С Binance украдено 6,3 млрд долларов: анализ схемы атаки и движения похищенных средств

Автор: Beosin

Вечером 29 октября 2026 года (приблизительно в 4 часа утра 30 октября по пекинскому времени) несколько горячих кошельков крупнейшей в мире криптовалютной биржи Binance продемонстрировали аномально крупные переводы. Инцидент затронул множество сетей, включая Ethereum, Bitcoin и Tron. На текущий момент общая сумма выведенных средств оценивается примерно в 6,3 млрд долларов США, цифры продолжают изменяться. После инцидента Binance экстренно приостановила снятие средств с нескольких сетей и торговлю на Binance Alpha, заявив о полной безопасности средств пользователей.

Beosin проанализировала процесс атаки и основные направления движения украденных средств в ходе данного крупного инцидента с безопасностью. Результаты анализа приведены ниже.

I. Хронология событий

Подготовительный этап: развёртывание за 36 часов до атаки

28 октября: адрес отправителя транзакции с атакой — 0x7c8601d4645b93cea45f71e118a729332e6b5ca0. Его средства поступили из Tornado Cash; злоумышленник произвёл три небольших вывода ETH для покрытия комиссий за газ.

Днём 29 октября: был развёрнут специальный sweeper-контракт (контракт очистки), проведены две репетиции с использованием тестового кошелька. Последняя репетиция завершилась всего за 3,5 часа до начала фактической атаки; злоумышленники заранее подготовили список для перевода 64 различных токенов.

Этап атаки: получение авторизации EIP-7702

04:20: в блокчейн была добавлена транзакция, содержащая 50 подписей для авторизации EIP-7702, охватывающих последовательные значения nonce. Инициатором авторизации выступил горячий кошелёк Binance 14, причём все подписи были созданы его собственным приватным ключом. Механизм «слепой» подстройки под последовательные nonce гарантирует попадание хотя бы одной валидной авторизации даже при быстром изменении счётчика nonce кошелька.

https://etherscan.io/tx/0xad99264d5532ae0dd04b2004eebda05f25657e70dacb764f7ac8d4ccd051298b

04:24: началось перемещение средств. Кошелёк Binance 14 произвёл единовременный вывод 167 000 единиц ETH (примерно 2,5 млрд долларов США) + 1,615 млрд единиц USDT + более 60 других токенов (включая RLUSD, wBETH, UNI, ENA, PEPE, LINK, AAVE и др.). Кошелёк был полностью опустошён, остался лишь 1 ETH.

https://etherscan.io/tx/0x53bd38b816c23e74134786c29a8c18d792777998a3b9326047b583100e88e2f3

04:24:47: через 24 секунды горячий кошелёк Binance 16 напрямую подписал транзакцию своим приватным ключом и перевёл 28 000 единиц ETH на тот же адрес получателя.

04:41: пользуясь неиспользованными правами делегирования, сохранёнными у Binance 14, злоумышленники дали команду своему смарт-контракту, управляющему USDC, вывести 823 млн долларов США в токенах USDC. Впоследствии было выведено ещё десятки миллионов долларов.

В течение 12 минут более 10 горячих кошельков Binance перевели средства на один и тот же адрес в сетях Ethereum, Bitcoin, Tron, Arbitrum, Avalanche, Optimism и Base.

II. Анализ направлений движения украденных средств

Ethereum

Адрес сбора средств злоумышленников в сети Ethereum: 0x5227f603C1eE34CE3C06eFe6477003BDfCCB2f8c. После этого злоумышленники начали поэтапно распределять и перемещать средства. В процессе транзитных операций около 1,38 млрд единиц USDT и 820 млн единиц USDC оказались заблокированы.

Украденные токены экосистемы Ethereum, такие как UNI, ETHERFI, EIGEN и PEPE, были обменены злоумышленниками на ETH для дальнейшего перемещения. На текущий момент средства преимущественно закреплены на следующих адресах:

0x897c80d1a9729e94460e2bd93178bd5215158df3 (78 415,25 ETH)

0xc887af690e0301cd4edbbce8f8d31b4ec65b286a (137 602 ETH)

0x8532fa14acaf483729c449b8458aeddb900543d4 (197 460 ETH)

0x79e70d139fc05aa75f75611fdf2680e9952b544a (19 740 ETH)

Bitcoin

Из сети Bitcoin украдено 18 270,2 BTC. Злоумышленники распределяют и перемещают похищенные BTC: на данный момент средства объёмами по 1 000 BTC распределены по множеству новых адресов, дополнительных переводов не производится:

bc1q0ts8gaf9ht0rr4u02hr56f8thndqsc4kmkmfv3

bc1qjwdw6vrzq4vf6hckutvx4ucj86awwv99mxnz7w

bc1qxrxujwxfnvz040jw76d26zhjdg5jura7hs968s

bc1qs3aej5tmcdz0vctz8y9rjcxtxg8v5385577s56

bc1qnq6jj9jmlf3945m3l8s0kxnqehrsga300k8t3s

bc1qdfhmlrdvg4tm87zjl0vyf0xflp5ql50q3g88gw

bc1q63qrfrpsg5hh0zzn3kp2xx9vljl7dq7tatsjxp

bc1qs6xnmhar38z44g2za93pv8ygdcwurrh8l87w3v

bc1qm8v88m5fy6kuq9myva2eemwycxqd3e0zcrs2l8

bc1q42flhayrzy3zh8lkyevw8qcjduurt9a35wlsyx

bc1qepc70u3u476vgvg3hfcwjgu4mecxe2uchs4lag

bc1qg3nrzpuvq2pxqx74tcrywr09dc208ze96n3t53

bc1qm2j6v3247khlwzxl7p9vqnfkghcllyhv9wjaat

Tron & Ripple

В сети Tron успешно заморожено около 380 млн единиц USDT. Краденые 46 394 098 TRX, после распределения по нескольким адресам, продолжают непрерывно перемещаться злоумышленниками на новые адреса.

Из сети Ripple похищено 233 461 943,1 XRP. Средства пока остаются на адресе rK21t6nGLy4MNDqhvy3pGwcLFy25qgfzMx, дополнительные переводы не осуществляются.

По состоянию на момент подготовки публикации расследование инцидента продолжается. Коренная причина уязвимости, ставшая причиной атаки, идентичность хакерской группировки и точный итоговый размер потерянных активов окончательно не определены. Beosin сотрудничает с участниками отрасли для постоянного отслеживания украденных средств, распределённых по различным публичным блокчейнам. Все связанные адреса уже отмечены системой Beosin и находятся под непрерывным мониторингом. Системы Beosin KYT и Trace продолжат отслеживать активность указанных хакерских адресов и отслеживать направление движения средств.