Крупнейший взлом в истории криптовалют

Взлом Binance в ночь с 29 на 30 октября 2026 года стал крупнейшей кражей в истории криптовалют: с кошельков биржи вывели активы примерно на $6,3 млрд, большую часть за двадцать минут. Это вчетверо больше прежнего рекорда, кражи $1,5 млрд у Bybit в феврале 2025 года. В тот же день хакеры атаковали и предсказательный рынок Polymarket, но там ущерб измеряется миллионами, а не миллиардами. Binance обещает покрыть потери клиентов, аналитики указывают на хакеров из КНДР, а рынок ответил распродажей и ликвидациями.

💸 Сколько украли и на каких площадках

Атака началась в 20:05 по UTC (23:05 мск). Первыми опустели пять кошельков Binance в сети XRP Ledger, за ними кошельки в Solana и Optimism. В 20:20 по UTC горячий кошелёк биржи в сети Bitcoin отправил атакующему 18 270 BTC. Горячим называют кошелёк, постоянно подключённый к сети: через него биржа проводит выводы клиентов. Вторая волна около 23:05 по UTC задела кошельки на Avalanche и Polygon. По подсчёту TRM Labs, деньги ушли из десяти блокчейнов:

• Ethereum: около $3,79 млрд, в том числе 200 630 ETH, 1,875 млрд USDT, 823 млн USDC и 88,5 млн RLUSD.

• Bitcoin: 18 270 BTC, около $1,47 млрд.

• Tron: 612,7 млн USDT и 46,4 млн TRX, около $628 млн.

• XRP Ledger: 233,46 млн XRP, около $296 млн.

• Solana, Arbitrum, Optimism, Base, Avalanche и Polygon: вместе около $173 млн.

Оценки итоговой суммы расходятся, потому что считаются по разным ценам и на разный момент.

• Chainalysis к вечеру 29 октября подтвердила не меньше $5,9 млрд,

• TRM Labs по текущим ценам оценивает те же активы в $6,23 млрд.

До атаки на Binance, по данным DefiLlama, лежало около $144 млрд, так что похищено примерно 4% активов биржи.

Почти половину вывода средств удалось остановить, и это заслуга стейблкоинов. Их эмитенты могут заблокировать конкретный адрес, чего нельзя сделать с биткоином или эфиром. Tether заморозил около 1,77 млрд USDT, Circle около 825 млн USDC, свои токены заблокировали Ripple, World Liberty Financial и First Digital. Совет безопасности сети Arbitrum принудительно вывел из кошелька хакера 8 426 ETH и 74,6 млн ARB. Binance оценивает замороженное в $3 млрд, TRM Labs по подтверждённым в блокчейне данным на 00:30 UTC 30 октября насчитала $2,7 млрд.

🔻Polymarket и другие площадки

Binance была не единственной жертвой хакеров 29 октября. За несколько часов до неё взломали предсказательный рынок Polymarket. Пользователи международной версии платформы начали сообщать, что с их счетов без разрешения выводят деньги. Polymarket подтвердил, что взломан один из его сторонних подрядчиков, остановил торги и передал дело правоохранительным органам. По подсчёту DefiLlama, пострадавшие потеряли около $2,7 млн. Polymarket обещает вернуть деньги всем пострадавшим. Это уже второй взлом платформы через подрядчика за год: в июне так же увели около $3 млн. Связь с атакой на Binance не установлена.

Ещё несколько площадок средств не теряли, но пострадали от последствий.

• Кредитный протокол Aave заморозил рынки после того, как хакер стал брать там займы под украденные USDT. Протокол заявил, что его контракты не затронуты.

• Kamino в сети Solana на всякий случай приостановил часть рынков.

• Индийская CoinDCX, которая берёт ликвидность у Binance, перевела фьючерсы в режим, где позиции можно только сокращать.

В соцсетях писали, что взломали также Bybit и австралийскую Swyftx, но обе биржи это опровергли. Bybit заявила, что инцидент её не затронул. В Swyftx сообщили, что служба безопасности не нашла признаков взлома, средства клиентов в порядке и платформа работает в обычном режиме.

Bitget в эту ночь тоже не взламывали, её атаковали месяцем раньше. 24 сентября 2026 года с биржи вывели около $388 млн (первая оценка была $352 млн) из восьми блокчейнов. По словам Bitget, атакующие скомпрометировали внутреннюю систему кошельков и подделали данные транзакций, а приватные ключи и холодные кошельки не пострадали. В данном случае связь со взломом Binance всё же есть, о ней в разделе о том, кто стоит за атакой.

🔓 Как устроили атаку

Официальная версия взлома Binance на данный момент простая. По предварительным итогам расследования, злоумышленник скомпрометировал ноутбук одного из DevOps-инженеров биржи, через него попал в служебный контейнер и отправил оттуда несанкционированные запросы на вывод. Утечки приватных ключей от кошельков, по словам Binance, не обнаружено. Подробный технический отчёт биржа обещает после завершения расследования.

TRM Labs восстановила картину по блокчейну, и она указывает на долгую подготовку. Не меньше чем за 36 часов до кражи рабочий кошелёк атакующего получил три небольших перевода из Tornado Cash (сервиса, который скрывает происхождение монет). Утром 29 октября хакер развернул код для атаки и опробовал его на двух кошельках, позже отрепетировал финальную версию на третьем. Через четыре часа тот же код оказался подключён к горячему кошельку Binance.

В Ethereum атакующий использовал функцию EIP-7702, появившуюся в сети с обновлением Pectra в мае 2025 года. Она позволяет обычному кошельку подписью передать управление смарт-контракту. Атакующий заранее подготовил 50 таких разрешений, подписанных кошельком Binance, под 50 последовательных номеров транзакций. Кошелёк биржи непрерывно обрабатывает выводы, его счётчик транзакций всё время сдвигается, и запас из 50 подписей гарантировал, что одна сработает. Через 3 минуты 24 секунды после подмены кошелёк отправил хакеру весь баланс: 167 464 ETH и 63 токена, включая 1,615 млрд USDT. Делегирование осталось в силе, и до 23:56 по UTC атакующий ещё шесть раз забирал новые поступления.

Главная улика против версии с одним украденным разрешением в том, что кошельки в десяти сетях, с разными типами ключей и схемами подписи, выдали атакующему валидные подписи в пределах получаса. TRM Labs считает наиболее вероятным, что хакер получил возможность заставить систему подписи Binance подписывать нужные ему транзакции, причём, судя по пакету из 50 заготовок, доступ был ограничен по времени.

Марк Карпелес, бывший глава Mt. Gox, допускает и более жёсткий вариант: раз атакующий получил действующее делегирование для кошельков Binance 14 и Binance 16, у него, скорее всего, был их приватный ключ. Это расходится с заявлением биржи, и точку поставит только её полный отчёт.

Обе версии сходятся в одном. Блокчейны не взламывали: ни Bitcoin, ни Ethereum, ни смарт-контракты не дали сбоя. Уязвимым оказалось звено между человеком и подписью, на что указывает и главный аналитик ViaBTC Джефф Ко.

🕵️ Кто стоит за взломом Binance

TRM Labs с высокой уверенностью называет исполнителем TraderTraitor, элитное подразделение северокорейских хакеров. Именно эту группу ФБР обвинило в краже у Bybit.

Независимый расследователь ZachXBT указывает на Lazarus Group (так обобщённо называют северокорейские хакерские команды), глава компании Blockaid Идо Бен-Натан также говорит о тактике, характерной для КНДР.

Почерк совпадает с атаками на Bybit и KelpDAO в апреле 2026 года:

1. финансирование через Tornado Cash,

2. подготовка задолго до удара,

3. заранее полученные подписи, исполненные одной серией.

Утром 30 октября ZachXBT сообщил, что деньги, украденные у Binance и у Bitget в сентябре, прошли через межсетевой протокол THORChain и сошлись на одном адресе. По его мнению, за обеими атаками стоит один и тот же исполнитель, а сентябрьскую кражу у Bitget ранее тоже связывали с TraderTraitor. Ни биржи, ни правоохранительные органы эту связь пока не подтвердили.

Отмывание пошло иначе, чем после Bybit. Вместо мостов между сетями хакер сразу бросился обменивать стейблкоины, которые можно заморозить, на эфир. Около 325 млн USDT он продал маркетмейкерам через UniswapX и получил примерно 122 300 ETH, то есть платил около $2 650 за эфир, торговавшийся по $2 300–2 350. Переплата больше 10% показывает, насколько важна была скорость. Ещё 60 млн USDT ушли залогом в кредитный протокол Aave под заём примерно 19 760 ETH, после чего Aave заморозил затронутые рынки. Биткоины хакер дробит по цепочке на куски по 1 000 и 100 BTC: по данным CoinDesk, около $1,4 млрд в биткоине уже разошлись по 19 кошелькам.

Сейчас под контролем атакующего больше 420 000 ETH и 18 270 BTC, около $2,4 млрд. Эти активы не может заблокировать ни один эмитент. TRM Labs ожидает, что дальше они пойдут через межсетевые мосты, обменные сервисы и внебиржевых брокеров.

📉 Как отреагировал рынок

Первая реакция рынка на взлом Binance была резкой. Биткоин за несколько часов потерял 4,8% и ушёл ниже $77 000, минимум составил около $76 460, самый низкий уровень за шесть недель. Эфир терял 5,7% и опускался ниже $2 200. BNB, токен экосистемы Binance, падал на 8%, AAVE на 11%: через этот протокол хакер занимал эфир. К утру пятницы биткоин отыграл часть падения и подбирался к $78 500.

Падение усилили ликвидации. Когда цена уходит против позиции, открытой с плечом, биржа принудительно закрывает её, и закрытие длинных позиций добавляет продаж. За сутки, по данным CoinGlass, рынок ликвидировал $1,53 млрд, из них 84% пришлось на ставки на рост. Почти половина, $754,6 млн, сгорела на самой Binance. Маркетмейкер GSR сообщил, что спред на спотовый биткоин на Binance утром был в пять раз шире обычного, на эфир в 2,5 раза.

Удар перешёл и на фондовый рынок. На постмаркете Nasdaq акции Coinbase подешевели на 4,8%, бумаги Strategy, которая скупает биткоины, примерно на 6%. Coinbase заявила, что взлом её не затронул.

По данным CoinDesk, институциональные инвесторы начали выводить активы с централизованных бирж. Директор по инвестициям сингапурской ChainUP Investment Аманда Хэ рассказала Reuters, что фонд продал всё, что держал на Binance, и переложился в стейблкоины. Рынок встретил взлом ослабленным: по оценке аналитиков, опрошенных Reuters, его и до этого давили высокие ставки в США и ослабший спрос со стороны биржевых фондов.

Отдельный вопрос касается резервов. Кошелёк Binance 14, главный источник потерь, входил в октябрьский отчёт биржи о подтверждении резервов. На 1 октября эфира на Binance было ровно столько, сколько числилось на счетах клиентов. Похищено около 5,6% этих запасов, и, по расчёту CoinDesk, покрытие клиентских ETH опустилось примерно до 94%, пока биржа не восполнит потерю. Страховой фонд SAFU, созданный Binance в 2018 году, хранит около $1 млрд в биткоине. Остальное биржа обещает закрыть собственными средствами. Следующий срез резервов 1 ноября покажет, выполнено ли обещание.

🔭 Что говорят аналитики

Последствия взлома Binance на ближайшие дни большинство аналитиков оценивает осторожно.

• Глава исследований цифровых активов Standard Chartered Джеффри Кендрик считает, что снижение цен продолжится. Новая опора для роста, по его мнению, появится только после разморозки активов и публикации подробностей взлома.

• Старший исследователь HashKey Group Тим Сунь опасается за ликвидность: пока Binance не принимает вводы и не проводит выводы, маркетмейкерам трудно перебрасывать капитал между площадками.

• Основатель 1Token Дэймон Сюй ждёт сокращения межбиржевых стратегий и снижения плеча. Даже если пострадавшим вернут деньги, временно запертые средства могут обернуться маржин-коллами и ликвидациями на других биржах.

• Аналитик bitbank Юя Хасэгава видит главный риск в доверии: потеря денег опаснее тем, что может запустить отток с централизованных бирж и вынужденные продажи. При этом он допускает, что эффект окажется коротким, если Binance быстро покроет потери и восстановит работу, ведь фундаментальные свойства биткоина атака не затронула.

• Джефф Ко из ViaBTC разделяет судьбу двух главных монет. Украденные биткоины, по его оценке, большого давления не создадут: заморозить их нельзя, зато каждая монета отслеживается, а глубокого анонимизатора для биткоина уровня Tornado Cash нет. Такие монеты могут годами лежать без движения. Эфир отмыть проще, поэтому Ко ждёт продолжения давления на ETH и его относительной слабости. Он же напоминает, что после взлома Bybit рынок восстановился за несколько недель.

Долгосрочные выводы касаются структуры рынка. Кендрик ожидает, что доля децентрализованных бирж в торговле продолжит расти, и сохраняет прогноз $100 за токен UNI к 2030 году. Директор по управлению частным капиталом UOB Kay Hian Кеннет Го формулирует проблему проще: у крупнейшей биржи мира должна быть самая сильная защита, и её всё равно взломали.

⚠️ Какие угрозы остаются

Подобные инциденты происходят всё чаще, поэтому стоит разобрать, какие угрозы сохраняются, а какие ждут нас в будущем.

🔻Поддельные холодные кошельки

Каждый крупный взлом биржи склоняет часть инвесторов к самостоятельному хранению, и мошенники это используют. В октябре 2026 года выяснилось, что угроза касается уже самих устройств, а не только приложений. 9 октября за 47 минут опустели кошельки владельцев Ledger, купивших устройства у малазийского реселлера CryptoBilis. Он значился официальным дистрибьютором в Малайзии, Индонезии и на Филиппинах. По подсчёту Bitquery, с 315 кошельков в пяти сетях ушло около $93 млн, другая аналитическая компания, YFarmX, оценивает ущерб в $103 млн. Ledger официальную сумму не назвала.

Внутри одного из устройств Ledger нашла посторонний модуль. Исследователи, среди которых Марк Карпелес, описали устройство закладки. Микроконтроллер считывал изображение с экрана и нажатия кнопок, то есть сид-фразу (набор слов для восстановления доступа), а встроенная eSIM с LTE-модемом отправляла её злоумышленнику. Упаковка следов вскрытия не имела, а штатная проверка подлинности Ledger такую закладку не видит, если родной защищённый чип на месте. Такие устройства продавали и на Amazon Japan, иногда почти вдвое дешевле официальной цены. 29 октября полиция Сингапура предупредила о модифицированных Ledger в местных магазинах: с 10 сентября зарегистрированы минимум два случая с ущербом около 3,5 млн сингапурских долларов. Ledger приостановила продажи через реселлеров в Юго-Восточной Азии.

Бывают и полные подделки. В апреле 2026 года исследователь из Бразилии разобрал «Ledger Nano S Plus» с китайского маркетплейса: вместо защищённого чипа там стоял обычный микроконтроллер, который отправлял PIN-код и сид-фразу на серверы злоумышленников. Параллельно работают поддельные приложения: фальшивый Ledger Live в Mac App Store за шесть дней собрал около $9,5 млн с более чем 50 человек.

Риск снижает покупка только у производителя. Устройство с рук, со скидкой или от стороннего продавца на маркетплейсе безопасным считать нельзя, как и любое приложение, скачанное не с официального сайта.

🔻 Взлом блокчейна с помощью ИИ

Октябрь в кибербезопасности уже прозвали «чёрным». Исследователи с помощью моделей OpenAI и Google нашли критические уязвимости в PHP, на котором работает около 70% сайтов. Крис Кребс, в прошлом руководивший американским агентством кибербезопасности CISA, заметил, что за последний месяц найдено 3% всех критических уязвимостей за историю. По данным Axios, миллионы попыток атак на новые уязвимости принесли пока немного реальных взломов.

Для крипторынка угроза ИИ реальна, но не в общепринятом смысле. Сломать консенсус Bitcoin или математику подписей ИИ не помогает: для этого по-прежнему нужны либо большая часть вычислительной мощности сети, либо квантовый компьютер. Опасность в коде вокруг блокчейна: смарт-контрактах, мостах, биржевой инфраструктуре.

В тесте от Anthropic ИИ-агенты воспроизвели взломы 207 из 405 ранее атакованных смарт-контрактов на условные $550 млн, средняя попытка обошлась примерно в $1,22. На свежих контрактах в BNB Chain агенты нашли две неизвестные уязвимости.

Противовес тоже есть: по подсчёту исследователя Curve, доля взломов из-за ошибок в коде к 2024 году упала ниже 5%.

Основные потери идут через людей и инфраструктуру, как в случае Binance. Свидетельств, что при атаке на биржу использовался ИИ, пока нет.

🔻 Квантовые компьютеры

Квантовая угроза касается подписей, а не майнинга. Алгоритм Шора в теории позволяет вычислить приватный ключ по открытому, хеш-функция SHA-256, на которой держится майнинг биткоина, под ударом не находится. В марте 2026 года Google Quantum AI оценила, что для взлома кривой secp256k1, которую используют Bitcoin и Ethereum, хватит менее 500 000 физических кубитов. Это в 20 раз меньше прежней оценки. Лучшие машины 2026 года работают примерно с 1 000–1 200 физическими кубитами и не больше чем сотней логических, то есть до порога ещё далеко даже по самым смелым расчётам.

Под угрозой, когда такая машина появится, окажутся монеты на адресах с уже раскрытым открытым ключом. Это около 6–6,9 млн BTC, из них примерно 2,3 млн принадлежат спящим кошелькам ранних лет, владельцы которых не смогут их перевести. Сооснователь Blockstream Адам Бэк относит практическую угрозу на 20–40 лет вперёд.

По оценке авторов одного из обзоров 2026 года, переход на постквантовые подписи, начатый сейчас, завершится к 2029–2031 годам, раньше даже оптимистичных сроков появления нужного компьютера.

🎯 Вывод

Рекордный взлом Binance случился не в блокчейне, а в самом человеческом звене централизованной биржи: на ноутбуке инженера и в системе, которая подписывает выводы. Сумма в $6,3 млрд пугает, но около половины средств уже заморожено, а у Binance есть страховой фонд и собственный капитал, чтобы закрыть остальное. Для клиентов биржи главный вопрос в сроках, а не в факте возврата денег.

В ближайшие недели рынок будет смотреть на несколько вещей: возобновление вводов и выводов на Binance, технический отчёт о причине взлома, срез резервов 1 ноября и движение 18 270 BTC и эфира через мосты и внебиржевых брокеров.

• Если биржа быстро вернётся к работе и покажет полное покрытие, история повторит сценарий Bybit с восстановлением за несколько недель.

• Если отчёт подтвердит утечку ключей или работа затянется, отток с централизованных бирж усилится, и прогноз Standard Chartered о продолжении падения получит основания.

Перевод монет в собственные кошельки снижает риск взлома биржи, но приносит свой риск поддельных устройств и приложений. ИИ уже увеличивает число атак на код и инфраструктуру, а квантовая угроза пока из разряда фантастики.

Читайте также:

• Аномалии американского рынка

• Почему обвалились ОФЗ?

• Как инвесторам заработать на ближневосточной войне

• Какие сигналы посылает инвесторам ЦБ?

• Ждет ли нас кризис рынка недвижимости?