Злам Binance на $6,3 млрд: Chainalysis пов'язує атаку з КНДР

Як злочинці отримали доступ до систем Binance

Binance попередньо пов'язує інцидент зі зломом ноутбука одного з DevOps-інженерів. Через нього, за версією компанії, нападники дісталися до службового контейнера і ініціювали несанкціоновані транзакції на виведення активів.

Пізніше біржа повідомила, що розслідування знайшло додаткові точки проникнення в її системи. Компанія назвала атаку складною та разом із правоохоронцями з'ясовує обставини інциденту. Binance заявила, що не виявила доказів витоку приватних ключів гаманців, а остаточну причину ще не встановлено. Детальний звіт біржа обіцяє опублікувати після завершення розслідування.

Скільки коштів вивели і в яких мережах

Аналітики TRM Labs оцінюють викрадену суму приблизно в $6,36 млрд, вилучену з гаманців біржі в десяти мережах. Більшість коштів зникла приблизно за 20 хвилин.

Атака зачепила також XRP Ledger, Solana, Arbitrum, Avalanche та інші мережі. Названі суми за трьома найбільшими напрямами не охоплюють всю викрадену суму, решта в джерелі не розбита.

Хто стоїть за атакою і як працював механізм

Більшість експертів пов'язують злам із хакерами КНДР. Chainalysis вказує, що кошти, викрадені північнокорейськими хакерами під час зламу Bitget у вересні, змішуються з коштами, вкраденими у Binance, і висловлює високу впевненість у причетності КНДР.

Фахівці TRM Labs виявили, що на одному з гарячих гаманців Ethereum нападники застосували EIP-7702. Цей механізм дає змогу передати керування гаманцем смартконтракту за допомогою підписаного дозволу. За даними TRM Labs, нападник заздалегідь підготував 50 таких дозволів. Схожі несанкціоновані перекази відбулися одночасно в інших блокчейнах, тож експерти припускають доступ до інфраструктури, яка відповідає за підписання транзакцій у Binance.

Заморожування коштів і спроба обміну на незаблоковані активи

Біржа призупинила введення та виведення коштів, скасувала дозвіл для ураженої адреси й звернулася до правоохоронців. Також Binance попросила допомоги в емітентів стейблкоїнів та аналітичних компаній. Після зупинки виведення нові відтоки вдалося зупинити, а разом із партнерами заблокувати приблизно $3 млрд.

За оцінкою ончейн-аналітика ZachXBT, станом на момент написання заморозили понад $2,83 млрд. Частину стейблкоїнів зловмисники намагалися обміняти на активи, які централізований емітент не може заблокувати. За даними TRM Labs, близько 325 млн USDT обміняли через UniswapX та інші сервіси приблизно на 122 300 ETH. Ще 60 млн USDT внесли до Aave як забезпечення і отримали близько 19 760 ETH вартістю $44,6 млн.

Протокол Aave тимчасово призупинив кредитні ринки V3 і V4; обмеження зачепили сотні резервів у різних мережах. За словами самого Aave, його контракти не постраждали, а позиції залишаються з надлишковим забезпеченням.

Реакція ринку: падіння BTC, ETH і BNB

На момент написання біткоїн подешевшав майже на 3 % за добу, у моменті опустившись до $76 300. Ethereum знизився до $2178 і оновив двомісячний мінімум. Токен BNB у моменті втрачав до 8 %. Суттєво просіли й інші активи, зокрема AAVE.

Що це означає для ринку

• Масштаб перевищує попередній рекорд: за оцінкою джерела, це найбільший злом в історії галузі, він перевершив атаку на Bybit у лютому 2025 року.
• Централізований контроль стейблкоїнів має межі: частину USDT зловмисники обміняли на ETH, який емітент заблокувати не може.
• Внесення USDT в Aave призвело до тимчасового заморожування ринків кредитування V3 і V4. Компанія стверджує, що відшкодує втрати з SAFU і власних грошей, проте підсумкової суми невідшкодованих втрат поки немає.

Часті питання