Краткое изложение
Атака на Binance, ущерб от которой оценивается примерно в 6,3 миллиарда долларов, является крупнейшей кражей криптовалют за всю историю: она примерно в четыре раза превышает ущерб, понесенный Bybit в феврале 2025 года (около 1,5 миллиарда; см. наш аналитический обзор от 24 февраля 2025 года).
Оба случая объединяет предполагаемый автор — северокорейская группировка, известная как TraderTraitor, — и точка проникновения: компьютер одного из разработчиков. Однако они различаются по составу похищенных средств и, прежде всего, по способу управления кризисом. Bybit оставила вывод средств открытым и прибегла к займам у конкурентов; Binance приостановила вывод средств примерно на три дня, постепенно возобновила его в воскресенье, 1 ноября, и покрывает убытки за счёт собственных средств.
Атака на Binance
Binance приостановила все выводы средств после кражи, сумма которой оценивается примерно в 6,3 миллиарда долларов. Около 3 миллиардов, в основном стейблкоины, были заморожены; остальная часть была конвертирована хакерами в неблокируемые токены, такие как ETH.
Способ совершения. Согласно предварительному расследованию компании, злоумышленники взломали ноутбук одного из штатных инженеров. Впоследствии были обнаружены дополнительные точки проникновения. Binance заявляет, что приватные ключи пользователей не были скомпрометированы.
Приписывание ответственности. TRM Labs связывает атаку с TraderTraitor, подразделением Северной Кореи. В субботу, 31 октября, ФБР подтвердило эту версию, которую ранее уже выдвигали в связи с кражей на Bybit, и предполагает, что средства будут конвертированы и подвергнуты дальнейшему отмыванию.
Реакция. Binance обязалась возместить убытки всем клиентам, чьи активы были похищены. Компания уже сформировала резерв в размере 95 % похищенных средств, финансируемый за счет собственной выручки и чрезвычайного фонда. Остальные 5 % составляют менее ликвидные токены, которые компания приобретает на рынке и на сбор которых в больших количествах требуется больше времени.
Возобновление работы. В воскресенье, 1 ноября, Binance приступила к постепенному возобновлению вывода средств — по одной сети и одному активу за раз — с проверкой стабильности и безопасности перед каждым возобновлением. Начало было положено с ETH, USDT и USDC на блокчейне Ethereum, а также с некоторых активов на BNB Smart Chain; вечером к ним добавились, среди прочего, dogecoin и solana. Приоритет отдается токенам, которые пользовались наибольшим спросом за последнюю неделю; возможны задержки из-за высокой нагрузки.
Отток средств. За первые девять с половиной часов после возобновления работы платформа обработала 4,65 млрд выводов и 1,01 млрд пополнений. Чистый отток составил 3,64 млрд, что соответствует 2,1 % активов, находившихся на счетах за день до атаки.
Безопасность. Со-генеральный директор Ричард Тенг объявил о восстановлении и повторном тестировании всей инфраструктуры, а также о полном пересмотре мер безопасности во всей компании. Binance опубликует отчёт о расследовании, проведённом совместно с правоохранительными органами и компаниями, занимающимися анализом блокчейна.
Замороженные средства. Tether заблокировал около 1,5 млрд в USDT, а Circle — 800 млн в USDC. Компания Elliptic подтвердила заморожение средств на сумму 2,8 млрд.
Рынок. Биткоин потерял около 4 % после появления новости, но затем снова поднялся выше отметки в 78 000 долларов. Сектор уже находился в фазе продолжительного спада.
Предыдущий случай: Bybit, февраль 2025 года
21 февраля 2025 года северокорейские хакеры похитили у Bybit более 400 000 ETH и stETH на сумму около 1,5 миллиарда долларов из одного мультиподписного холодного кошелька. До атаки на Binance это было крупнейшее кража криптовалюты в истории.
Ход событий. Это была атака на цепочку поставок: взломанной оказалась не сама Bybit, а Safe{Wallet} — поставщик мультиподписного кошелька. Хакеры взломали компьютер одного из разработчиков Safe и заменили файл JavaScript интерфейса вредоносным кодом, действующим только при транзакциях Bybit. Подписанты одобрили то, что казалось обычным переводом, но на самом деле передало контроль над кошельком злоумышленникам. Смарт-контракт Safe так и не был взломан.
Реакция. Bybit не приостанавливала вывод средств, несмотря на пиковые нагрузки, превышавшие обычный объем почти в 100 раз. За несколько часов компания получила промежуточные кредиты на сумму, равную примерно 80 % утраченных ETH, и решила не покупать ETH на рынке. Среди мер помощи — ссуда в размере 40 000 ETH от Bitget без процентов и залогов, возвращённая через три дня. К 24 февраля биржа получила 1,23 млрд ETH в виде ссуд, депозитов крупных инвесторов и внебиржевых покупок, что позволило покрыть убыток. Аудит, проведённый Hacken, впоследствии подтвердил, что резервы превышали 100%.
Сравнение
Одинаковый автор и одинаковое уязвимое место, но масштаб, ущерб и реакция оказались совершенно разными.
Размеры и системный риск. Binance — крупнейшая биржа в мире с активами на хранении на сумму около 140 миллиардов, и атака произошла на рынке, который и без того находился в состоянии спада. Bybit была более мелким оператором; более того, в 2025 году Binance была одной из бирж, которые помогли ей восстановить ликвидность. К моменту возобновления работы чистый отток средств составил 2,1 % от активов: эта доля, по крайней мере в первые часы, не свидетельствует о массовом оттоке средств.
Влияние типа активов. Разница в объемах замороженных средств зависит от характера похищенных активов. Эмитенты стейблкоинов могут заблокировать свои токены, что невозможно в случае с ETH. Поэтому в случае с Binance удалось остановить почти половину суммы, тогда как в случае с Bybit — практически ничего.
Регуляторный контекст. У Binance за плечами тяжелое прошлое: штраф в размере 4,3 млрд в США в 2023 году, уход из ЕС в июле из-за отсутствия лицензии и исключение из Великобритании с 2021 года. Сегодня компания регулируется в Абу-Даби, где регулирующий орган внимательно следит за этим делом.
Выводы и открытые вопросы
Обе атаки подтверждают, что Северная Корея нацелена на рабочие места отдельных разработчиков — как внутри биржи, так и у её поставщиков. Случай с Binance гораздо масштабнее, но частично сдерживается замораживанием стейблкоинов. Реакция на атаки оказалась противоположной: Bybit сделала ставку на непрерывность вывода средств и помощь конкурентов, а Binance — на временное закрытие и собственные резервы. Возобновление работы в воскресенье, при умеренном оттоке средств и покрытии выплат уже на 95 %, знаменует собой первый шаг к нормализации ситуации.
- Остаются открытыми некоторые вопросы:
- • Останется ли отток средств умеренным, когда все активы снова станут доступны для вывода?
- • Сколько времени потребуется на покупку 5 % малоликвидных токенов, которых пока не хватает для покрытия выплат?
- • Что раскроет обещанный Binance отчет о дополнительных уязвимостях?
- • Какая часть из примерно 3,3 млрд, конвертированных в незамороженные активы, будет отслежена или возвращена?
- Источники
- • Financial Times, «Binance приостановила вывод средств после рекордного ограбления на 6,3 млрд долларов»
- • Financial Times, «Пользователи Binance вывели 3,6 млрд долларов, когда криптовалютная биржа возобновила работу после ограбления»
- • BleepingComputer: Lazarus атаковала Bybit через взломанный компьютер Safe {Wallet}
- • Reflectiz: анатомия атаки на Bybit
- • Bybit: официальная хроника инцидента
- • DL News: промежуточный кредит Bybit
- • Nansen Research: реакция Bybit и потоки средств
- • CNBC через NBC: восстановленные резервы и аудит Hacken
- • Today in the Markets: погашение кредита Bitget
Отказ от ответственности
Настоящий пост отражает личное мнение сотрудников Custodia Wealth Management, подготовивших его. Он не является инвестиционными советами или рекомендациями, не представляет собой индивидуальную консультацию и не должен рассматриваться как приглашение к совершению сделок с финансовыми инструментами.
