Крупная кража из горячего кошелька Binance: скоординированные действия команды Aave и экстренная блокировка рынка децентрализованного кредитования — детальный разбор

Автор: LlamaRisk (поставщик услуг по управлению рисками для Aave) & Aave Labs

Перевод: TechFlow

TechFlow: После кражи средств из горячих кошельков Binance на сумму 5,5 млрд долларов США — крупнейшей в истории криптовалют — похищенные активы быстро продвинулись в основные DeFi-протоколы кредитования. Записи в блокчейне свидетельствуют, что злоумышленник вскоре после атаки внес в базовый рынок Ethereum Core платформы Aave V3 залог в виде 60 млн USDT и моментально взял в долг 19 762 токена WETH на сумму примерно 44,6 млн долларов США, стремясь очистить активы с помощью кредитного рычага.

В ответ на внезапный системный «чёрный лебедь» поставщик рисков Aave LlamaRisk в течение 10 минут оперативно объединился с Aave Labs, TokenLogic и Certora для создания совместной аварийной оперативной группы. Чтобы предотвратить обмен преступными средствами злоумышленника на другие токены и их дальнейшее направление в пулы кредитования, Guardian экстренно принял решение о подписании транзакций через мультиподпись, осуществив полную заморозку 175 пулов резервов Aave V3 и рынков Aave V4 на 16 сетях, включая Ethereum, Arbitrum, Optimism, Avalanche и Base.

TechFlow подготовил подробный перевод этого авторитетного официального экстренного бюллетеня, опубликованного на форуме управления Aave. В отчете подробно освещаются единственное депозитно-кредитное положение хакера на платформе Aave (текущий коэффициент залога находится в норме и защищен механизмами ликвидации), стабильная работа оракула Chainlink на фоне резких колебаний цен, стресс-тест на деанкорирование стейблкоина GHO, а также поэтапный план разблокировки позиций после стабилизации ситуации с рисками на Binance.

Последнее обновление: Всемирное координированное время (UTC), 30 октября 2026 г., 01:00.

29 октября 2026 года в 20:24 UTC один горячий кошелек Binance в сети Ethereum осуществил единичный перевод на один адрес, включавший около 63 различных токенов и 167 464 ETH.

В течение последующих минут тот же адрес атакующего получил еще 28 006 ETH со второго горячего кошелька Binance в сети Ethereum, а также одновременно принял несколько переводов от горячих кошельков в сетях Arbitrum, Optimism и Avalanche.

Затем в 23:04 UTC на сети Avalanche произошла вторая волна поступления средств объемом до 444 537 AVAX, что указывает на продолжающееся распространение риска компрометации приватных ключей горячих кошельков спустя более двух часов после первой атаки.

Хроника события: Единственное взаимодействие хакера с протоколом Aave и цепочечные движения

Овладев средствами, злоумышленник оперативно распределил огромную сумму между более чем двадцатью новыми сгенерированными блокчейн-кошельками и начал массовую распродажу токенов UNI, LINK и AAVE на крупнейших децентрализованных биржах (DEX), обменивая их на родной Ethereum (ETH).

В период с 20:58 по 21:01 UTC связанный адрес из кластера кошельков хакера внес в основной рынок Ethereum Core платформы Aave V3 залог в виде 60 млн USDT и взял в кредит 19 762 WETH (что составляет примерно 44,6 млн долларов США по рыночной цене на тот момент).

Данная операция по кредиту была проведена примерно за 40 минут до того, как протокол выполнил первую экстренную заморозку в 21:42. С 21:01 ни один кошелек хакера больше не взаимодействовал с Aave, что делает эту позицию единственным долговым положением, которое злоумышленник открыл на всех версиях и форках сети Aave.

По состоянию на данный момент данная позиция содержит залог в виде USDT на сумму 59,9 млн долларов США, что соответствует долговому обязательству в размере 43,8 млн долларов США. Поскольку позиция остается полностью обеспеченной залогом и подчиняется стандартным механизмам ликвидации, она не создала существенного риска невозврата средств для провайдеров ликвидности Aave.

Реакция: Экстренная мультиподпись Guardian заморозила основные рынки кредитования на 16 сетях

Не прошло и 10 минут с момента поступления первоначального сообщения об инциденте безопасности, как команда LlamaRisk оперативно объединилась с Aave Labs, TokenLogic и Certora для формирования совместной аварийной оперативной группы (Joint War Room).

Объединенная группа экспертов единогласно решила провести экстренную заморозку рынков кредитования Aave на всех публичных блокчейнах. Причина заключается в том, что злоумышленник имел полный потенциал обменять похищенные токены на любую поддерживаемую протоколом обеспечительную активу посредством on-chain свопов; в случае отдельной заморозки только пулов резервов по украденным токенам хакер смог бы продолжить проникновение в протокол через другие пути активов.

Команда выбрала механизм заморозки, поскольку экстренный Guardian может быстро снять его после стабилизации обстановки; в отличие от этого, традиционный подход с значительным снижением лимитов предоставления ликвидности (Caps) потребовал бы полноценной процедуры голосования по ончейн-предложениям по управлению, на полное восстановление которых обычно уходит около пяти дней.

Операция по заморозке рынка полностью блокирует возможность для любых пользователей (включая хакеров) открывать новые депозитные или кредитные позиции. Тем временем обычные пользователи с существующими позициями сохраняют право на возврат средств и вывод, а процесс ончейн-ликвидации продолжит работать в штатном режиме.

Стоит отметить, что поскольку во время заморозки пулы резервов не принимают новые депозиты, пользователи не могут добавлять дополнительный залог. Следовательно, в период действия заморозки добровольное погашение долга является единственным эффективным способом для заемщиков повысить коэффициент здоровья позиции (Health Factor).

Затем мы тесно сотрудничали с инженерной командой Aave Labs, подготовили и детально смоделировали транзакции заморозки для каждой публичной сети, после чего официально передали их в кошелек экстренной мультиподписи Guardian. Участники мультиподписи последовательно завершили подпись и выполнение транзакций в сеть в период с 21:42 до 23:04 UTC.

В рамках этой совместной операции было экстренно заморожено в общей сложности 175 пулов резервов Aave V3 (охватывающих 16 публичных сетей) и 117 рынков Aave V4 (охватывающих 4 сети). Конкретный перечень включает:

Основные рынки и институциональный рынок Prime на главной сети Ethereum, а также рынки Aave V3 на Arbitrum, Avalanche, Base, BNB Chain, Celo, Gnosis, Ink, Linea, Mantle, MegaETH, Monad, Optimism, Plasma, Polygon и X Layer; помимо этого, были затронуты рынки Aave V4 на главной сети Ethereum, Avalanche, Base (токенизированные акции США) и специализированном институциональном сегменте Arc.

Стоит особо отметить, что рынок реальных активов (RWA) Horizon не попал под заморозку, поскольку все обеспечительные активы на этом рынке имеют строгие ограничения доступа (Permissioned), которые злоумышленник не мог обойти; кроме того, ни один рынок не был переведен в режим полного останова (Pause).

Тем временем мы осуществляем круглосуточный мониторинг кластера адресов хакера с обновлением данных каждую секунду, тщательно отслеживая каждое связанное с ним лицо в сетях Ethereum, Arbitrum, Optimism и Avalanche, чтобы предотвращать новые попытки взаимодействия с Aave и строго контролировать потоки котировок оракула Chainlink, от которых зависит протокол.

Оценка воздействия на рынок: Стабильная работа оракулов, давление на governance-токены и статус привязки GHO

На протяжении всего периода экстремального «черного лебедя» системы подачи ценовых данных от таких оракулов, как Chainlink, работали на высшем уровне стабильности. По состоянию на 00:55 UTC цены Ethereum и Bitcoin снизились в совокупности примерно на 4% с момента совершения атаки.

Падение различных токенов управления, находящихся в руках хакера, оказалось более выраженным: AAVE и LINK потеряли около 9%, UNI упал примерно на 8%, ARB — около 6%. Внедренная глобальная заморозка эффективно предотвратила попытку злоумышленника внести эти токены, находящиеся под давлением продаж, в Aave в качестве залога для обналичивания.

В настоящее время действующие на протоколе кредитные позиции, обеспеченные указанными токенами, продолжают функционировать в здоровом состоянии; по мере продолжения on-chain распродажи актива хакером, команда по управлению рисками ведет пристальный мониторинг потенциальных рисков каскадной ликвидации.

Что касается основных стейблкоинов, то их стоимость твердо удерживается на целевых уровнях. Нативный стейблкоин Aave GHO перед атакой торговался примерно на уровне $0,998. В период с 21:49 по 22:07 UTC из-за выкупа владельцами около 4,6 млн токенов GHO через механизм стабильности (GSM) в обмен на USDT цена временно опустилась до $0,997, после чего уверенно сохранилась в пределах данного корректного диапазона колебаний.

План последующего восстановления: Динамический мониторинг загруженности и поэтапный сценарий разблокировки

В настоящее время общая ситуация в блокчейне продолжает динамично развиваться. Команда по рискам продолжит круглосуточно отслеживать кластер кошельков хакера и затронутые каналы подачи ценовых данных, своевременно информируя сообщество по мере поступления новой информации.

До тех пор, пока движение похищенных хакером средств полностью не стабилизируется и официальная позиция Binance по сдерживанию уязвимости и минимизации ущерба не достигнет более конкретных практических результатов, соответствующие рынки кредитования Aave будут оставаться в замороженном состоянии.

Затем мы будем тесно сотрудничать с Aave Labs и другими участниками экосистемы для постепенной и организованной реализации поэтапного плана разблокировки.

Следует объективно отметить, что длительное поддержание заморозки рынка оказывает структурное влияние на коэффициент использования капитала (Utilisation) пулов. Поскольку замороженные пулы перестают принимать новые депозиты, самостоятельные выводы средств крупными кредиторами повышают уровень загрузки пула и увеличивают процентные ставки по займам; смягчить и вернуть ставки на прежний уровень способен исключительно добровольный возврат средств заемщиками.

Мы проводим тщательный мониторинг изменений коэффициента использования в реальном времени для всех замороженных пулов резервов и на основе этих данных будем взвешенно оценивать конкретный приоритет поэтапной разблокировки в будущем.