи описывают, что авторизованные транзакции делали в блокчейне.

Полное расследование ещё должно связать эти этапы. Заявление биржи о том, что она не обнаружила утечки приватных ключей, не означает, что каждая транзакция, одобренная её инфраструктурой подписи, была намеренной со стороны компании.

Замороженные средства и возвращённые средства должны учитываться в отдельных итогах

Binance сообщает, что благодаря сотрудничеству с партнёрами по отрасли было заморожено примерно 3 миллиарда долларов. Заморозка ограничивает перемещение затронутых активов, тогда как для восстановления требуется дополнительный шаг, возвращающий стоимость законному владельцу или на согласованный адрес восстановления.

Используя округлённые цифры биржи, 3 миллиарда долларов, разделённые на 6,3 миллиарда долларов, равняются примерно 47,6%. Оставшаяся разница составляет 3,3 миллиарда долларов, или 52,4% от первоначальной оценки.

Эти расчёты описывают соотношение между двумя объявленными Binance числами. Они не устанавливают, что 3,3 миллиарда долларов исчезли безвозвратно или что весь замороженный баланс можно немедленно использовать для возмещения клиентам.

Знаменатель может меняться по мере того, как следователи выявляют переводы, устраняют двойной учёт или обновляют цены. Числитель может меняться по мере того, как эмитенты находят дополнительные токены или органы власти разрешают транзакцию восстановления.

Ранняя оценка TRM определяла замороженные или обеспеченные активы примерно в 2,7 миллиарда долларов, что ниже последующей оценки Binance. Её цифры представляли собой устаревший снимок отслеживания, и более позднюю сумму компании не следует прибавлять к ней так, как будто они описывают отдельные пулы.

Та же осторожность применима к объявлениям эмитентов. Заморозка Tether и заморозка Circle могут быть компонентами совокупной суммы Binance, поэтому добавление обеих к итогу биржи привело бы к двойному учёту некоторых активов.

Стейблкоины, которые были обменяны до того, как эмитент принял меры, вносят дополнительную сложность. Эмитент долларового токена может быть способен заблокировать этот токен, но его механизмы контроля не следуют за держателем в другой нативный актив автоматически.

Таким образом, учет восстановления требует как балансов токенов, так и их статуса. Идентифицированные активы, замороженные активы, активы, переданные на хранение в рамках восстановления, и активы, использованные для восстановления балансов клиентов, — это четыре разных описания.

Binance назвала средства компании наряду с SAFU

Обязательство Binance состоит в покрытии убытков с использованием своего Фонда защищенных активов для пользователей и ресурсов компании. Она не заявляла, что один только SAFU поглотит весь инцидент.

Более ранняя конвертация биткоин-резерва фонда была завершена в феврале, когда Binance сообщила о 15 000 BTC стоимостью примерно 1,005 млрд долларов на тот момент. Объявление о конвертации описывало исторический баланс и оценку, а не новое октябрьское заявление о доступных страховых ресурсах.

Даже гипотетический фонд в 1 млрд долларов покрыл бы лишь 15,9% валового инцидента в 6,3 млрд долларов. Вычитание 1 млрд долларов из 6,3 млрд долларов дает 5,3 млрд долларов, но эта арифметика не является оценкой фактического дефицита финансирования Binance, поскольку возвраты и текущий баланс фонда остаются отдельными входными данными.

Выбор биржи включить средства компании, следовательно, является частью самого обещания. Клиентам сообщили, что Binance понесет убыток, а не что им следует ждать, пока следователи вернут каждый украденный токен.

Обязательство не определяет точный состав денежных средств, криптовалюты или иных ресурсов компании, которые будут использованы. Оно не устанавливает сроки каких-либо возвратов, контролируемых эмитентом, или порядок учета замороженных балансов.

Возмещение клиентам и конечный чистый убыток компании могут развиваться по разным графикам. Binance может заменить недостающий актив клиента из собственных ресурсов до того, как исходный актив будет возвращен, оставляя компании последующее взыскание.

Если эмитент позже вернет актив, который уже был заменен, этот возврат повлияет на собственный финансовый риск Binance. Он не должен учитываться как повторное возмещение того же убытка клиента.

Обновление резервов предоставит датированное представление об обеспечении

Binance обещала обновленное доказательство резервов после устранения последствий. Ее августовский снимок резервов сообщал о коэффициентах резервирования 100,25% для Bitcoin и Ethereum, с более высоким коэффициентом для USDT.

Августовский коэффициент не может установить обеспечение биржи после октябрьского инцидента. Балансы клиентов, резервные активы и затронутые активы необходимо измерить на дату нового снимка.

Рассмотрение изданием практик отчетности о резервах бирж объясняет, что эти системы сравнивают покрытые активы с покрытыми балансами клиентов. Они не включают автоматически каждое корпоративное обязательство и не устанавливают, что средства контроля функционируют непрерывно между снимками.

Коэффициент выше 100% означает, что активы, включенные в этот расчет, превышают соответствующие балансы клиентов, включенные в него. Он не измеряет качество системы вывода средств и не показывает, как злоумышленник получил действительную авторизацию.

Таким образом, обещанное Binance обновление резервов и технический разбор инцидента служат разным целям. Первое может документировать обеспечение на указанный момент времени, тогда как второе предназначено для объяснения компрометации и шагов, предпринятых для закрытия маршрута, использованного злоумышленником.

Один и тот же актив не должен представляться одновременно как свободно доступная ликвидность для вывода и как замороженное имущество для восстановления без объяснения его статуса. Замороженные токены могут сохранять котируемую долларовую стоимость, оставаясь недоступными для обычных выводов клиентов.

Обещание возмещения оставляет сроки восстановления открытыми

Самым решительным заявленным ответом Binance является её обязательство покрыть все убытки, подкреплённое как SAFU, так и средствами компании. Сообщаемые заморозки дают усилиям по восстановлению идентифицированный пул активов, которые злоумышленники не могут свободно перемещать в рамках применимых мер контроля.

Ни одно из обязательств не даёт окончательной цифры убытков. Binance ещё не опубликовала полную сверку между украденными активами, замороженными балансами, возвращёнными активами и ресурсами компании, выделенными на замену средств клиентов.

Публичная информация также содержит меняющийся операционный статус. Первоначальное уведомление о безопасности описывало приостановку депозитов и выводов, тогда как последующие сообщения описывали депозиты как работающие, а выводы — как подлежащие дальнейшей работе по безопасности.

Уведомления относятся к соответствующим моментам их публикации. Возможность клиента вывести средства зависит от текущего уведомления об обслуживании для соответствующей сети, а не от того, возобновила ли работу другая сеть.

Оценка возобновления является целевым показателем компании до тех пор, пока услуга фактически не восстановлена. Это не крайний срок, требующий от каждого клиента действовать, и рассмотренное заявление Binance о безопасности не устанавливает универсального окна для вывода средств клиентами.

Технический отчёт затронет предварительную точку входа

Упоминание биржей скомпрометированного ноутбука остаётся предварительным. В её заявлении указывается возможный путь от устройства инженера к внутреннему контейнеру, но не публикуется завершённое объяснение того, как злоумышленник получил каждую авторизацию в затронутых сетях.

Анализ Blockaid предоставляет доказательства о выполнении операций в Ethereum, тогда как расследование TRM охватывает переводы и атрибуцию в более широком наборе сетей. Их работа не заменяет обещанное Binance описание внутренних мер контроля доступа.

Binance.US, отдельное американское подразделение биржи, заявило, что его деятельность не была затронута инцидентом.

На что обратить внимание

Возвращённые активы: Подтверждённый перевод в распоряжение по восстановлению установит иной статус, отличный от заморозки эмитентом.

Уведомления о выводах: Обновления обслуживания для конкретных сетей установят, какие выводы фактически возобновлены.

Снимок резервов: Дата, охватываемые активы и трактовка замороженных балансов определят, что устанавливает новый отчёт.

Технический постмортем: Итоговое описание должно связать внутренний доступ, авторизацию подписи и ончейн-переводы.

Сверка убытков: Раскрытый вклад Binance и восстановленные активы определят её итоговую финансовую подверженность.

Часто задаваемые вопросы