Криптовалютная биржа Binance опубликовала предварительный отчет о инциденте безопасности, который произошёл 29 октября. Криптовалюты высоковолатильны.
Размер потерь и обеспеченность активов
В результате атаки пострадали цифровые активы на сумму примерно $6,34 млрд. На момент публикации около $2,85 млрд удалось заморозить или перехватить.
«Мы зарезервировали более 100% средств, необходимых для покрытия потерь. По состоянию на 3 ноября уже восстановлено 98% затронутых токенов, и их обеспеченность можно проверить на странице Binance Proof of Reserves», — компания. Активы, которых не хватает, биржа планирует докупить, поскольку часть из них имеет низкую ликвидность.
Механика кибератаки
Атака разворачивалась быстро и охватила несколько блокчейн-сетей через несанкционированный доступ к внутреннему сервису подписи транзакций горячих кошельков. В период с 20:05 до 20:09 UTC пять горячих кошельков перевели 233,46 млн XRP на адрес, контролируемый злоумышленниками.
Позже горячие кошельки биржи в сетях Solana и Optimism также отправили примерно 970,5 тыс. SOL и 44,2 млн OP на подконтрольные хакерам адреса. После обнаружения крупных переводов биржа получила внутреннее уведомление и начала расследование, а один из горячих кошельков перевёл 18 270 BTC.
Почему не удалось сразу остановить переводы
После обнаружения атаки биржа приостановила вывод средств, договорилась с партнёрами о заморозке токенов и начала отзывать несанкционированные разрешения. Однако приостановка вывода оказалась недостаточной, потому что несанкционированные разрешения EIP-7702 уже были записаны в блокчейне и действовали независимо от стандартной инфраструктуры вывода.
Злоумышленники отправили 50 транзакций подписи, чтобы манипулировать счётчиком nonce и создать вредоносные разрешения на делегирование, которые позволили продолжать переводы без использования стандартных сервисов. Для прекращения таких операций пришлось создавать дополнительные транзакции и выполнить специальную процедуру отзыва разрешений, что потребовало времени.
Остановка несанкционированных переводов и результаты расследования
Последний несанкционированный перевод на сумму 2961,9 ETH окончательно подтвердили в блокчейне в 23:56 UTC. 30 октября 2026 года в 00:10 UTC биржа выполнила новую авторизацию с горячего кошелька Binance14 на нулевой адрес, что позволило очистить код делегирования EIP-7702 и отозвать соответствующие разрешения.
Расследование показало, что злоумышленники готовили операцию заранее и использовали несколько методов проникновения: фальшивые собеседования, загрузку вредоносного ПО, компрометацию внутренних инструментов на основе искусственного интеллекта и доступ к устройствам сотрудников.
