Вечер 29 октября 2026 года стал для крипты тем же, чем день для акций: сначала Nasdaq терял 1,4% на отчётах Alphabet, Amazon и Intel, а после закрытия американских рынков из горячих кошельков Binance ушли миллиарды. Биржа оценила ущерб в 6,3 млрд долларов - это крупнейшая кража в истории отрасли. Прежний рекорд, взлом Bybit на 1,5 млрд в феврале 2025-го, превышен более чем в четыре раза.
В тот же четверг пользователи Polymarket потеряли около 2,65 млн долларов. Две атаки, две разные точки входа: у Binance - ноутбук инженера и подписывающая инфраструктура, у Polymarket - скрипт стороннего подрядчика. Общее одно: периметр обороны прошёл не через смарт-контракты, а через людей и вендоров.
Рис. 1. Крупнейшие кражи в крипте, млн долларов. Данные: Binance, TRM Labs, СМИ.
Совместный директор Binance Ричард Тенг уточнил: это не «одно нажатие» и не использование прав одного сотрудника, а более сложный процесс; ответственность пока не возложена ни на кого конкретно. Расследование продолжается, технический отчёт обещан после проверки фактов.
Биржа приостановила ввод и вывод, отозвала авторизацию затронутого адреса и пообещала покрыть все потери из фонда SAFU и собственных средств. Около 3 млрд долларов удалось заморозить на блокчейнах: Tether - 1,57 млрд USDT, Circle - около 0,8 млрд USDC, Arbitrum - 30,5 млн.
Механика нетипична для крипты. Атакующий не подбирал ключи, а воспользовался EIP-7702 - стандартом Ethereum, который позволяет обычному кошельку делегировать исполнение смарт-контракту. По оценке Blockaid, он отправил 50 авторизаций подряд, чтобы попасть в актуальный nonce, и сработала одна. После этого кошелёк Binance 14 отправил 167 464 ETH и 63 токена, включая 1,6 млрд USDT, ещё 28 005 ETH пришли с Binance 16, а биткоин-кошелёк отдал 18 270 BTC. Ключи формально не утекли, но подписи под переводами были настоящими: их ставила инфраструктура самой биржи, которой управлял атакующий.
У хакеров, по оценке The Hacker News, осталось более 420 тыс. ETH и 18 270 BTC на сумму около 2,4 млрд долларов. Остальное - в стейблкоинах, которые эмитенты могут заморозить, и именно поэтому доля возврата у Binance выше, чем у Bybit годом ранее.
Рис. 2. Ущерб Binance: заморожено и осталось у хакеров, млрд долларов. Данные: Binance, TRM Labs.
Суммы в оценках росли на глазах: 2 млрд, 3,5 млрд, 5,6 млрд, 6,3 млрд. Часть СМИ сначала писала об утечке приватных ключей - Binance это отрицает. Одни аналитики говорят о краже, другие - о злоупотреблении подписями: юридически транзакции санкционировала сама биржа. Отдельная версия - инсайдер: её прямо не подтверждают, но и не исключают, а Binance подчёркивает, что дело не в правах одного инженера. Ещё один слух - будто за Binance и Polymarket стоит одна группа. Доказательств нет: атаки шли разными путями, и связь пока не установлена.
Но официального обвинения нет: Binance преступника не называла, власти США пока молчат. Есть и контраргументы. Северокорейские группы обычно выводят и отмывают средства быстрее, чем это делали в четверг. А в деле Bitget глава компании Грейси Чен не исключала инсайдера. Так что версия КНДР - самая сильная, но пока не доказанная.
По оценкам Arkham и Bubblemaps, пострадали около 700 аккаунтов, ущерб - примерно 2,65 млн долларов. Торги возобновились примерно через час, платформа пообещала полностью компенсировать потери; сид-фразы пользователей не пострадали. Это уже второй инцидент Polymarket за год: в мае взломали внутренний админ-кошелёк на 700 тыс. долларов.
В тот же четверг пользователи Polymarket потеряли около 2,65 млн долларов. Две атаки, две разные точки входа: у Binance - ноутбук инженера и подписывающая инфраструктура, у Polymarket - скрипт стороннего подрядчика. Общее одно: периметр обороны прошёл не через смарт-контракты, а через людей и вендоров.
Рис. 1. Крупнейшие кражи в крипте, млн долларов. Данные: Binance, TRM Labs, СМИ.
Ноутбук инженера
Официальная версия Binance появилась ночью 30 октября. «Первичное расследование предполагает, что инцидент мог быть связан со взломанным ноутбуком DevOps-инженера, что позволило атакующему получить доступ к сервисному контейнеру и отправить несанкционированные транзакции на вывод», - говорится в заявлении биржи. Следов утечки приватных ключей кошельков компания не нашла.Совместный директор Binance Ричард Тенг уточнил: это не «одно нажатие» и не использование прав одного сотрудника, а более сложный процесс; ответственность пока не возложена ни на кого конкретно. Расследование продолжается, технический отчёт обещан после проверки фактов.
Биржа приостановила ввод и вывод, отозвала авторизацию затронутого адреса и пообещала покрыть все потери из фонда SAFU и собственных средств. Около 3 млрд долларов удалось заморозить на блокчейнах: Tether - 1,57 млрд USDT, Circle - около 0,8 млрд USDC, Arbitrum - 30,5 млн.
Двадцать минут и десять сетей
По данным TRM Labs, из кошельков Binance ушло около 6,36 млрд долларов по десяти блокчейнам. Bitquery насчитал 17 горячих кошельков и девять сетей: основная часть денег ушла примерно за 20 минут, но добивание новых депозитов продолжалось почти четыре часа.Механика нетипична для крипты. Атакующий не подбирал ключи, а воспользовался EIP-7702 - стандартом Ethereum, который позволяет обычному кошельку делегировать исполнение смарт-контракту. По оценке Blockaid, он отправил 50 авторизаций подряд, чтобы попасть в актуальный nonce, и сработала одна. После этого кошелёк Binance 14 отправил 167 464 ETH и 63 токена, включая 1,6 млрд USDT, ещё 28 005 ETH пришли с Binance 16, а биткоин-кошелёк отдал 18 270 BTC. Ключи формально не утекли, но подписи под переводами были настоящими: их ставила инфраструктура самой биржи, которой управлял атакующий.
У хакеров, по оценке The Hacker News, осталось более 420 тыс. ETH и 18 270 BTC на сумму около 2,4 млрд долларов. Остальное - в стейблкоинах, которые эмитенты могут заморозить, и именно поэтому доля возврата у Binance выше, чем у Bybit годом ранее.
Рис. 2. Ущерб Binance: заморожено и осталось у хакеров, млрд долларов. Данные: Binance, TRM Labs.
Слухи: от «планового обслуживания» до инсайдера
Первые часы дали классический набор версий. В 20:24 UTC, когда с кошелька Binance 14 ушли 167 тыс. ETH, исследователь Spreek предположил: «Это может быть плановым обслуживанием кошельков, но выглядит крайне подозрительно». Теория прожила недолго: получателем был новый адрес, а деньги сразу разошлись дальше.Суммы в оценках росли на глазах: 2 млрд, 3,5 млрд, 5,6 млрд, 6,3 млрд. Часть СМИ сначала писала об утечке приватных ключей - Binance это отрицает. Одни аналитики говорят о краже, другие - о злоупотреблении подписями: юридически транзакции санкционировала сама биржа. Отдельная версия - инсайдер: её прямо не подтверждают, но и не исключают, а Binance подчёркивает, что дело не в правах одного инженера. Ещё один слух - будто за Binance и Polymarket стоит одна группа. Доказательств нет: атаки шли разными путями, и связь пока не установлена.
Почему винят КНДР
TRM Labs заявила, что с «высокой степенью уверенности» атаку провёл TraderTraitor - подразделение северокорейской группы Lazarus. Chainalysis пришла к тому же выводу, обнаружив, что украденные в сентябре у Bitget 388 млн долларов смешивались с деньгами Binance. ZachXBT и Check Point также указывают на Lazarus; аналитики напоминают, что в 2025-м именно эта группа стояла за Bybit.Но официального обвинения нет: Binance преступника не называла, власти США пока молчат. Есть и контраргументы. Северокорейские группы обычно выводят и отмывают средства быстрее, чем это делали в четверг. А в деле Bitget глава компании Грейси Чен не исключала инсайдера. Так что версия КНДР - самая сильная, но пока не доказанная.
Polymarket: тот же день, другой фронт
Polymarket потерял куда меньше, но показал более неприятный класс уязвимости. Около 14:33 по Нью-Йорку платформа остановила торги: один из сторонних провайдеров, по данным CNBC британская DebugBear, был скомпрометирован. В её скрипте, который грузился на polymarket.com, Hudson Rock нашёл код, искавший активную торговую сессию пользователя и выводивший средства.По оценкам Arkham и Bubblemaps, пострадали около 700 аккаунтов, ущерб - примерно 2,65 млн долларов. Торги возобновились примерно через час, платформа пообещала полностью компенсировать потери; сид-фразы пользователей не пострадали. Это уже второй инцидент Polymarket за год: в мае взломали внутренний админ-кошелёк на 700 тыс. долларов.
⚠
Две атаки за один день показали, где на самом деле проходит граница обороны. Не в смарт-контрактах и не в холодных хранилищах, а в ноутбуке инженера и в скрипте подрядчика. Три миллиарда заморозить удалось, 3,3 млрд - нет; BTC падал до 76 368 долларов, ETH - до 2 178, ликвидации превысили 1,5 млрд. Пока идёт расследование, вывод простой: «не ваши ключи - не ваши монеты» теперь работает и в обратную сторону. Даже чужие ключи не спасают, если подписывает инфраструктура, которой управляет атакующий.