Ограбление Binance: ФБР связало северокорейскую группировку TraderTraitor с крупнейшей кражей криптовалюты в истории
Вечером 29 октября 2026 года несанкционированные выводы начали опустошать горячие кошельки Binance на одиннадцати блокчейнах в течение нескольких часов. Оценки потерь варьируются от примерно 6,3 млрд долларов — собственной цифры биржи — до 6,43 млрд, где после дней подсчётов остановилась ончейн-сводка Elliptic; аналитическая компания называет это почти наверняка крупнейшей единичной кражей любого рода в истории. Выводы приостановили той же ночью, и крупнейшая в мире криптобиржа следующие дни тратила на то, чтобы заверить свои примерно 335 миллионов зарегистрированных пользователей: их деньги никуда не ушли.
Цифры рекордной кражи
Прецедентов для сравнения почти нет. Добыча более чем в четыре раза превышает 1,46 млрд долларов, украденные у Bybit в феврале 2025 года — тогда это тоже был рекорд, — и более чем в шесть раз превышает примерно 1 млрд долларов, которые Саддам Хусейн изъял из Центробанка Ирака в 2003-м, как подчёркивает сравнение Elliptic. По подсчётам ФБР, The Hacker News насчитывает одиннадцать затронутых блокчейнов, причём 82 процента стоимости пришлось на Ethereum и Bitcoin. Крупнейшая часть лежала на Ethereum: около 3,8 млрд долларов в 186 токенах, плюс 18 270 BTC стоимостью около 1,48 млрд долларов.Северная Корея — с высокой уверенностью
31 октября ФБР официально возложило ответственность за кражу на TraderTraitor — ориентированный на КНДР кластер, известный также как Jade Sleet и Slow Pisces, — действуя совместно с Секретной службой США и подразделением IRS Criminal Investigation. Те же исполнители связаны с ограблениями Bybit и DMM Bitcoin, а также с более мелкими инцидентами в KelpDAO и Bitget. Частные аналитики указали в ту же сторону уже в первые часы: расследователь ZachXBT назвал атакующего «вероятно, Lazarus», а TRM Labs опубликовала оценку с «высокой уверенностью», что за кражей стоит TraderTraitor — подразделение, которое CoinDesk описывает как субкластер группы Lazarus.«Мы уже восполнили 90% украденных активов и намерены покрыть оставшиеся 10%». — со-генеральный директор Binance Ричард Тен, 31 октября 2026 годаBinance приостановила выводы, а затем обязалась полностью покрыть все потери клиентов. Компания зарезервировала около 6,34 млрд долларов собственных средств — из миллиардного фонда Secure Asset Fund for Users, страхового фонда фьючерсов и корпоративной казны, сообщает NBC News, — оставшиеся десять процентов лежат главным образом в менее ликвидных токенах, выкуп которых займёт больше времени. Выводы поэтапно возобновились с 06:00 UTC 1 ноября, и ожидавшийся банковский набег остался в рамках. The Block насчитал около 3,64 млрд долларов чистого оттока за первые девять с половиной часов — примерно 2 процента активов под управлением, — процитировав биржу: объёмы «стабилизировались, как и ожидалось» после начального всплеска, а депозиты оставались значительными. Bitcoin к тому моменту уже опустился на 5 процентов, до шестинедельного минимума в 77 380 долларов, в часы после новости, как передает The Guardian.
Как опустошали кошельки
Первое публичное объяснение Binance указывало на скомпрометированный ноутбук DevOps-инженера как точку входа; позже компания описала сложную атаку с дополнительными точками проникновения и вредоносным кодом, затёршим следы. Реконструкция Elliptic показывает злоупотребление делегированием EIP-7702 — функцией, появившейся в обновлении Ethereum Pectra 2025 года: одна транзакция с пятьюдесятью действительными подписанными авторизациями делегировала контроль над кошельком с меткой «Binance 14» контракту-«sweeper», который через три с половиной минуты опустошил его на 167 464 ETH и 63 токена. Средства двинулись через собственную подписывающую инфраструктуру Binance, а не через украденные приватные ключи — словами Elliptic, были скомпрометированы инфраструктура и люди вокруг кошельков, а не криптография.Траектория отмывания
ФБР заранее расписало свои ожидания. Наблюдая, как атакующий конвертировал украденные активы прежде всего в Ethereum, бюро предполагает дальнейшее отмывание через DeFi и сервисы мгновенного обмена и уже опубликовало адреса кошельков, по которым сервисам следует сверяться. Ончейн-картина пока совпадает с известным сценарием: стейблкоины меняли на ETH и TRX с потерями 12–26 процентов — скорость важнее стоимости; 59,9 млн USDT разместили в Aave, чтобы занять под них ETH; TRX гоняли минимум через шесть разных мостов.- Около 2,85 млрд долларов были заморожены или изъяты ончейн в течение нескольких дней — 44 процента кражи, почти всё стейблкоины, по данным Elliptic; собственная оценка Binance — около 3 млрд.
- На Bitcoin, XRP Ledger, Solana и NEAR не заморожено ничего — у атакующего остаётся около 3,25 млрд долларов не поддающихся заморозке активов на более чем 800 адресах.
- Elliptic опубликовала бесплатный блоклист из более чем 8 000 связанных адресов для бирж и кошельковых сервисов.
- По имеющимся данным, связанные с КНДР исполнители за последние годы украли криптовалюты более чем на 6,5 млрд долларов, и Elliptic отмечает, что этот инцидент почти удваивает ту сумму.