С кошельков Binance вывели миллиарды: биржа расследует инцидент, эмитенты заморозили часть средств

Хронология: 20:24 UTC

В 20:24:23 UTC 29 октября с кошелька, помеченного Etherscan как Binance 14, ушли 167 464 ETH — по оценке обозревателя блоков, около $388 млн — и ещё 63 токена, включая примерно 1,615 млрд USDT. Через 24 секунды на тот же адрес отправил 28 005,6 ETH второй кошелёк биржи, Binance 16. Вместе получилось около 195 469 ETH, или $452 млн. В 20:41:23 с кошелька Binance Hot Wallet 34 ушли 780 млн USDC. Адрес-получатель создали в тот же день, раньше в блокчейне он не встречался.

Деньги не задержались. За четверть часа с нового адреса ушли 195 460 ETH на ещё один свежий кошелёк, а USDT раздробили: 500 млн на один адрес, 500 млн на второй, 200 млн на третий, и каждый раз перед этим проходил пробный перевод 0,5 ETH. У нескольких получателей Etherscan уже проставил предупреждающие метки. Параллельно двигались биткойны: алерты зафиксировали выход 7636, 4696, 2946 и 1409 BTC на новые кошельки. The Defiant сообщил, что Binance 14 опустошили повторно спустя 40 минут после первого перевода.

Триггером стала делегация по EIP-7702

Перевод инициировал не сам кошелёк биржи. За три минуты до крупной транзакции адрес, пополненный исключительно через миксер Tornado Cash — тремя депозитами примерно по 0,1 ETH 28 и 29 октября, — установил для горячего кошелька Binance делегацию по стандарту EIP-7702. Этот механизм позволяет обычному адресу исполнять код смарт-контракта.

«7702 позволяет обычному кошельку исполнять делегированный код. Делегация сохраняется, и этот код может авторизовать последующие переводы без новой подписи владельца», — написал в X основатель Phylax Systems Одиссеас Ламцидис.

Как атакующий получил нужную подпись, публично не установлено. По версии, которую приводит bitcoin.fr, всё началось со скомпрометированного аккаунта одного из DevOps-инженеров Binance: он открыл доступ к контейнеру сервиса, и приватные ключи похищать не потребовалось. Биржа эту версию не подтвердила. TRM Labs оценила подготовку минимум в 36 часов с тестовыми прогонами на двух-трёх кошельках и насчитала вывод через десять блокчейнов. MistTrack обнаружила на маршруте адрес, который ранее засветился в инциденте с Phemex, и не исключила, что речь идёт о двух отдельных кражах, а не об одной компрометации.

Сколько вывели и что успели заблокировать

Единой цифры нет, разброс оценок остаётся большим. Лента Tree News в первые минуты говорила о $2,53 млрд в шестидесяти с лишним токенах, аккаунт Walter Bloomberg — о $2,77 млрд на пяти блокчейнах, SolanaFloor — почти о $3 млрд. Позже ончейн-подсчёт Decrypt дал $5,57 млрд: $3,51 млрд на Ethereum, $1,44 млрд в 18 270 BTC и $630 млн на Tron. The Block писал о сумме до $5,8 млрд, bitcoin.fr — о $6,3 млрд, TRM Labs — о $6,36 млрд. Если кража подтвердится хотя бы в нижней части этого диапазона, она станет крупнейшей в истории отрасли: прежний ориентир — сентябрьский взлом Bitget на $387 млн.

Эмитенты стейблкоинов отреагировали в течение часа:

• Tether заблокировала 971 млн USDT, по уточнённым данным — 975,1 млн;
• Circle в 21:04 UTC заморозила 823 млн USDC на том же адресе-получателе;
• Ripple ограничила движение активов на $200 млн, причём в сообщениях расходятся данные, шла ли речь об XRP или о RLUSD.

По первым подсчётам суммарно заблокировали около $1,79 млрд, по уточнённым оценкам — $2,3 млрд от Tether и Circle вместе, а bitcoin.fr называет $3 млрд. ETH и BTC заморозить невозможно, поэтому примерно 195 тыс. ETH и около 16,7 тыс. BTC остались вне ограничений. Атакующий начал продавать часть похищенного через децентрализованные биржи и конвертировать стейблкоины в эфир через Uniswap и Aave. Объём восстановленных активов эмитенты не раскрыли.

Рынок заложил худший сценарий

Биткоин торговался на Binance около $80 800 в 20:00 UTC, к 20:35 цена упала примерно до $78 300 — на 3% за одну пятиминутную свечу, затем отскочила выше $79 100. Эфир просел сильнее: с $2335 до $2233, более чем на 4%, с восстановлением к $2263. Solana ушла ниже $96, XRP — ниже $1,25, BNB потерял около 7%, Monero прибавил примерно 6%.

За час ликвидации достигли $627,7 млн, из них $606,6 млн пришлось на лонги, по данным Coinglass. По биткоину закрыли позиций на $189,1 млн, по Ethereum — на $156,8 млн, по Solana — на $46,8 млн. Шортисты потеряли всего $21,1 млн. Самая крупная принудительная ликвидация — лонг по биткоину на Binance на $11,09 млн при цене $79 254. На саму Binance пришлось $344,8 млн, на Hyperliquid — $97 млн, на Bybit — $77,3 млн. За сутки ликвидировали 161 647 трейдеров на $951,2 млн, причём две трети потерь пришлись на последний час. Рынок подходил к этому уже ослабленным: неделей ранее биткоину не удалось удержаться выше $83 000, а уровень $80 000 трейдеры отслеживали как ключевой.

Позиция биржи и открытые вопросы

Binance сообщила, что её команды знают о сообщениях о возможной проблеме безопасности и проверяют их, но подтверждённого влияния на средства клиентов не видят. Биржа пообещала обновления по официальным каналам и предупредила пользователей о мошенниках, которые будут запрашивать данные аккаунтов. Позже компания заявила, что средства клиентов в безопасности.

Соучредитель Binance Чанпэн Чжао высказался резче. Около 21:16 UTC он написал в X, что происходящее похоже на взлом биржи, поблагодарил Tether и Circle за быструю заморозку и добавил: управлением Binance.com он больше не занимается, но как акционер ожидает, что все потери пользователей будут полностью покрыты. Это его ожидание, а не обязательство биржи.

Открытым остаётся главное: подтвердит ли Binance компрометацию, какой окажется итоговая сумма и обратятся ли к резервному фонду SAFU, созданному в 2018 году. Биржа пока не говорила, собирается ли его использовать. Средства на горячих кошельках принадлежат клиентам, и от размера подтверждённого убытка зависит, покроет ли его резерв.