Як хакери вивели $2,5 млрд з гаманця Binance: механізм атаки за даними Blockaid

Що сталося 29 жовтня 2026 року

Blockaid оцінює збиток у приблизно $2,5 млрд, який став результатом виведення з гарячого гаманця Binance 14. Звідти зникли 167 464 ETH, 1,615 млрд USDT і близько 60 інших токенів.

Далі відбулися додаткові переказ. Спустя лічені секунди Binance 16 відправив на той самий адресат 28 005,6 ETH та інші активи, а протягом 12 хвилин подібні операції зачепили ще десять гарячих гаманців.

• Загальна сума: приблизно $2,5 млрд у першій транзакції.
• Додаткові гаманці: десять гарячих гаманців на Optimism, Arbitrum та Avalanche.
• Тривалість: 12 хвилин після першого масштабного виведення.

Як готувалася атака

Підготовка, за оцінкою Blockaid, почалася щонайменше за добу до головного виведення. Гаманець оператора поповнили трьома переказами з Tornado Cash, після чого зловмисник перевірив делегування та переміщення активів на трьох власних адресах.

Потім він розгорнув смартконтракт із функцією sweep, яка переказувала Ethereum і визначені токени на іншу адресу. Саме цей контракт став інструментом вилучення коштів.

Чому делегування дало змогу вивести кошти повторно

Зловмисник надіслав транзакцію з 50 авторизаціями EIP-7702, підписаними для Binance 14. Кожна мала свій nonce в діапазоні від 18 914 775 до 18 914 824, адже актуальний nonce гаманця змінювався під час роботи.

Спрацювала одна з авторизацій. Через чотири хвилини хакер викликав функцію sweep. Пізніше він знову вилучив приблизно 200 млн доларів у USDT і решту активів, що потрапили на рахунок після початкової транзакції. Делегування залишалося чинним, тож нова підпис-авторизація для кожного виведення не знадобилася.

1. Система Blockaid помітила підозрілу операцію за 1 хвилину 55 секунд від початку великого виведення.
2. Механізм делегування та ознаки несанкціонованого підписання компанія встановила за 11 хвилин.

Заморожування активів і резерви Binance

Компанії Tether і Circle зупинили рух близько $1,8 млрд, що осіли на центральному накопичувальному рахунку, як пише Blockaid. Монети Ethereum і частина інших рідних активів мережі не належать жодному емітенту, тому замороження на рівні контракту токена неможливе.

Binance зарезервувала понад $6,3 млрд для покриття збитків. Раніше цього місяця Bitget підтвердила злом на $351,6 млн, а пізніше розмір збитків оцінили у $387,5 млн.

Що це означає для ринку

Атака показала, що захист гарячих гаманців не можна обмежувати контролем звичайних переказів. Делегування через EIP-7702 потребує перевірки до підпису, а зміни коду гаманців мають перебувати під постійним моніторингом.

Blockaid наголошує на політиках, які перевіряють транзакції до створення підпису, і на інструментах, що швидко виявляють підозрілу активність. Повний механізм проникнення в інфраструктуру Binance і спосіб отримання авторизацій поки невідомі.

Часті питання