В ночь на 30 октября 2026 года криптомир проснулся от новости, которую сначала никто не хотел принимать всерьёз: с горячих кошельков Binance за каких-то 40 минут утекло около $5,8 млрд. Если цифра подтвердится окончательно, это побьёт рекорд февральского взлома Bybit 2025 года (около $1,5 млрд) и станет самой крупной кражей в истории криптобирж. Далее расскажем, что произошло, как это стало возможно и почему обычному пользователю стоит об этом знать.
Что произошло с Бинанс 30 октября 2026 года
Горячий кошелёк - это как касса в магазине: в нём лежат деньги, к которым нужен быстрый доступ здесь и сейчас. Именно такие кошельки Binance, помеченные в блокчейне как «Binance 14», «Binance 16» и другие, и опустели в ту ночь.
Хронология впечатляет своей скоростью. В 04:20 по пекинскому времени в сеть ушла одна транзакция с 50 запросами на «авторизацию». Примерно через три минуты началась перекачка активов. В 04:24 с кошелька Binance 14 ушли 167 464 ETH, около 1,6 млрд USDT и ещё 63 вида токенов, одна транзакция почти на $2,5 млрд. Через 24 секунды второй кошелёк отправил на тот же адрес ещё 28 тыс. ETH. Дальше USDC, ещё ETH, переводы по нескольким блокчейнам. К утру атакующий завершил четыре раунда операций.
Как украли криптовалюту с Binance
Здесь начинается самое интересное, и это стоит понять даже далёкому от технических подробностей читателю.
Обычно мы представляем взлом биржи так: хакер каким-то образом вытащил секретный ключ от кошелька и просто забрал деньги. В этот раз было иначе. После инцидента Binance всё ещё могла пользоваться тем же самым ключом, чтобы вернуть себе часть мелких токенов, которые не успели увести. Значит, ключ никуда не пропадал.
Что же тогда произошло? Хакер не украл ключ. Он обманом заставил систему подписи биржи саму подписать разрешение на передачу контроля над кошельком чужому контракту. Грубая аналогия: вы не отдавали незнакомцу ключи от квартиры, но подписали у нотариуса доверенность, по которой он может распоряжаться вашей квартирой. Формально всё законно, вот только подписывали вы её, не понимая, что именно подписываете.
Технически это стало возможно благодаря относительно новому стандарту под названием EIP-7702. Если совсем просто: этот стандарт позволяет обычному кошельку «одолжить» свой функционал умному контракту чтобы, например, платить комиссии удобнее или восстанавливать доступ. Задумано это для удобства. Но у медали есть обратная сторона: одно такое разрешение действует не один раз, а постоянно. Достаточно один раз уговорить систему подписи одобрить вредоносное разрешение, и дальше хакеру уже не нужно подделывать каждую транзакцию. Он получает постоянный канал доступа.
Специалисты Blockaid назвали это «нецелевым использованием ключа» (key misuse) и подчеркнули: это не утечка приватного ключа, а манипуляция системой подписи. Похожая история, кстати, была с Bybit в 2025 году: там хакеры тоже не трогали сам ключ, а обманули людей и системы, которые этот ключ использовали. Специалисты отмечают, что почерк очень напоминает атаки, связанные с Северной Кореей.
Конкретным техническим носителем стал EIP-7702. Это предложение позволяет внешним владеющим счетам (EOA) делегировать право исполнения коду смарт-контракта. Ончейн-анализ Blockaid показывает, что атакующий упаковал 50 авторизаций EIP-7702 в одну транзакцию, нацеленную на Binance 14. Nonce одной из авторизаций совпал с требуемым состоянием счёта, и благодаря этому сеть её приняла. Затронутый счёт был делегирован непроверенному контракту «sweeper», который позволяет назначенному оператору переводить токены и ETH. Иными словами, атакующий не взломал приватный ключ, а заставил систему подписи «добровольно» подписать авторизацию на передачу контроля над кошельком контракту атакующего. Как только авторизация вступила в силу, последующие переводы с точки зрения цепи выглядели полностью легитимными.
Интересная деталь, которую заметили ончейн-аналитики (люди, которые изучают блокчейн как открытую книгу). Ещё 28–29 октября, то есть за сутки с лишним до основной операции, некий новый адрес получил через Tornado Cash (сервис для запутывания следов) три перевода примерно по 0,1 ETH. Сумма смешная, но назначение понятное: это деньги на комиссию за транзакции. Биржа не платит комиссии через миксер, так что это был первый звоночек. А за 3,5 часа до дела хакер прогнал два тестовых перевода на небольшом кошельке, т.е. проверил, что схема работает.
В течение часа после раскрытия инцидента вмешательство эмитентов централизованных стейблкоинов стало единственным действенным средством остановки потерь. CEO Tether Paolo Ardoino подтвердил заморозку около 1,567 млрд USDT (первоначально было объявлено о 971 млн, затем сумма была повышена), CEO Circle Jeremy Allaire подтвердил заморозку около 823 млн USDC. Общая сумма подтверждённых заморозок, объявленная позже Binance, составила $2,54 млрд. Ripple также заморозила около 40,54 млн RLUSD.
Однако эффективность заморозки имеет структурные границы. Эмитенты стейблкоинов сохраняют право замораживать произвольные адреса, поэтому похищенные хакером USDT и USDC с большой вероятностью останутся заблокированными на месте. Для ETH и BTC такой централизованной точки вмешательства не существует. Данные отслеживания показывают, что в процессе перевода атакующий конвертировал около 435 млн USDT в примерно 160 тыс. ETH. По тогдашним ценам сама эта конвертация привела к потере стоимости около $70 млн, но цель была ясна: превратить замораживаемые активы в незамораживаемые. По состоянию на 07:40 30 октября почти 460 тыс. ETH всё ещё находились на четырёх совершенно новых адресах, имеющих только записи о поступлениях. В тот же день горячий биткоин-кошелёк Binance вывел 18 270 BTC и распределил их по 19 новым адресам. Arkham уже пометил их как связанные с хакером, но Binance не подтвердила причастность BTC в публичном заявлении.
Почему взлом Binance касается всех.
Может показаться: ну украли у биржи, мне-то что? Но выводы здесь важны для каждого, кто держит криптовалюту.
Во-первых, атака была не на «дырявый код» какого-то контракта. Ни SlowMist, ни Blockaid не нашли дефектов в собственных смарт-контрактах Binance. Проблема была в процессе подписи, а именно в том, как система проверяет, что именно ей предлагают подписать. Когда хакеры перестают «воровать ключи» и начинают «обманывать подпись», защищаться нужно иначе: не только хранить ключи в сейфе, но и внимательно проверять смысл каждой подписи до того, как она сработает.
Во-вторых, это уже не первый случай в 2026 году. В сентябре Bitget потеряла $387,5 млн из-за уязвимости в стороннем security-продукте. Хакеры подделывали команды на вывод и обходили защиту. Тогда же взломали сайдчейн Liquid Network: злоумышленники «напечатали» себе неподкреплённые L-BTC и вывели 4 000 BTC. Общая картина: криптография сама по себе надёжна, но всё, что вокруг неё: рабочие процессы, инфраструктура, человеческий фактор, остаются уязвимыми.
Вывод: Главный урок, пожалуй, звучит так. В 2026 году, когда инструменты атак с искусственным интеллектом развиваются быстрее, чем защита, вопрос «взломают ли биржу» уже почти ни у кого не вызывает сомнений. Все исходят из того, что это возможно. Настоящий вопрос другой: успеет ли система распознать злой умысел за те миллисекунды, пока подпись ещё не вступила в силу? Именно на этот рубеж теперь смещается вся борьба за безопасность.
Для обычного пользователя этот случай с Binance лишний раз подтверждает, что беспокоиться нужно не только о сохранности приватных ключей и seed фраз, но и хотя бы минимально разбираться в блокчейн технологиях, что бы собственными руками не подписать хакерский смарт-контракт и не потерять все активы всего лишь нажатием одной кнопки.
