Взлом Binance на $6,3 млрд и Bybit на $1,5 млрд: механика, отмывание, адреса

Коротко (TL;DR)

Вечером 29 октября 2026 года случился крупнейший взлом биржи в истории криптовалют. С горячих кошельков Binance примерно за 36 минут (20:05–20:41 UTC) ушла основная часть средств, остальное — второй волной до полуночи; всего, по оценке самой биржи, около $6,3 млрд. Сообщения «Binance hacked» в ту ночь оказались правдой: инцидент подтвердила сама биржа, а сумма примерно вчетверо больше прежнего рекорда — взлома Bybit на $1,5 млрд в феврале 2025 года. Статья из двух частей: сначала разбираем Binance, потом — как взломали Bybit и что за 20 месяцев стало с украденным.

• Как вошли в Binance. По предварительным данным самой Binance — через скомпрометированный ноутбук DevOps-инженера, оттуда в сервисный контейнер, который отправлял выводы. Утечки приватных ключей биржа не нашла. Подробного разбора (post-mortem) на 30 октября нет.
• Что видно в блокчейне. В Ethereum хакер включил на кошельке Binance функцию EIP-7702 и превратил его в «пылесос»: 50 заранее подписанных разрешений, одно сработало. В девяти других сетях кошельки Binance просто подписали переводы на адреса атакующего.
• Что заморожено. На утро 30 октября — около $3 млрд по данным Binance (около $2,7 млрд по подсчёту TRM Labs); почти всё это стейблкоины, которые эмитенты умеют блокировать. Биткоин и эфир заморозить нельзя: у хакера, по TRM на утро 30 октября, остаётся более 420 тыс. ETH и 18 270 BTC.
• Кто. Аналитические фирмы TRM Labs и Chainalysis считают исполнителем северокорейскую группу TraderTraitor. Это оценка частных компаний, официального вывода ФБР по Binance пока нет.
• Что с деньгами клиентов. Binance обещает покрыть убытки из фонда SAFU и собственных средств. Депозиты работают, выводы на 30 октября на паузе — возобновить их биржа рассчитывает в течение 48 часов.
• Bybit для сравнения. Там атаковали не биржу, а разработчика сервиса Safe{Wallet}: подменили интерфейс, и подписанты Bybit сами одобрили вредоносную транзакцию. Весь украденный ETH за 10 дней обменяли на биткоин через THORChain, дальше деньги месяцами шли через миксеры; к августу 2026 года вернуть и заморозить удалось около 5%.

Взлом Binance 29 октября: хронология атаки по минутам

Атака не была одномоментной. По данным TRM Labs, подготовка началась минимум за 36 часов, сама кража шла волнами по десяти блокчейнам, а заморозки начались примерно через полчаса после основного вывода. В таблице — время в UTC и по Киеву (29 октября Украина уже на зимнем времени, UTC+2). Сводку событий того вечера на рынке мы давали в новости про взлом Polymarket и отток с кошельков Binance; здесь — разбор механики.

Обратите внимание на порядок. Сначала ушли активы, которые заморозить нельзя совсем (XRP, BTC, SOL), потом — эфир и стейблкоины одной крупной транзакцией. Хакер явно понимал, что у него есть минуты до реакции Tether и Circle: первая заморозка USDT случилась через 37 минут после основного вывода, USDC — через 40.

Реакция рынка. 29–30 октября биткоин опускался ниже $77 000 (на 4–5% за сутки), BNB падал на 8% примерно до $693, эфир — на 5,7%. Ликвидации за сутки превысили $1,5 млрд, индекс страха и жадности опустился до 30. На 30 октября, 06:00 UTC, по данным CoinGecko, BTC стоил $78 407 (−2,19% за 24 часа), BNB — $715,67 (−5,16%).

доля, а не целая акция

Binance · Wall Street 24/7Доля Nvidia — от7 USDTЦелую акцию покупать не нужно. Начните с маленькой суммы — риск под контролем

NVDATSLAAAPL

Первая сделка за 5 шагов

В тот же вечер отдельно взломали Polymarket: через стороннего поставщика ПО у пользователей украли от $2 млн (TechCrunch) до $2,7 млн (ForkLog). С атакой на Binance этот инцидент не связан.

Комиссии Interactive Brokers на 100–1000 $: Tiered до 3 раз дешевле Fixed

Крипторынок −5% за сутки: взлом Polymarket и отток $3,3 млрд с кошельков Binance

Gemini 4 Carbon: 59 баллов в Artificial Analysis и доступ только киберзащитникам

Binance Spot Trading Tournament Season 10: 300 000 USDC за объём до 5 ноября

Ledger взломали или нет: проверка Ledger и Keystone, перенос средств

Как взломали Binance: что известно о точке входа, а что нет

Короткий ответ: точно известно только то, что видно в блокчейне. Как хакер получил подписи кошельков Binance, биржа объяснила предварительно и с оговорками, а независимого подтверждения её версии нет. Разделим всё на три корзины.

Подтверждено (блокчейн и несколько источников): — выводы шли с горячих кошельков Binance сразу в десяти сетях: Ethereum, Bitcoin, Tron, XRP Ledger, Solana, Arbitrum, Optimism, Base, Avalanche, Polygon; — в Ethereum использовано делегирование EIP-7702: транзакция типа 4 с 50 разрешениями в блоке 26300753 (мы проверили её напрямую в сети); — оператор атаки заранее получил деньги на комиссии через Tornado Cash; — общий ущерб — порядка $6 млрд. Binance называет «около $6,3 млрд», TRM в ончейн-разборе инцидента — $6,36 млрд по ценам в момент переводов ($6,23 млрд по текущим на 30 октября), Chainalysis — $5,912 млрд на момент кражи. Разница — в методике: одни считают по цене в секунду вывода, другие по текущей.

Предварительно (версия одной стороны): — Binance в официальном обновлении 30 октября пишет, что команда безопасности отслеживает путь атаки через скомпрометированный компьютер, который «может быть» точкой входа. В анонсе «Security Incident Update» на сайте биржи версия звучит так: инцидент «может быть связан» со взломанным ноутбуком DevOps-инженера, через который атакующий получил доступ к сервисному контейнеру и отправил несанкционированные транзакции вывода; — Binance: «следов утечки приватных ключей кошельков не найдено». Это заявление биржи, а не независимая проверка; — аналитики TRM и Blockaid оценивают произошедшее как компрометацию системы подписи горячих кошельков: злоумышленник получил возможность заставить её подписывать нужные ему транзакции, не похищая сами ключи. С версией Binance это совместимо, но прямой связки никто не показал.

Неизвестно на 30 октября: — как именно заразили ноутбук (фишинг, вредоносная программа, что-то ещё) — в источниках этого нет; — как получены 50 подписей EIP-7702 и подписи в девяти других сетях. TRM прямо пишет, что Binance корневую причину ещё не опубликовала; — сколько длился доступ. Пачка из 50 заранее подписанных разрешений, по мнению TRM, говорит о том, что доступ мог быть ограничен по времени или подписи приходилось запрашивать через систему; — точная итоговая сумма и состав компенсаций.

Ранняя гипотеза, что хакер выманил у Binance подписи EIP-7702 фишингом, объясняла только Ethereum. Кошельки на XRP Ledger, Bitcoin и Solana используют разные типы ключей и разные схемы подписи — и все они за полчаса выдали атакующему валидные подписи. Поэтому TRM и склоняется к версии «скомпрометирована сама машина, которая подписывает». Это главный вывод части 1: криптография не сломана, ключи, по данным Binance, не украдены — по оценке TRM, подпись выдала система, которой доверяли.

EIP-7702 простыми словами: как кошелёк Binance превратили в «пылесос»

EIP-7702 — это обновление Ethereum, вошедшее в апгрейд Pectra в мае 2025 года. Оно позволяет обычному кошельку (адресу, которым управляет ключ) «одолжить» себе код смарт-контракта: владелец подписывает разрешение, и с этого момента любой вызов кошелька исполняет код выбранного контракта. Делегирование действует, пока кошелёк не подпишет новое. Функция задумывалась для удобства — пакетные операции, оплата комиссий за пользователя. В руках атакующего она превращается в пульт управления чужим кошельком.

WTIBRENT

Binance · Wall Street 24/7Новости двигают нефтьWTI · BrentРеагируйте сразу: нефть на Binance торгуется круглосуточно

WTIBRENTGAS

Цена нефти сейчас

Как это сработало на Binance 14 — одном из самых известных горячих кошельков биржи:

1. Подготовлены 50 разрешений. У каждого кошелька есть счётчик транзакций (nonce), и разрешение EIP-7702 действительно только при определённом значении счётчика. Горячий кошелёк биржи постоянно отправляет выводы, счётчик всё время растёт. Поэтому атакующий запасся подписями на 50 последовательных значений: какое-то одно гарантированно совпадёт в момент исполнения.
2. 20:20:59 UTC — делегирование. Оператор (адрес 0x7C8601d4645b93cea45F71e118A729332e6B5CA0) отправил транзакцию типа 4 со всеми 50 разрешениями. Сработало одно — этого хватило. Кошелёк Binance 14 теперь исполнял код контракта-«подметальщика» 0x63e842B054Bd624a465454D533C33F573e9c6fAe, который принимает команды только от оператора.
3. 20:24:23 UTC — вынос. Через 3 минуты 24 секунды оператор велел кошельку отправить весь баланс. Баланс ETH Binance 14 упал с 167 465,25 до 1,0 ETH; вместе с эфиром ушли 63 токена, включая 1 615 409 499 USDT.
4. Повторные «подметания». Делегирование осталось на месте, а клиенты и внутренние системы продолжали пополнять кошелёк. Новые поступления оператор забирал ещё шесть раз — в 20:41, 20:59, 21:04, 21:44, 22:39 и 23:56 UTC.
5. Доступ к соседнему кошельку. Binance 14 одновременно был исполнителем отдельного смарт-аккаунта биржи. Через него в 20:41:23 атакующий забрал 780 млн USDC с этого смарт-аккаунта — контракта, который PANews со ссылкой на Etherscan называет Binance Hot Wallet 34 (Blockscout показывает на этом адресе прокси-контракт с реализацией SingleOwnerMSCA, то есть смарт-аккаунт с одним владельцем).

Именно поэтому Ripple и World Liberty Financial замораживали свои токены не только у хакера, но и в самом кошельке Binance: иначе любой новый депозит тут же уехал бы к атакующему.

Как проверить делегирование самому. Запрос eth_getCode к адресу кошелька возвращает его код. У обычного кошелька это пустое значение 0x. У кошелька с делегированием EIP-7702 ответ начинается с 0xef0100, за которым идёт адрес контракта-делегата. Мы сделали этот запрос к Binance 14 (0x28C6c06298d514Db089934071355E5743bf21d60): в блоках атаки ответ был 0xef0100 + адрес 0x63e8…6fae, а на 05:55 UTC 30 октября — 0x, то есть делегирование снято. Тот же признак TRM советует отслеживать казначействам: код на адресе, где его быть не должно, — сигнал тревоги.

Для обычного пользователя вывод простой: подпись EIP-7702 даёт контракту полный контроль над адресом. Если кошелёк или сайт просит «обновить аккаунт до смарт-аккаунта» или подписать авторизацию, а вы этого не ожидали — не подписывайте.

Куда ушли деньги Binance: маркет-мейкеры, Aave, JustLend и peel chain

Раскладка по сетям, которую дала TRM Labs (оценка по цене каждого актива в момент перевода, на 30 октября 00:30 UTC):

Ключевые позиции по биткоину и XRP независимо подтверждает Nansen (через Crypto Briefing). Полная раскладка по сетям есть только у TRM.

Дальше хакер действовал как человек, который знает, что половину добычи вот-вот заморозят. Его главная задача в первые часы — превратить стейблкоины, которые эмитент может заблокировать, в активы без эмитента:

• Продажа USDT маркет-мейкерам со скидкой. По данным TRM, около 325 млн USDT ушли профессиональным контрагентам через UniswapX и похожие контракты в обмен примерно на 122 300 ETH. Это цена около $2 650 за ETH при рыночной $2 300–2 350, то есть хакер переплатил больше 10%, лишь бы успеть. Оставшиеся 175 млн USDT из этой партии заморозили. Эти цифры есть только у TRM; независимо (LlamaRisk) подтверждено лишь то, что атакующий продавал токены на DEX.
• Займ на Aave. С 20:58 до 21:01 UTC кошелёк из кластера хакера (0x8d53903625b8e839b9DF4bd28B0EFb1CD6b8639A) внёс 60 млн USDT и занял 19 762 WETH — около $44,6 млн. Логика понятна: залог в USDT могут заморозить, а взятый эфир — нет. По оценке LlamaRisk, позиция переобеспечена, риска для вкладчиков Aave не создаёт. Займ случился примерно за 40 минут до первой заморозки в Aave.
• Tron. 300 млн USDT ушли на кошелёк, который начал вносить их в кредитный протокол JustLend; ещё 200 млн USDT прошли цепочку промежуточных кошельков с обменом на Uniswap, из них 30 млн заморозили.
• RLUSD. 88,5 млн RLUSD через два промежуточных адреса попали на кошелёк, который с 21:42 до 22:01 UTC успел продать 48 млн, пока Ripple не заморозила остаток.
• Биткоин — «пилящая цепочка». 18 270 BTC в том же блоке начали дробить на круглые куски по 1 000 и 100 BTC — так называемый peel chain, когда от крупной суммы шаг за шагом отщипывают части на новые адреса. Nansen насчитал 19 адресов. XRP, по данным TRM, так и лежит на адресе атакующего.

Что дальше: по опыту прошлых крупных краж TRM ожидает, что следующим этапом станут кроссчейн-мосты, сервисы обмена и внебиржевые (OTC) брокеры. Ровно так отмывали деньги Bybit — об этом во второй части.

Заморозка украденного у Binance: Tether, Circle и остаток у хакера

Заморозить можно только то, у чего есть эмитент с «кнопкой» в смарт-контракте. У USDT это Tether, у USDC — Circle, у RLUSD — Ripple, у USD1 — World Liberty Financial. Чем отличаются эти стейблкоины и кто из эмитентов может заблокировать средства, мы разбирали отдельно. У биткоина и эфира такой кнопки нет ни у кого.

Почему цифры Tether расходятся. Три значения — это три момента времени, а не три ошибки: 971 млн — первая заморозка одного кошелька, 1,567 млрд — заявление CEO через полчаса, 1,77 млрд — подсчёт TRM после поздних заморозок в Ethereum, Tron, Avalanche и Polygon. Складывать их нельзя. С Ripple похожая история: TRM видит в блокчейне 40,5 млн RLUSD, а цифра Yi He в $200 млн дана без разбивки и, возможно, учитывает блокировку RLUSD в самом кошельке биржи.

Общая сумма. Binance на 30 октября называет около $3 млрд «подтверждённых» заморозок (до этого — $2,54 млрд), TRM насчитывает ончейн около $2,7 млрд: $2,67 млрд стейблкоинов плюс около $30 млн в ETH и ARB на Arbitrum. Цифру в $1,8 млрд из ранних публикаций Binance назвала неверной.

Скриншот: Blockscout, 30 октября 2026. Рамка 1 — адрес основного получателя 0x5227f603C1eE34CE3C06eFe6477003BDfCCB2f8c, рамка 2 — оценка содержимого: $2 106 921 379 (33 токена), данные на блок 26303814. Почти всё это — замороженные стейблкоины: по TRM, на этом кошельке теперь 1,175 млрд USDT под заморозкой Tether, 823 млн USDC под заморозкой Circle и 27,8 млн USD1. Вместе это около $2,03 млрд, которыми хакер распоряжаться не может, хотя эксплорер считает их по номиналу.

Сколько осталось у хакера — расчёт.

• По цифрам Binance: $6,3 млрд − $3,0 млрд = около $3,3 млрд вне заморозки. Это совпадает с оценкой Fundstrat (≈$3,3 млрд незамороженных активов, через CNBC). Доля заморожено — примерно 48%.
• По цифрам TRM: $6,36 млрд − $2,7 млрд ≈ $3,66 млрд вне заморозки, доля заморожено — около 42%.
• Из этого остатка в ETH и BTC, по TRM на 30 октября, у атакующего более 420 тыс. ETH и 18 270 BTC — около $2,4 млрд. Nansen насчитывает около 442 тыс. ETH в связанных кошельках; разница — разный срез времени и набор адресов. Остальное приходится на другие сети и активы, например 233,46 млн XRP. Точной раскладки остатка источники не дают.

Заморозка — не возврат. Замороженные токены никуда не двигаются, но и Binance их не получила. «Заморозка останавливает движение денег, а возврат идёт через юридический процесс», — объясняет Ари Редборд из TRM в комментарии CNBC. Эндрю Жардин из Chainalysis добавляет, что стандартного срока нет, возврат может занять месяцы и годы. Учитывайте, что обе компании продают услуги по отслеживанию средств.

Кто взломал Binance: версия TraderTraitor и её слабые места

Три аналитические компании указали на КНДР, две из них — конкретно на группу TraderTraitor, подразделение того, что обычно называют Lazarus и хакерами КНДР:

• TRM Labs — атрибуция TraderTraitor «с высокой уверенностью» на основе ончейн- и офчейн-разведки;
• Chainalysis — Джонатан Левин пишет, что взлом «вероятно» совершён TraderTraitor из-за связей с предыдущим взломом;
• Pangolin Intelligence (Сингапур) — тоже считает исполнителем северокорейское подразделение (через CNN).

На чём основана версия, TRM объясняет так: почерк совпадает с Bybit (2025) и взломом KelpDAO (апрель 2026). Мелкие выводы из Tornado Cash для финансирования кошелька оператора, подготовка задолго до кражи, подписи, полученные заранее и исполненные одним «залпом». Отличие тоже есть: отмывание через маркет-мейкеров и кредитные протоколы, а не через мосты, как после Bybit.

Ещё одна линия — пост ZachXBT. Он заметил, что украденное у Binance и у Bitget (взлом 24 сентября 2026 года на сумму около $388 млн) после прохода через THORChain было сведено на один адрес. Вывод ZachXBT — «вероятно, один и тот же исполнитель». Мы подробно разбирали взлом Bitget и то, хватит ли бирже фонда защиты. Важно: все издания пересказывают один и тот же пост, независимого подтверждения нет.

Слабые места версии.

1. Это оценка частных компаний, а не вывод правоохранителей. На 30 октября Министерство юстиции и ФБР США, по данным AFP, на запросы не ответили. Binance исполнителей не называет и пишет, что работает с правоохранителями над установлением личности.
2. Ни одна из трёх оценок не раскрывает доказательств целиком: TRM описывает почерк, но опирается на закрытую «разведку», Chainalysis ссылается на «связи с прошлым взломом», Pangolin деталей не приводит.
3. У компаний есть коммерческий интерес — они продают биржам и госорганам сервисы отслеживания.

Для сравнения: по Bybit ФБР опубликовало официальное заявление с атрибуцией через пять дней после взлома. Если по Binance выйдет такой же документ, версия перестанет быть оценкой.

Как взломали Bybit в 2025: Mac разработчика, AWS и подмена подписи

Взлом криптобиржи Bybit 21 февраля 2025 года до октября 2026-го был крупнейшей кражей в истории крипты — около $1,5 млрд. Для тех, кто читал англоязычные разборы «Bybit hack explained» только про первую неделю: ниже — и механика, и то, что было с деньгами дальше, вплоть до суда 2026 года.

Главное отличие от Binance: саму Bybit не взламывали. По заключению Sygnia, инфраструктура биржи скомпрометирована не была. Атаковали поставщика — Safe{Wallet}, сервис мультиподписи, через веб-интерфейс которого Bybit управляла холодным кошельком в Ethereum. Это классическая атака через цепочку поставок: взламывают не жертву, а того, кому жертва доверяет.

Как это было по шагам (Sygnia, Safe, Mandiant, BlockSec, Verichains):

1. 4 февраля — компьютер разработчика. Взломан рабочий Mac разработчика Safe{Wallet}, по оценке Sygnia — вероятно, через социальную инженерию.
2. 5 февраля — облако. Атакующие использовали сессионные токены AWS этого разработчика и так обошли двухфакторную защиту. С 5 по 17 февраля они находились внутри AWS-инфраструктуры Safe.
3. 19 февраля — подмена кода. В бакете AWS S3, откуда загружался веб-интерфейс Safe{Wallet}, изменили JavaScript-файлы. Вредоносный код срабатывал только на кошельке Bybit — остальные пользователи ничего не замечали.
4. 21 февраля, 14:13:35 UTC — подпись. Bybit проводила плановый перевод из холодного кошелька. Интерфейс показал подписантам нормальную транзакцию, а на аппаратные кошельки Ledger ушли другие данные. Три подписанта (порог мультиподписи — 3) одобрили то, что видели на экране.
5. Что на самом деле подписали. Транзакция делала delegatecall в контракт атакующего 0x96221423681A6d52E184D440a8eFCEbB105C7242. Его функция перезаписала ячейку памяти slot 0 кошелька Bybit — ту, где хранится адрес «реализации» (masterCopy). Вместо официальной реализации Safe там оказалась вредоносная 0xbDd077f651EBe7f7b3cE16fe5F2b025BE2969516 с функциями sweepETH и sweepERC20, которые подписей уже не требуют. Значение slot 0 в блоках 21895250–21895251 мы проверили в блокчейне сами.
6. 14:16:11 UTC — вынос. Блок 21895251: 401 346 ETH ушли на адрес 0x47666Fab8bd0Ac7003bce3f5C3585383F09486E2, следом — stETH, cmETH и mETH.
7. Через две минуты атакующие удалили вредоносный код из интерфейса Safe{Wallet}, вероятно, заметая следы.

Деталь, которую важно знать: в собственном таймлайне от 3 марта 2025 года Bybit назвала это «фишинговой атакой» с подменой интерфейса. Расследования Sygnia, Verichains, Safe и Mandiant показали другое — корень в компрометации инфраструктуры Safe{Wallet}, а не в том, что подписантов обманули письмом.

Хронология взлома Bybit: от заражения Mac до заявления ФБР

Подготовка по датам Sygnia заняла 17 дней (с 4 по 21 февраля), Mandiant пишет о 19 днях на подготовку и исполнение — разная точка отсчёта. Сама кража — минуты, а код, который её сделал возможной, прожил в интерфейсе двое суток и исчез через две минуты после цели.

Что именно украли (по данным Bybit на 21.02.2025):

Что делали хакеры Bybit с деньгами: 10 дней, THORChain, eXch, миксеры

Взлом Bybit 2025 года хорошо показывает, как ведут себя хакеры КНДР после кражи и сколько времени на это уходит. Ниже — по этапам.

Первые часы — дробление. Украденное разошлось по десяткам адресов. Цифры расходятся из-за разных моментов подсчёта и методик: Bybit пишет о 39 адресах, Elliptic — о 50 кошельках примерно по 10 000 ETH за первые два часа, Arkham 21 февраля насчитал 53 кошелька, AMLcrypto к 23 февраля — 884 адреса.

Ручной ритм. Arkham 24 февраля 2025 года заметил, что хакер делает 2–3 транзакции в минуту и каждые 45 минут прерывается на 15 минут, обрабатывая по одному адресу за раз. Это наблюдение аналитиков, а не установленный факт, но оно похоже на работу людей посменно, а не скрипта. Параллельно Wu Blockchain сообщал об отмывании через выпуск мем-токенов на pump.fun.

10 дней — весь ETH сменил форму. К 3 марта 2025 года весь украденный эфир был перемещён на новые адреса, подавляющая часть — обменяна на биткоин через сервисы на базе THORChain. Cointelegraph оценивает срок в 10 дней на 100% средств.

Доля «пропавших» менялась во времени — и методика тоже.

Цифры 4 и 20 марта прямо не сравнить: Bybit пересчитала метрику, и «прослеживаемым» стало считаться больше. Смысл таблицы в другом. Чем больше проходит времени, тем меньше денег можно проследить, а заморожено и возвращено за 16 месяцев около 5%. «Не прослеживается» не значит «потеряно навсегда» — суд даёт доступ к данным платформ вне блокчейна, — но ориентир для ожиданий по Binance понятный: ETH и BTC, ушедшие от хакера, обычно назад не приходят.

Отсюда главное различие двух краж. У Bybit хакеры держали ETH и его производные — у этих активов нет эмитента, и в первые недели заморозили около 3%. Tether по Bybit заморозил лишь $181 тыс. USDT. У Binance на одном горячем кошельке лежало больше 1,6 млрд USDT, поэтому заморожено около половины.

Как вычисляли хакеров Bybit: ФБР, ZachXBT, баунти и суд в США

Цепочка расследования по Bybit — хороший пример того, кто и как ищет украденную криптовалюту.

1. Часы — независимые исследователи. Через пять часов после кражи, в 19:09 UTC 21 февраля, ZachXBT передал Bybit доказательства связи атаки с Lazarus: тестовые транзакции и связанные кошельки. По этим данным кластер был связан с взломами Phemex и BingX. Elliptic и Arkham пришли к тому же выводу.
2. Сутки — общие адреса. 22 февраля ZachXBT показал, что Lazarus смешала средства Bybit и взломанной незадолго до этого Phemex на одном адресе — 0x33d057AF74779925c4B2e720A820387cB89F8F65 (цитата поста дошла до нас через ленту Bubblemaps, проверьте адрес в эксплорере сами).
3. 5 дней — ФБР. 26 февраля 2025 года ФБР в официальном предупреждении PSA I-022625-PSA назвало ответственной КНДР, а конкретно — активность, которую в бюро называют TraderTraitor. К предупреждению приложен 51 адрес в Ethereum, связанный с отмыванием (полный список ниже). Mandiant в расследовании для Safe также подтвердил: это северокорейские государственные хакеры.
4. Недели — баунти. Bybit запустила сайт lazarusbounty.com и пообещала 10% от возвращённых средств, до $140 млн. К 20 марта 2025 года 12 охотников получили больше $2,2 млн; из 5 012 заявок за 30 дней валидными оказались 63.
5. Месяцы — суд. 18 июня 2026 года Bybit подала гражданский иск в окружной суд округа Колумбия (судья Джон Бейтс) против КНДР, её Генерального разведывательного бюро, Lazarus Group и неустановленных лиц. 19 июня суд выдал временный запрет и разрешил ускоренное раскрытие данных, 30 июля 2026 года — частично удовлетворил ходатайство о предварительном запрете на перемещение выявленных активов. Это промежуточные решения, а не приговор, дело продолжается.

Итог на 7 августа 2026 года, по данным Bybit: около $48,4 млн возвращено и более $30,5 млн заморожено на 28 с лишним биржах и у кастодианов. Вместе около $78,9 млн, или примерно 5% украденного; замороженная часть Bybit пока не возвращена.

Скриншот: Blockscout, 30 октября 2026. Адрес 0x47666Fab8bd0Ac7003bce3f5C3585383F09486E2, куда 21 февраля 2025 года пришли 401 346 ETH. Рамка 1 — метки эксплорера «Bybit exploit 21Feb2025» и «Bybit Exploiter 1», рамка 2 — предупреждение о причастности к взлому, ниже — пометка, что сообщил ZachXBT. За 20 месяцев через адрес прошло 4 418 транзакций, а остаток на 30 октября — около $816. Так выглядит отмытый кошелёк: метку видят все, денег на нём уже нет.

Как это работает на практике: метка в эксплорере не возвращает деньги, но делает их «токсичными». Биржи и сервисы, которые проверяют входящие переводы по спискам ФБР и аналитических компаний, блокируют депозиты с таких адресов. Поэтому хакерам и нужны мосты, миксеры и обменники без KYC — и поэтому заморозки по Bybit случились на 28 с лишним площадках, а не в блокчейне.

Binance против Bybit: сравнение двух крупнейших взломов в таблице

Что из этой таблицы следует. Во-первых, сумма кражи определяется тем, что лежит на скомпрометированных кошельках: у Bybit один холодный кошелёк, у Binance — горячие кошельки в десяти сетях одновременно. Во-вторых, доля заморозки определяется составом добычи, а не скоростью реакции: стейблкоины замораживаются, ETH и BTC — нет. В-третьих, атака идёт на процессы подписи: у Bybit подменили то, что видит человек, у Binance, по версии аналитиков, — то, что подписывает машина.

Адреса атакующих Binance и Bybit: полный список и как их проверять

Адреса ниже — для проверки и опознания, а не для переводов. Не отправляйте на них средства: такие адреса помечены в эксплорерах и в базах аналитических компаний, и ваша собственная биржа может заблокировать счёт, получивший с них хоть что-то. Все адреса, кроме B7, приведены полностью; адреса Ethereum — в формате EIP-55: заглавные и строчные буквы в них — это контрольная сумма, поэтому опечатку в адресе с таким «смешанным» регистром кошелёк поймает. Каждый адрес взят из блокчейна или из документа в колонке «Откуда».

Взлом Binance (29–30 октября 2026 года):

Адреса в сетях Bitcoin (18 270 BTC, разбиты на 19 адресов по Nansen), XRP Ledger, Tron, Solana, Avalanche и Polygon полными хэшами в открытых источниках не опубликованы. Arkham ведёт кластер примерно из 55 адресов под меткой binance-hacker-1029, но открыть его можно только в интерфейсе Arkham.

Взлом Bybit (21 февраля 2025 года):

Ключевые транзакции, если хотите пройти путь сами: делегирование на Binance 14 — 0xad99264d5532ae0dd04b2004eebda05f25657e70dacb764f7ac8d4ccd051298b; вынос с Binance 14 — 0x53bd38b816c23e74134786c29a8c18d792777998a3b9326047b583100e88e2f3; 780 млн USDC — 0xdc102dd89dded5a83f1008906883ffb7c81ff3b7d7965d8c7277d170b5e17481; вывод 401 346 ETH у Bybit — 0xb61413c495fdad6114a7aa863a00b2e3c28945979a10885b12b30316ea9f072c.

Список ФБР по Bybit (PSA I-022625-PSA от 26 февраля 2025 года, 51 адрес в Ethereum). ФБР не расписывает роль каждого адреса: все они, по формулировке бюро, хранят или хранили средства от кражи либо управляются людьми, связанными с TraderTraitor.

Как проверить адрес самому — четыре шага:

1. Скопируйте адрес целиком и вставьте в поиск эксплорера (Etherscan или Blockscout). Не сравнивайте «на глаз» первые и последние символы: мошенники специально генерируют адреса с похожими краями.
2. Посмотрите метки и предупреждения. На адресах взломов эксплорер показывает метку и баннер — как на скриншоте Bybit выше.
3. Проверьте код на адресе. Для смарт-контрактов и кошельков с делегированием EIP-7702 эксплорер покажет код; для обычного кошелька его быть не должно.
4. Сверьте с первоисточником. Список ФБР — в предупреждении на ic3.gov, разбор Binance — в отчёте TRM. Пересказы в Telegram-каналах и соцсетях первоисточником не считаются.

Ваши деньги на бирже: SAFU, Proof of Reserves и холодное хранение

Чтобы понять, чем рискует клиент, помогает простая аналогия «касса и сейф». Горячий кошелёк — это касса: он подключён к интернету и автоматически выдаёт выводы, поэтому в нём держат ровно столько, сколько нужно на ближайшие операции. Холодный кошелёк — сейф: ключи не касаются интернета, а каждое движение требует участия людей. Binance потеряла кассу — правда, кассу в десяти сетях сразу. Bybit потеряла содержимое сейфа, когда его плановым порядком открывали.

Что обещает Binance и что из этого проверяемо:

SAFU в цифрах — расчёт. Фонд защиты пользователей SAFU хранится в биткоине на опубликованном адресе 1BAuq7Vho2CEkVkUxbfU26LhwQjbCmWQkD — его можно проверить в любом биткоин-эксплорере. На 30 октября там 15 000,0015 BTC. При цене $78 407 (CoinGecko, 30.10, 06:00 UTC) это около $1,18 млрд. Ущерб $6,3 млрд больше фонда примерно в 5,3 раза: пока возврата замороженного нет, ориентир — SAFU покрывает около 19% украденного. Даже если все замороженные ~$3 млрд со временем вернутся к бирже, SAFU закроет лишь около 36% оставшихся ~$3,3 млрд. Остальное, по словам Binance, — из средств компании.

Ещё две детали из правил самого фонда, о которых редко пишут:

• Решение за Binance. В FAQ о SAFU прямо сказано, что биржа сохраняет за собой «полное усмотрение» в том, какие потери и заявки покрываются. SAFU — не страховка, а резерв, которым распоряжается сама биржа. Сегодняшнее «покроем всё» шире того, что прописано в правилах фонда, — это добровольное обязательство.
• Фонд зависит от цены биткоина. Если из-за падения BTC стоимость фонда опустится ниже $800 млн, Binance обещает докупить его до $1 млрд. Обратная сторона: в день взлома биткоин просел на 4–5%, и фонд подешевел вместе с ним.

Есть ли угроза платёжеспособности. Сторонние оценки — пока единственное, на что можно опереться. Аналитик Fundstrat (через CNBC) пишет, что инцидент «не выглядит» серьёзным риском для платёжеспособности Binance. Алистер Милн в X прикинул: при резервах клиентов около $165,4 млрд непокрытая часть — около $1,7 млрд, примерно 1%; этот пост ретвитнул CZ. Обе оценки — прикидка, а не аудит. Ответ даст обещанный Proof of Reserves. Как самому читать такие отчёты и что ещё смотреть, мы разбирали в гайде о надёжности криптобиржи, Proof of Reserves и страховых фондах.

Для сравнения, Bybit в 2025 году: CEO в первые часы заявил о платёжеспособности, выводы не останавливались (99,994% из более чем 350 000 заявок обработаны за 10 часов), а резервы восстановили меньше чем за 72 часа — около 447 000 ETH экстренных займов и крупных депозитов от партнёров. Аудитор Hacken подтвердил резервы выше 100%. Binance остановила выводы не из-за суммы: по её словам, она перестраивает сам сервис выводов и связанные адреса — тот контур, через который шла атака.

Отдельно: Binance.US — независимая платформа и, по её заявлению, инцидент её не затронул.

Что из этого следует для вас. Биржа — это кастодиан: вы доверяете ей хранение и получаете взамен удобство. Даже у крупнейшей биржи бывают дни, когда вывести деньги нельзя. Разумная практика — держать на бирже то, чем активно торгуете, а долгосрочные накопления хранить на собственном кошельке. Это не повод для паники и не призыв срочно всё выводить: в момент паузы выводов это невозможно физически, а в обычные дни массовый вывод сам по себе ничего не решает.

Как защититься от фишинга «компенсаций» после взлома биржи

После каждого крупного взлома приходит вторая волна — мошенники, которые обещают «вернуть средства» или «получить компенсацию». Binance в официальном заявлении просит не доверять неофициальным ссылкам, сообщениям и запросам данных аккаунта и следить за новостями только по официальным каналам биржи. Отдельного механизма подачи заявок на компенсацию на 30 октября Binance не публиковала — значит, любая «форма для возврата» сейчас поддельная.

Чек-лист — что проверить сегодня:

1. Портала компенсаций нет. Если вам прислали ссылку на «возврат средств после взлома Binance» — это фишинг. Новости о компенсациях смотрите только в приложении биржи и её официальных аккаунтах, вручную набирая адрес.
2. Никому не сообщайте сид-фразу и коды 2FA. Ни поддержка биржи, ни «следователи», ни «специалисты по возврату криптовалюты» их не запрашивают.
3. Не подписывайте неожиданные авторизации. Особенно запросы «обновить кошелёк до смарт-аккаунта» и подписи EIP-7702: такая подпись передаёт контракту полный контроль над адресом — ровно так и опустошили Binance 14.
4. Не платите «комиссию за разморозку». Замороженные Tether и Circle средства возвращаются через юридический процесс между эмитентом и биржей, а не через перевод от пользователя.
5. Проверьте разрешения кошелька. Если в последние дни вы переходили по ссылкам «про взлом», отзовите лишние разрешения токенов в своём кошельке.
6. Не отправляйте ничего на адреса хакеров — ни «чтобы проверить», ни «ради шутки». Счёт, связанный с ними, могут заблокировать.

FAQ

Потеряют ли пользователи Binance деньги из-за взлома?

По заявлению Binance — нет: средства пользователей в безопасности, а все убытки биржа покроет из фонда SAFU и собственных средств компании. Деньги украдены с горячих кошельков биржи, а не со счетов конкретных клиентов. Но на 30 октября это обещание, а не выполненная выплата: механизм не объявлен, выводы на паузе до 48 часов, а обновлённый Proof of Reserves выйдет после устранения последствий.

Как именно взломали Binance — украли ли приватные ключи?

По предварительным данным Binance, следов утечки приватных ключей нет. Биржа связывает инцидент со взломанным ноутбуком DevOps-инженера, через который атакующий получил доступ к сервисному контейнеру и отправил выводы. Аналитики TRM и Blockaid считают, что скомпрометирована система подписи горячих кошельков. Подробный технический разбор Binance обещала опубликовать позже — до него версия остаётся предварительной.

Что такое EIP-7702 и при чём он здесь?

EIP-7702 — функция Ethereum с мая 2025 года, которая позволяет обычному кошельку исполнять код смарт-контракта после одной подписи-разрешения. Хакер подготовил 50 таких подписей для кошелька Binance 14, одна сработала, и кошелёк стал выполнять команды атакующего: сначала отдал весь баланс, потом ещё шесть раз пересылал новые поступления. В других сетях EIP-7702 не применялся — там кошельки подписали обычные переводы.

Можно ли вернуть замороженные USDT и USDC?

Технически да: эмитент может снять заморозку и перевести токены законному владельцу. Но это юридический процесс, а не нажатие одной кнопки, и его сроки никто не называет — по мнению Chainalysis, речь может идти о месяцах и даже годах. По Bybit, например, $30,5 млн заморожено на биржах, но спустя полтора года Bybit их ещё не получила.

Кто взломал Binance и Bybit — это официально КНДР?

По Bybit — да: ФБР 26 февраля 2025 года официально назвало ответственной КНДР и группу TraderTraitor. По Binance официального вывода властей на 30 октября нет. Есть оценки частных фирм: TRM Labs с «высокой уверенностью» указывает на TraderTraitor, Chainalysis считает это «вероятным», Pangolin Intelligence тоже говорит о Северной Корее. Сама Binance исполнителей не называет.

Чем взлом Bybit отличался от взлома Binance?

У Bybit украли содержимое одного холодного кошелька в Ethereum: атаковали не биржу, а поставщика — интерфейс Safe{Wallet}, и подписанты сами одобрили подменённую транзакцию. У Binance опустошили горячие кошельки сразу в десяти сетях, по предварительной версии — через компьютер сотрудника. Bybit потеряла около $1,5 млрд в ETH, Binance — около $6,3 млрд, включая стейблкоины, поэтому заморозить удалось почти половину.

Как проверить адрес хакера и можно ли отправлять на него деньги?

Скопируйте адрес целиком и вставьте в поиск Etherscan или Blockscout: у адресов взломов есть метки и предупреждения. Сверяйте адрес полностью, а не по первым и последним символам, и опирайтесь на первоисточники — список ФБР, отчёты TRM. Отправлять на такие адреса ничего нельзя: средства не вернутся, а ваш счёт на бирже могут заблокировать за связь с ним.

Безопасно ли сейчас держать деньги на централизованной бирже?

Абсолютно безопасного места нет: биржа удобна, но вы доверяете ей хранение, и в день инцидента вывод может стать недоступен. Разумный подход — держать на бирже только то, чем активно торгуете, а накопления хранить в собственном кошельке и следить, публикует ли биржа Proof of Reserves. Признаки надёжности — прозрачные резервы, фонд защиты и то, как биржа ведёт себя в кризис.