Хочете будувати кар’єру в Data Science та AI? Vodafone Big Data Lab відкриває новий набір —>
Марія БровінськаКриптобізнес
30 жовтня 2026, 07:31
2026-10-30
Найбільший хак в історії: з Binance вкрали $6,36 млрд за 20 хвилин, виконавцем називають північнокорейську TraderTraitor. 10 запитань і відповідей про найбільшу крадіжку в історії криптоіндустрії
У ніч на 29 жовтня невідомий зловмисник вивів із гаманців найбільшої у світі криптобіржі Binance приблизно $6,36 млрд у десяти блокчейнах. Про це повідомила компанія з блокчейн-аналітики TRM Labs. За її оцінкою, це найбільша крадіжка криптовалюти за всю історію і приблизно вчетверо більше за злам біржі Bybit у лютому 2025 року ($1,5 млрд). Більшість коштів вивели приблизно за 20 хвилин, починаючи з 20:05 UTC (22:05 за київським часом).
TRM із «високою впевненістю» приписує атаку TraderTraitor, елітному підрозділу хакерів Північної Кореї. Binance підтвердила інцидент із безпекою й призупинила виведення коштів у кількох мережах, а також заявила, що кошти користувачів у безпеці, повідомляє TRM. Першопричину атаки біржа поки не оприлюднила. Дані TRM актуальні станом на 00:30 UTC 30 жовтня, історія розвивається.
У ніч на 29 жовтня невідомий зловмисник вивів із гаманців найбільшої у світі криптобіржі Binance приблизно $6,36 млрд у десяти блокчейнах. Про це повідомила компанія з блокчейн-аналітики TRM Labs. За її оцінкою, це найбільша крадіжка криптовалюти за всю історію і приблизно вчетверо більше за злам біржі Bybit у лютому 2025 року ($1,5 млрд). Більшість коштів вивели приблизно за 20 хвилин, починаючи з 20:05 UTC (22:05 за київським часом).
TRM із «високою впевненістю» приписує атаку TraderTraitor, елітному підрозділу хакерів Північної Кореї. Binance підтвердила інцидент із безпекою й призупинила виведення коштів у кількох мережах, а також заявила, що кошти користувачів у безпеці, повідомляє TRM. Першопричину атаки біржа поки не оприлюднила. Дані TRM актуальні станом на 00:30 UTC 30 жовтня, історія розвивається.
Скільки і де вкрали
TRM простежила кожен переказ із гаманців, що належать Binance, на адреси зловмисника в десяти мережах. За цінами на момент крадіжки сума становить $6,36 млрд, за поточними цінами ті самі активи коштують близько $6,23 млрд.
Ethereum: близько $3,79 млрд. Це 200 630 ETH і 185 інших токенів, зокрема 1,875 млрд USDT, 823 млн USDC і 88,5 млн RLUSD.
Bitcoin: 18 270 BTC, близько $1,47 млрд.
Tron: 612,7 млн USDT і 46,4 млн TRX, близько $628 млн.
XRP Ledger: 233,46 млн XRP, близько $296 млн.
Solana: 970 500 SOL, близько $96 млн.
Arbitrum, Optimism і Base: разом близько $39 млн, зокрема 74,6 млн ARB на Arbitrum.
Avalanche: близько $28 млн, Polygon: близько $10 млн.
Як розгортався напад
Підготовка тривала щонайменше 36 годин. Зранку 28 жовтня гаманець оператора атаки отримав три невеликі виведення з Tornado Cash, сервісу, що приховує походження коштів. Рано 29 жовтня оператор розгорнув перший фрагмент коду й протестував його на двох гаманцях. Згодом перевірив фінальну версію на третьому, повернув тестові кошти собі, а через чотири години той самий код встановили на гарячому гаманці Binance.
Першим «впав» XRP Ledger: з 20:05 до 20:09 UTC п’ять гаманців Binance надіслали 233,46 млн XRP на одну адресу, залишивши на кожному мінімальний баланс. Невдовзі після 20:10 UTC відправлення пішли з Solana та Optimism. О 20:20 біткоїн-гаманець Binance переказав 18 270 BTC. Зловмисник одразу почав дробити їх на круглі шматки по 1 000 і 100 BTC (так званий peel chain), щоб ускладнити відстеження. Протягом двох хвилин Tron-гаманець Binance надіслав 612,7 млн USDT і 46,4 млн TRX. Друга хвиля близько 23:05 UTC зачепила гаманці на Avalanche і Polygon.
Як захопили гарячий гаманець на Ethereum
Гарячий гаманець це підключений до інтернету гаманець біржі для обробки виведень клієнтів. Ethereum-гаманець у цьому випадку один із найвідоміших в Binance.
Зловмисник використав EIP-7702, механізм з оновлення Ethereum Pectra (травень 2025 року): підписавши «авторизацію», звичайний гаманець передає керування своєю поведінкою смартконтракту. Відтоді кожен виклик гаманця виконує код цього контракту, доки гаманець не підпише нову авторизацію.
О 20:20 UTC оператор надіслав одну транзакцію з 50 авторизаціями. Кожну підписав гаманець Binance, і кожна вказувала на контракт-«підмітальник», який виконує команди тільки оператора. Авторизація діє лише для певного лічильника транзакцій (nonce) гаманця. Оскільки гаманець Binance постійно обробляє виведення, його nonce швидко зростає. Підготувавши 50 підписів поспіль, зловмисник гарантував, що один із них збігся б у момент виконання. Так і сталося. Підписи згенерували заздалегідь однією партією.
Через 3 хвилини 24 секунди після делегування оператор наказав гаманцю надіслати весь баланс на свою адресу: 167 464 ETH і 63 токени, зокрема 1,615 млрд USDT. Делегування лишилося чинним, тож нові кошти, що надходили на гаманець, зловмисник забирав ще шість разів: о 20:41, 20:59, 21:04, 21:44, 22:39 та 23:56 UTC. Цей самий гаманець виконував функцію виконавця окремого смартрахунку Binance, завдяки чому зловмисник дістав доступ до 823 млн USDC. Circle заморозила їх невдовзі після цього.
Чому TRM вважає, що зламано підписувальну інфраструктуру
Спершу здавалося, що авторизації могли виманити фішингом. Але це пояснює лише Ethereum. У ті самі півгодини п’ять гаманців Binance на XRP Ledger, гаманці на Arbitrum, Avalanche, Optimism і Base, біткоїн-гаманець, Tron-гаманець і гаманець на Solana надіслали кошти зловмиснику через звичайні підписані перекази. Ще один гарячий гаманець Binance на Ethereum надіслав 28 006 ETH, 55,7 млн USDT і 25,9 млн RLUSD так само, без жодного делегування.
Ці гаманці працюють на різних блокчейнах, із різними типами ключів і схемами підпису, і всі вони дали зловмисникові дійсні підписи протягом приблизно пів години. За оцінкою TRM, найімовірніше, зловмисник отримав змогу змушувати систему підпису гарячих гаманців Binance підписувати будь-які транзакції на різних блокчейнах. Пакет із 50 попередньо підписаних авторизацій може означати, що доступ був обмежений у часі або що підписи доводилося запитувати через систему.
Хто за цим стоїть
TRM приписує атаку TraderTraitor, найсильнішій хакерській структурі Північної Кореї. Свою впевненість компанія називає високою і спирається на дані ончейн-аналізу та позаланцюгові розвідувальні джерела. ФБР раніше вказало на цю саму групу як на виконавця злому Bybit на $1,5 млрд у лютому 2025 року.
За словами TRM, атака має ознаки, спільні з попередніми північнокорейськими крадіжками (Bybit і KelpDAO у квітні 2026 року): невеликі виведення з Tornado Cash для фінансування гаманця оператора, підготовка задовго до крадіжки та попередньо отримані підписи, виконані одним спалахом. Водночас відмивання, що спостерігається, відрізняється від схеми після Bybit, де домінували мости: цього разу великі обміни через маркетмейкерів і кредитні протоколи.
Скільки вдалося заморозити
Емітенти стейблкоїнів діяли швидко. О 23:35 UTC Binance повідомила, що перевірена заморожена сума сягнула $2,54 млрд. З урахуванням пізніших заморожувань TRM нараховує приблизно $2,7 млрд станом на 00:30 UTC:
Tether, близько 1,77 млрд USDT. О 21:01 UTC, через 37 хвилин після основного виведення, Tether заморозила 971,1 млн USDT на головному гаманці-одержувачі. Пізніші виведення потрапляли на вже заморожений гаманець, і зараз там 1,175 млрд USDT. Також заморожено 205 млн USDT на двох інших гаманцях зловмисника в Ethereum, 378,7 млн USDT на двох у Tron, 8,4 млн USDt на Avalanche та ще 6,2 млн USDT0 на Polygon.
Circle, близько 825 млн USDC. 823 млн USDC на головному гаманці заморожено о 21:04 UTC, у координації з правоохоронцями, а згодом ще 1,56 млн USDC, які зловмисник обміняв з AVAX і перекинув з Avalanche на Ethereum.
Ripple, 40,5 млн RLUSD. Гаманець із викраденим RLUSD заморожено о 22:01 UTC, коли в ньому лишалося 40,5 млн із 88,5 млн. Також заморожено RLUSD на скомпрометованому гаманці Binance, щоб нові надходження не можна було вивести. Співголова Binance Yi He заявила, що Ripple допомогла зупинити близько $200 млн, але TRM підтверджує ончейн лише 40,5 млн RLUSD.
World Liberty Financial, 27,8 млн USD1. Заморожено о 22:10 UTC на головному гаманці й о 22:26 UTC на гаманці Binance.
Arbitrum Security Council, 8 426 ETH і 74,6 млн ARB (близько $30 млн). Рада безпеки мережі о 00:08 UTC примусово перевела ці кошти з гаманця зловмисника на Arbitrum.
Як зловмисник «обганяв» заморожування
Протягом перших годин він конвертував стейблкоїни, які можна заморозити, в активи, що їх не контролює жоден емітент, причому з великим дисконтом. Близько 325 млн USDT продали професійним «філерам» і маркетмейкерам через UniswapX та інші інтент-контракти за приблизно 122 300 ETH. Це відповідає ціні близько $2 650 за ETH за ринкової ціни $2 300–2 350, тобто дисконт понад 10%. Решту 175 млн USDT із цієї партії заморожено.
Другий гаманець зловмисника вніс 60 млн USDT в Aave і позичив під них близько 19 760 ETH, після чого Aave заморозила відповідні ринки. На Tron 300 млн USDT надійшли на гаманець, що почав вносити їх у протокол JustLend. Ще 200 млн USDT пройшли ланцюжком проміжних гаманців з обміном на Uniswap, 30 млн USDT із цього ланцюжка заморожено. 88,5 млн RLUSD пройшли два гаманці, звідки 48 млн продали через децентралізовані біржі між 21:42 і 22:01 UTC, поки Ripple не заморозила решту 40,5 млн.
Скільки лишилося у зловмисника
Станом на 00:30 UTC зловмисник контролює понад 420 000 ETH і 18 270 BTC, близько $2,4 млрд в активах, які не може заморозити жоден емітент. Зважаючи на попередні великі крадіжки, TRM очікує наступного етапу з використанням міжланцюгових мостів, сервісів обміну й OTC-брокерів, і стежить за гаманцями консолідації та виходами з peel chain.
Що радить TRM біржам і комплаєнс-командам
Перевіряти депозити й контрагентів за адресами зловмисника, які позначила TRM: кошти з peel chain і гаманців консолідації ETH, найімовірніше, дійдуть до бірж, сервісів обміну й OTC найближчими днями.
Казначейським командам моніторити ethereum-сумісні гаманці на делегування EIP-7702, яке виглядає як код за адресою, що не мав би його мати, і мати заздалегідь погоджений протестований спосіб підписати відкликання.
У політиках підпису відхиляти EIP-7702-авторизації, якщо вони не очікуються, а запит на безліч авторизацій для діапазону nonce вважати індикатором компрометації.
Розділяти інфраструктуру підпису та шляхи погодження за мережами й рівнями гаманців: тут один актор отримав дійсні підписи для гаманців у десяти мережах за кілька годин.
Маркетмейкерам і solver-ам перевіряти контрагентів перед виконанням великих ордерів: 325 млн USDT продав гаманець, що отримав їх із зламу за хвилини до цього, і screening адрес у реальному часі міг би це виявити.
Що кажуть у Binance
На запит редакції dev.ua в чаті підтримки Binance 30 жовтня відповіли, що біржа не оголошувала про подію, під час якої саму платформу «зламали» чи скомпрометували хакери. За словами чату, жодного загальнобіржового інциденту такого типу немає, як і зупинки платформи, примусового закриття акаунтів чи масових втрат коштів користувачів. У відповіді також сказано, що всі сервіси Binance.com працюють у штатному режимі, а користувачі мають повний доступ до торгів, депозитів, виведення, переказів та інших функцій.
Чат нагадує про ризики безпеки на рівні окремих акаунтів: фішинг, фейкові застосунки, компрометація облікових даних і несанкціонований доступ. Підсумок відповіді такий: задокументованої події «Binance зламали» з наслідками для всіх користувачів немає, сервіси працюють нормально, а відповідальність за безпеку й захист діє на рівні окремих акаунтів.
Втім офіційного підтвердження чи спростування від Binance редакція станом на ранок 30 жовтня не знайшла.
«Я вірю, що ми живемо в симуляції» Засновник Binance доводить, чому ми живим в Матриці
Засновник криптовалютної біржи Binance Чанпэн Чжао в блозі написав, що вірить, ми живемо в симуляції. За його словами, він говорив про це на VIP-вечері VivaTech у Парижі, а зараз приводить аргументи, щоб переконати спільноту в цьому.
Ось, що він мав на увазі.
