Куда делась ликвидность той ночью, когда Binance приостановила вывод средств?

Автор: BigTime

Основные тезисы

• Binance приостановила вывод средств примерно на 56 часов, при этом спотовая и деривативная торговля продолжала работать в обычном режиме. Пользователи могли по-прежнему покупать и продавать активы, но средства и позиции на счетах не могли быть выведены в другие площадки.
• Через неделю после инцидента доля Binance в спотовом объеме торгов среди топ-10 бирж снизилась примерно с 48% до 42%, тогда как у OKX она выросла с 11% до 14%. В то же время хакеры, стремясь быстро обменять украденные активы, понесли потери от исполнения сделок на сумму около 119 млн долларов США, в то время как трейдеры и арбитражеры получили около 60 млн долларов США сверх затрат.
• После возобновления вывода средств поток капитала в другие централизованные биржи составил примерно 10% от суммы выведенных активов, а дневной чистый приток на Hyperliquid также не превысил 10% от чистого оттока с Binance. При оценке этих изменений маркет-мейкерам также необходимо учитывать контрагентский риск, связанный со средствами, оставшимися на бирже.

Вечером 29 октября 2026 года (по UTC) был взломан горячий кошелек Binance, первоначальные оценки ущерба составили около 6,3 млрд долларов США. На протяжении следующих двух дней на рынке распространилось мнение о том, что из-за приостановки вывода средств с Binance ликвидность перетекла на Hyperliquid и другие биржи. Изменения в структуре объемов торгов подтверждают часть этих утверждений, однако потоки капитала не демонстрируют масштабного перемещения на сопоставимом уровне. Данные явления необходимо рассматривать раздельно, поскольку причины колебаний цен и спрегов также различны.

1. 56 часов приостановки вывода средств

Все приведенные ниже времена указаны по UTC

Таблица 1 | Ключевые временные точки событий в Binance. Источники данных: см. столбец источников в таблице, все сведения основаны на открытых публикациях, расхождения во времени между различными источниками составляют от нескольких минут до десятков минут

От приостановки вывода средств до восстановления первого этапа прошло около 56 часов. Оценка масштабов кражи варьируется: по данным Chainalysis, убытки в ценах на момент взлома составили около 5,912 млрд долларов США, TRM — около 6,36 млрд долларов США. TRM с «высокой степенью уверенности» приписывает инцидент хакерской группе из КНДР TraderTraitor, впоследствии к этой оценке присоединился ФБР. Представители Binance сообщили, что следствие пока не возложило вину на какое-либо конкретное лицо. Для сравнения: в феврале 2025 года Bybit понесла кражу на сумму около 1,46 млрд долларов США, что ранее являлось рекордом в отрасли.

На период приостановки вывода торговых операции в спотовом и деривативном сегментах Binance продолжали работать в обычном режиме, под ограничения попали лишь вывод средств и некоторые отдельные продукты, такие как Alpha.

Пользователи могли продолжать покупать и продавать активы непосредственно на Binance, маркет-мейкеры также сохраняли возможность выставления котировок, однако ни те, ни другие не могли перемещать свои позиции на другие биржи через функцию вывода.

2. Изменения в объемах торгов, позициях и ценах

Согласно данным CoinDesk от 30 октября, BTC потерял 3,1% за 24 часа, опустившись ночью до минимума около 76 400 долларов США; ETH снизился примерно на 4%, временно опустившись до уровня около 2 170 долларов США; BNB подешевел на 6,2%. Объем торгов деривативами вырос на 74%, достигнув 34,61 млрд долларов США. За тот же период общая сумма ликвидации позиций по рынку составила около 1,57 млрд долларов США, преимущественно длинных позиций. По данным CoinGlass, примерно половина этих ликвидаций произошла на Binance, что подтверждает непрерывность торгов деривативами на бирже даже в период приостановки вывода средств.

Данные Kaiko (со ссылкой на Bloomberg) показывают, что доля Binance в спотовом объеме торгов среди топ-10 бирж снизилась примерно с 51% в середине августа до 48% накануне инцидента, а затем дополнительно упала до 42% через семь дней после события. За тот же период доля OKX выросла примерно с 11% до 14%, а Coinbase — с 9% до 9,6%.

Именно платформа Hyperliquid вызвала наибольшее количество обсуждений в ту ночь. По статистике CoinDesk, открытые позиции по контрактам HYPE выросли на 28%, а объем торгов увеличился почти в 8 раз. Однако в тот же день компания Trade.xyz объявила о получении инвестиций от Intercontinental Exchange (ICE), эта информация появилась раньше взлома Binance. Существующие данные не позволяют изолировать влияние каждого фактора на рост цены HYPE, поэтому нельзя полностью списывать прибавку только на отток средств из Binance.

Приведенные данные свидетельствуют о перетоке торговой активности, но этого недостаточно, чтобы утверждать о синхронном перемещении самого капитала. Когда Binance приостановила выводы средств, для размещения ордеров на OKX пользователям требовались уже имеющиеся на счету маржа и позиции. Доля Binance сократилась примерно на 6 процентных пунктов за одну неделю. По нашему мнению, именно резервы капитала крупных институциональных игроков, ранее распределенные по различным биржам, создали условия для такой корректировки.

3. Спреды и арбитражная прибыль от обмена активов хакерами

Стремление хакеров как можно быстрее обменять украденные активы привело к тому, что они заплатили премию выше рыночной цены, что одновременно создало возможности для арбитражеров.

Из-за угрозы заморозки стейблкоинов эмитентами хакеры хотели срочно конвертировать USDT в ETH. Согласно ретроспективному анализу TRM, злоумышленники обменяли около 325 млн USDT на примерно 122,3 тыс. ETH по средней имплицитной цене около 2 657 долларов США, тогда как рыночная котировка в тот момент составляла 2 300–2 350 долларов США. Ограниченная ликвидность в блокчейне и срочный характер сделок без учета цены привели к выплате выраженной премии.

По оценкам Bitquery, потери хакеров от исполнения сделок относительно рыночных цен составили около 119 млн долларов США, примерно половину этой суммы заработали трейдеры и арбитражные боты, получив в чистой прибыли около 60 млн долларов США сверх операционных расходов. Согласно отчету Bloomberg, создатели и валидаторы блоков Ethereum дополнительно заработали около 29,5 млн долларов США. Данные DefiLlama показывают, что суточный доход Titan Builder за этот период составил примерно 22,83 млн долларов США, заняв первое место среди всех протоколов.

Ценовые расхождения также наблюдались на TRX. Джеймс Айтчисон из Caerus Global Management сообщил Bloomberg, что хакеры приобрели TRX на платформе SunSwap примерно по 36,7 цента, в то время как на других площадках цена составляла около 33 центов, этот спред начал сужаться только спустя 10 часов. Цены между централизованными биржами также разошлись. Как передает ChainCatcher, руководитель исследований Galaxy Алекс Торн отметил, что дисконт на Bitcoin в Coinbase к паре BTC/USDT на Binance расширился до максимума за текущий год.

Обычно арбитражеры покупают актив на площадке с низкой ценой, продают его на площадке с высокой ценой, а затем используют вывод средств для перемещения активов и закрытия позиций, благодаря чему спреды постепенно нивелируются. После приостановки вывода средств на Binance канал для переброски ликвидности оказался заблокирован, арбитражерам стало трудно перемещать запасы, что затруднило устранение ценовых расхождений между разными площадками.

4. Направление потоков капитала после возобновления вывода средств

Отток капитала с счетов Binance начался только после возобновления вывода средств.

Таблица 2 | Направление потоков капитала после возобновления вывода средств. Источники данных: см. столбец источников в таблице; различные платформы приводят статистику за разные интервалы времени, поэтому показатели напрямую нельзя суммировать

Согласно этим данным, объемы, направленные на другие централизованные и децентрализованные биржи, недостаточны для покрытия значительной части выведенных с Binance средств. Мы склонны полагать, что основная масса капитала просто покинула криптобиржи и была сохранена пользователями на собственных кошельках. Тем не менее, из-за различий в учетных периодах разных платформ данный вывод остается лишь гипотезой относительно конечного местоположения средств.

Джефф Кендрик из Standard Chartered Bank считает, что данный инцидент может ускорить перенос торговых операций на децентрализованные биржи (по данным ChainCatcher). Эта оценка среднесрочной перспективы еще не нашла отражения в финансовых данных за первую неделю после события. Согласно статистике The Block, спотовый оборот DEX в октябре составлял примерно 23% от показателя CEX; учитывая эти масштабы, на данном этапе децентрализованные площадки продолжают играть преимущественно вспомогательную роль.

5. Позиции маркет-мейкеров и сравнение с случаями FTX и Bybit

В ночь после инцидента Wintermute и GSR оперативно раскрыли информацию о своих позициях. Генеральный директор Wintermute Евгений Гавевой заявил, что exposure компании на Binance составляет менее 20% от чистых активов, что не повлияет на операционную деятельность; CEO GSR Син Сон сообщил, что позиции GSR ограничены суммой менее 5% от чистых активов. Обе публикации подтверждают, что данные фирмы сознательно ограничивают долю средств, хранимых на одной конкретной бирже.

После того как из FTX было выведено около 6 млрд долларов США за 72 часа, 8 ноября 2022 года биржа прекратила любые переводы кроме фиатных валют, что позже привело к выявлению дефицита средств пользователей. Приостановка вывода средств на Binance была вызвана кражей горячего кошелька; при этом торговля продолжалась в штатном режиме, а финансовые потери покрывались за счет собственных средств компании, объем компенсации достиг 95% к 1 ноября. Наличие или отсутствие дефицита активов, а также возможность его полного покрытия — важнейшие факторы, объясняющие различия в причинах приостановки вывода средств и реакциях рынка на эти события.

Bybit после кражи на сумму около 1,46 млрд долларов США в 2025 году не стала приостанавливать вывод средств. Согласно официальному графику компании, 99,994% из более чем 350 тысяч запросов на вывод были обработаны в течение 10 часов. В опубликованном отчете Kaiko для Bybit отмечается, что глубина рынка Bitcoin на уровне 1% восстановилась до показателей до инцидента через 30 дней. Приостановка вывода средств на Binance была предпринята ради безопасности активов, что одновременно ограничило управление запасами и усложнило выравнивание спредов; Bybit же, оставив каналы вывода открытыми, вынуждена была испытывать постоянное давление массового обналичивания.

Институциональные инвесторы также могут управлять хранением активов и торговыми лимитами через офф-маркет клиринг отдельно. В январе 2023 года Ceffu запустила продукт Binance Mirror, позволяющий организациям хранить средства в изолированных холодных кошельках и синхронно дублировать их на счета Binance в соотношении 1:1 исключительно для торгов; MirrorX применяет автоматический клиринг OTC по схеме T+1. В открытых источниках пока не указано, повлияла ли данная ситуация на эти механизмы, а также не раскрыто, как клиенты осуществляли расчеты в период остановки вывода средств — информация появится после официальных заявлений от Binance или Ceffu.

6. Пять вопросов для оценки позиций на биржах

Таблица 3 | Чек-лист проверки позиций на биржах. Источник: исследование и подготовка BigTime

В ходе текущего инцидента часть объемов торгов переориентировалась на площадки вроде OKX и Hyperliquid, а возникший из-за обмена активов хакерами спред обеспечил доход арбитражерам и конструкторам блоков. Одновременно с этим средства на счетах Binance до возобновления вывода не могли быть выведены; последующие данные подтверждают вывод о том, что капитал покинул биржи и вернулся на личные кошельки пользователей. Маркет-мейкерам помимо анализа самих площадок следует проверять: как долго текущие запасы смогут поддерживаться при остановке вывода и хватит ли ликвидности на других площадках для хеджирования. Об общей ситуации на рынке криптомаркет-мейкинга читайте в материале Карта криптомаркетмейкинга: GSR и её конкуренты; о прозрачности условий взаимодействия между маркет-мейкерами и проектами — в статье За кулисами появления маркетмейкеров: пробелы в прозрачности контрактных соглашений.