Binance в четверг, 29 октября, сообщила об инциденте, в котором пострадали активы примерно на $6,3 млрд. По первой версии биржи, злоумышленник через скомпрометированный ноутбук инженера DevOps попал в сервисный контейнер и отправил несанкционированные транзакции вывода. Взлом Binance уже называют крупнейшей кражей криптовалюты. Самое тревожное в этой истории: по словам биржи, приватные ключи кошельков не утекли.

Что Binance признала, а что пока остаётся гипотезой?

Подтверждено немногое: сам инцидент, его масштаб и меры реагирования. Binance сообщила о «security incident» на своей платформе, в котором пострадали активы примерно на $6,3 млрд. The Hacker News в материале Рави Лакшманана от 30 октября назвал случившееся крупнейшей кражей криптовалюты за всё время наблюдений.

Всё остальное пока гипотеза. По словам биржи, первичное расследование «указывает» на скомпрометированный ноутбук инженера DevOps, через который атакующий получил доступ к сервисному контейнеру. Это рабочая версия, а не итог форензики.

Второе важное заявление: признаков утечки приватных ключей кошельков Binance не нашла. Это тоже позиция компании на момент публикации, расследование продолжается.

Чего в открытых данных нет совсем:

• номера CVE и названия уязвимого продукта;
• семейства вредоносного ПО, которым заразили ноутбук;
• адресов кошельков, доменов, IP и хешей;
• имени группировки и какой-либо атрибуции.

Если вам попадутся «индикаторы взлома Binance» из неофициальных каналов, относитесь к ним осторожно и сверяйтесь с обновлениями самой биржи.

Почему взлом Binance обошёлся без кражи ключей?

Злоумышленнику достаточно управлять сервисом, которому разрешено просить подпись. Дальше наш разбор типичной архитектуры, а не детали инцидента: сервис вывода на бирже обычно не хранит ключ у себя. Он формирует транзакцию и отправляет её в подписывающий модуль, HSM или систему мультиподписи. Подпись получается валидной, потому что её ставит настоящий ключ.

Поэтому фраза «ключи не утекли» и миллиардные выводы друг другу не противоречат. По описанию Binance, путь атаки выглядел так:

1. контроль над ноутбуком инженера DevOps, у которого по роли есть доступ к продакшену;
2. переход с этой машины в сервисный контейнер;
3. транзакции вывода от имени контейнера, которые система приняла как легитимные.

Binance говорит о компрометации рабочей машины. О роли самого сотрудника биржа ничего не сообщает, как и о том, чем именно заразили ноутбук.

Среди принятых мер Binance называет отзыв авторизации для адреса, связанного с инцидентом. Формулировка размытая: неясно, идёт ли речь о блокчейн-адресе, API-ключе, сервисной роли или праве подписи. Параллельно биржа «из соображений осторожности» временно остановила ввод и вывод до завершения проверок.

Кто заморозил деньги после взлома Binance и почему цифры не сходятся?

Заморозить успели почти $3 млрд, и большую часть этой суммы заблокировала не сама Binance, а эмитенты стейблкоинов и Arbitrum Security Council. На момент публикации известны три именные заморозки:

Кто	Сколько
Tether	более 1,5 млрд USDT
Circle	800 млн
Arbitrum Security Council	около $30,5 млн

В каком токене Circle заморозила 800 млн, в отчёте не сказано. Circle выпускает USDC, так что речь, вероятнее всего, о нём.

Для справки: Tether и Circle могут заблокировать адрес прямо в контракте своего токена. У BTC и нативного ETH такой возможности нет, поэтому доля замороженного зависит от того, в каких активах ушли средства. В сети Arbitrum заморозку провёл совет безопасности, то есть люди с аварийными полномочиями, а не автоматический механизм.

Заморозка не равна возврату. Замороженный адрес просто не может отправить токены дальше. Чтобы деньги вернулись, нужен отдельный шаг: сжигание и перевыпуск или другая процедура восстановления. О таких шагах пока не сообщалось.

Теперь арифметика. Три именные заморозки дают около $2,4 млрд. До «почти $3 млрд» не хватает примерно $0,6 млрд, и кто заморозил остаток, Binance не уточняет. Второй разрыв: биржа пишет о $6,3 млрд, а Chainalysis оценивает украденное примерно в $5,9 млрд на момент кражи.

Разница около $0,4 млрд, официального объяснения нет. Возможно, дело в моменте оценки или в активах, которые пострадали, но не были выведены.

По нашему расчёту, именные заморозки покрывают около 40 % от оценки Chainalysis. Остальное либо ушло в активы без функции заморозки, либо ещё не отслежено. Бизнесу, который принимает USDT, отсюда прямой урок: токены с отслеженных адресов могут прийти к вам уже замороженными, поэтому происхождение входящих средств стоит проверять.

Это крупнейшая кража криптовалюты в истории?

Да, если опираться на доступные сейчас оценки. Chainalysis пишет, что сумма почти в четыре раза больше следующей по размеру кражи: ограбления Bybit в феврале 2025 года примерно на $1,5 млрд.

Кражу Bybit позже приписали Северной Корее. Эта атрибуция относится только к Bybit: по инциденту Binance виновных публично не назвали. Биржа пишет, что вместе с правоохранительными органами работает над тем, чтобы «подтвердить личность преступников». Имён в её заявлениях пока нет.

Рекорд считают по полной сумме кражи, но пострадавшим важнее другое. Здесь есть четыре разные цифры: полная сумма кражи, замороженная сумма, возвращённая сумма и итоговый убыток. Сейчас известны только первые две, и те приблизительно. Новые подробности ожидаются по мере расследования.

Вернёт ли Binance клиентам деньги из фонда SAFU?

Биржа пообещала покрыть все убытки из фонда SAFU (Secure Asset Fund for Users) и собственных средств. Binance держит SAFU как резервный фонд для защиты клиентов. Его текущий размер в заявлении не назван, а упоминание собственных денег подсказывает, что одного фонда на такую сумму может не хватить.

Уменьшились ли балансы конкретных клиентов, Binance не уточняет: есть только обещание компенсировать.

Кто пострадал на практике:

• сама Binance, которая несёт убыток;
• все клиенты биржи, временно лишённые ввода и вывода;
• держатели замороженных USDT и USDC на отслеженных адресах, включая контрагентов, получивших токены по цепочке.

Для бизнеса из РФ и СНГ, который держит оборотные средства на бирже, следствие простое: пауза в выводе средств создаёт риск ликвидности, а не только риск кражи. Сроков возобновления Binance не назвала. Если платёжный поток завязан на одну площадку, руководителю стоит пересчитать, сколько дней компания проживёт без доступа к этим деньгам.

И предупреждение для клиентов биржи. Громкие инциденты почти всегда тянут за собой фишинг: письма о «компенсации из SAFU», фальшивые страницы восстановления доступа, «поддержка» в мессенджерах. Новости проверяйте только в официальных каналах Binance, а seed-фразы и коды 2FA не вводите по ссылкам из писем.

Что проверить у себя, если инженер DevOps может запустить вывод средств?

Начните с поиска сервисных учётных записей с правом двигать деньги и людей, которые до них дотягиваются. Это касается не только бирж: платёжные шлюзы, казначейские сервисы и бэкенды, которые принимают криптовалюту или отправляют выплаты, устроены похоже.

Из практики: на внутренних пентестах и в упражнениях Red Team мы регулярно находим на ноутбуках инженеров kubeconfig с широкими правами, долгоживущие облачные токены и SSH-ключи без пароля. Сам контейнер в Kubernetes часто выглядит скромно, но держит токен к внутреннему API, который умеет всё. Аудит RBAC кластера такую связку не видит.

Что пересмотреть:

• Независимые правила одобрения транзакций. Белые списки адресов назначения, лимиты по сумме и частоте, одобрение несколькими людьми по независимому каналу, не в той же инфраструктуре. Сервис должен уметь попросить вывод, но не одобрить его сам.
• Полная карта прав рабочей нагрузки. Облачная роль, переменные CI/CD, доступ к хранилищу секретов, права в сервисе подписи, бизнес-права в приложении. Такие связки вскрывает тестирование безопасности облака: оно показывает, куда на деле дотягивается роль контейнера.
• Доступ инженеров к продакшену. Выдача по запросу и на время, отдельные защищённые станции администрирования, никаких постоянных сессий с рабочего ноутбука.
• Телеметрия на машинах инженеров. EDR на ноутбуках с доступом к продакшену, учёт сессий kubectl и облачного CLI, алерты на нетипичный exec в контейнеры сервисов, которые двигают деньги.
• Сверка журналов. Запросы к сервису вывода, решения об одобрении, логи подписи или HSM, внутренний учёт и транзакции в блокчейне, связанные по ID запроса и хешу транзакции. Валидная подпись показывает, каким ключом подписано, но не показывает, был ли запрос законным.

Если ноутбук уже под подозрением, план реагирования такой: изолировать машину, снять образ диска и телеметрию до переустановки, отозвать сессии, OAuth-гранты, SSH-ключи и краткоживущие облачные учётные данные. Одной смены пароля мало.

Такие вещи дешевле заложить при проектировании. Наши услуги DevOps как раз о разделении доступов и секретов до инцидента, а не после.

Заморозки стейблкоинов сработали уже после вывода и закрыли меньше половины суммы. Рассчитывать на Tether или Circle как на часть своей защиты нельзя.

Частые вопросы

Утекли ли приватные ключи Binance?

Биржа заявляет, что признаков утечки приватных ключей кошельков не нашла. По её версии, атакующий действовал через сервисный контейнер, который мог отправлять транзакции вывода, так что копировать ключ ему не пришлось.

Сколько USDT заморозил Tether после взлома Binance?

Более 1,5 млрд USDT. Вместе с 800 млн от Circle и около $30,5 млн от Arbitrum Security Council это даёт около $2,4 млрд именных заморозок из «почти $3 млрд», о которых сообщила биржа.

Что такое SAFU и хватит ли его на $6,3 млрд?

SAFU (Secure Asset Fund for Users) Binance держит как резервный фонд для защиты клиентов. Его нынешний размер биржа не раскрыла, поэтому к SAFU она добавляет собственные средства.

Почему оценка Chainalysis ниже цифры Binance?

Binance называет $6,3 млрд пострадавших активов, а Chainalysis оценивает украденное на момент кражи примерно в $5,9 млрд. Откуда разница около $0,4 млрд, официально не объяснили.

Можно ли считать атаку на Binance делом Северной Кореи?

Нет. Северной Корее приписали кражу Bybit в феврале 2025 года. По Binance виновных публично не назвали, атрибуции пока нет.

Приостановила ли Binance ввод и вывод средств?

Да. Биржа временно остановила ввод и вывод до завершения проверок безопасности. Сроки возобновления в заявлении не указаны.

Если у вас есть сервисы, которые двигают деньги, проверьте, кто и с каких машин может до них дотянуться. HirexTech проводит аудит безопасности доступов к продакшену и путей подписи и помогает выстроить план реагирования до инцидента.