Злам Binance 29 жовтня 2026: як зловмисники вивели $6,15 млрд з гарячих гаманців біржі
Binance 29 жовтня 2026 року втратила близько $6,15 млрд унаслідок несанкціонованих виведень, які тривали 31 хвилину. Зловмисники обійшли приватні ключі та ініціювали переекази через внутрішню інфраструктуру біржі.
Масштаб і перебіг виведення
Аудит транзакцій, проведений платформою ончейн-аналітики BitOK, зафіксував витік на суму $6,15 млрд, розподілену між дев'ятьма блокчейнами. Раніше сама Binance оцінювала збитки у $6,3 млрд.
Виведення з гарячих гаманців тривало з 20:04:52 до 20:35:53 UTC. Найбільші позиції за оцінкою BitOK: біткойнів — 18 270,2, ефіру — 197 540, USDT — 2,49 млрд, а USDC — 823 млн. Окремо йдеться про 233,46 млн XRP і близько 970 522 SOL, а також токени інших найменувань.
Як працювала схема атаки
Атакувальники не викрадали приватні ключі. Замість цього вони ініціювали підписання транзакцій через внутрішні системи біржі. Зловмисник скомпрометував ноутбук DevOps-інженера і через контейнер внутрішнього сервісу подавав фіктивні заявки на виведення.
Перед атакою оператор протестував смартконтракт на власних гаманцях у мережі Ethereum. Механізм EIP-7702 дозволяв гаманцю делегувати право дій смартконтракту. Щоб ця схема спрацювала, потрібен був актуальний номер транзакції (nonce), тому зловмисник о 20:20:59 UTC надіслав до системи 50 запитів з різними значеннями. Один із них пройшов.
Через кілька хвилин з гаманця Binance 14 вивели активи 65 токенів на суму понад $2,2 млрд. Окремо з гаманця Binance 16 вивели 28 005,6 ETH і 55,7 млн USDT через дев'ять хибних транзакцій, підписаних системою разом із реальними виплатами.
Заблоковані та втрачені кошти
Частину активів вдалося заблокувати. Станом на опис інциденту Tether і Circle заблокували такі суми:
| Мережа та токен | Обсяг |
|---|---|
| Ethereum USDT | 1,38 млрд |
| Ethereum USDC | 823 млн |
| Tron USDT | 378,7 млн |
| Avalanche USDt | 8,4 млн |
| Разом | 2,59 млрд |
Загалом заблоковано, вилучено чи знищено активів на суму близько $2,79 млрд. Водночас 669 млн USDT встигли конвертувати в ETH і TRX. Гаманець Binance 14 залишався під контролем зловмисника майже чотири години, поки 30 жовтня о 00:10:35 UTC передачу контролю не припинили.
Зв'язок з атакою на Bitget
BitOK виявив, що викрадені кошти Binance надійшли на ту саму адресу в Ethereum, яка раніше отримувала активи зламу Bitget у вересні 2026 року. Збіг лише за адресою, за оцінкою BitOK, не визначає реальних виконавців обох атак.
Bitget раніше поклав відповідальність за свій інцидент на структуровані групи з Північної Кореї. BitOK називає схожі риси обох атак: фінансування через Tornado Cash, миттєві обміни токенів і підготовчу активність у робочі години UTC+9.
Реакція Binance
Близько 20:36 UTC біржа зупинила виведення з гарячих гаманців BTC і Tron, а депозити залишалися відкритими. Binance пообіцяла відшкодувати користувачам збитки з фонду захисту SAFU та власних активів компанії.
Що це означає для ринку
Атака показала, що захист лише приватних ключів не покриває ризики великих бірж. За висновком BitOK, біржам потрібні додаткові рівні контролю над повноваженнями підписання.
Випадок із Binance ілюструє обмеженість вибудови безпеки лише довкола приватних ключів.
BitOK, аналітична платформа ончейн-аналітики
Стейблкойни USDT і USDC можна заморозити на рівні емітента, тому частину викрадених коштів вдалося зупинити. Нативні активи BTC, ETH і TRX заблокувати неможливо, і саме вони стали основною частиною втрат.
Примітка редакції: Сума $6,15 млрд — оцінка BitOK; Binance раніше називала $6,3 млрд. Обидві цифри наведено як різні оцінки.
Примітка редакції: Заблоковані Tether і Circle суми в таблиці дають 2,59 млрд, загальна сума заблокованих, вилучених або знищених активів — близько 2,79 млрд; решта в джерелі не деталізована.
Примітка редакції: Частина обсягів у джерелі приблизна (наприклад, «приблизно 970 500 SOL», «понад $2,2 млрд»).
Часті питання
Скільки коштів вивели з Binance 29 жовтня 2026 року?
За аудитом BitOK, з Binance вивели близько $6,15 млрд. Раніше сама біржа оцінювала збитки у $6,3 млрд. Виведення з гарячих гаманців тривало 31 хвилину, з 20:04:52 до 20:35:53 UTC, і охопило дев'ять блокчейнів, зокрема Ethereum, Tron, Solana та біткойн. Атака вплинула на кілька мереж одразу.
Чи викрали приватні ключі Binance?
Ні, за даними джерела, зловмисник не отримував приватних ключів. Він ініціював підписання транзакцій через внутрішню інфраструктуру біржі, зокрема через скомпрометований ноутбук DevOps-інженера та контейнер внутрішнього сервісу. Джерело описує це як обхід захисту, що спирається лише на приватні ключі. Це показало обмеженість такого підходу.
Чи повернуть користувачам гроші після зламу Binance?
Біржа пообіцяла відшкодувати користувачам збитки: кошти для цього візьмуть із фонду захисту SAFU та власних активів компанії. Терміни і точний обсяг відшкодування в джерелі не зазначено, тож деталі варто відстежувати в офіційних повідомленнях біржі. Звернення від Richard Teng опубліковано 30 жовтня 2026 року.
Яку частину викрадених коштів заблокували?
Tether і Circle заблокували близько $2,59 млрд. Загалом заблоковано, вилучено чи знищено активів на суму близько $2,79 млрд. Водночас 669 млн USDT встигли конвертувати в ETH і TRX, тому їх заблокувати не вдалося. Блокування не застосовується до нативних активів BTC, ETH і TRX.
Раніше ми писали
- Відтік $2 млрд з Binance: що спричинило ліквідації — 30.10.2026
- AXIS втратив 40% після продажу 42 млн токенів — 30.10.2026
- XRP: що сигнал покупців на Binance не підтверджує — 30.10.2026
Джерела
