Кража $6,3 млрд с Binance через делегирование EIP-7702, 2026-10-30

Вступление: $6,3 млрд — крупнейшая кража в истории криптобирж, осуществлённая с использованием ранее неизвестного вектора атаки

С 20:20 до 23:36 по UTC 29 октября 2026 года глобальный горячий кошелёк Binance был систематически опустошен: активы на 8 блокчейнах общей оценкой около $6,28–6,3 млрд были выведены. Это крупнейшая однократная кража в истории криптобирж (предыдущий рекорд — 7000 BTC, украденных у самой Binance в 2019 году, ≈ $41 млн; рост в 153 раза). Ещё более тревожным является способ атаки: злоумышленники не взломали ни один закрытый ключ математически, а получили доступ к сервису подписи, взломав ноутбук одного из инженеров DevOps, после чего воспользовались механизмом делегированного авторизации EIP-7702, чтобы заставить главный эфириум-горячий кошелёк Binance — «Binance 14» — подписать 50 транзакций типа 4 и тем самым навсегда делегировать право исполнения кода кошелька контракту-«подметальщику» (sweep), развёрнутому злоумышленниками. От первой подписи делегирования до вывода $250 млн в ETH и USDT одной транзакцией прошло всего 3 минуты 24 секунды. Система обнаружения Blockaid AI выдала предупреждение в течение 2 минут после запуска sweep-операции, через 11 минут подтвердила факт захвата прав подписи и использование механизма EIP-7702, а в течение часа пометила все адреса злоумышленников как вредоносные и отправила информацию во все клиентские ленты «Инциденты в экосистеме». В официальном заявлении Binance общая сумма ущерба оценивается примерно в $6,3 млрд; около $3 млрд уже заблокировано совместными усилиями с партнёрами в ончейн-сетях (Tether — $1,567 млрд, Circle — $822 млн, Ripple RLUSD, Paxos, World Liberty и др.), однако остаётся ещё около $3,27 млрд в виде BTC/ETH/XRP/SOL и других неконвертируемых в стейблкоины активов, которые по-прежнему могут свободно перемещаться. Binance полностью приостановила пополнение и вывод средств и заявила, что покроет весь ущерб за счёт фонда SAFU и собственных средств компании: «Средства пользователей находятся в безопасности».

Хронология атаки: 3 минуты 24 секунды — от делегирования по EIP-7702 до вывода $250 млн одной операцией

Технический путь злоумышленников (подтверждено несколькими независимыми источниками: технический разбор Blockaid от 30 октября 2026 г., 02:30 по UTC; ChainCatcher, Диксон У, 30 октября 2026 г., 08:00 по UTC; заявление Binance о ходе расследования от 30 октября, 10:00 по UTC):

1. Ночь 28 октября по UTC — Подготовка: основной кошелёк злоумышленника трижды выводит по 0,1 ETH из Tornado Cash (только на оплату комиссий);
2. 29 октября по UTC, 13:51–16:47 — Репетиция: злоумышленник последовательно выполняет полную цепочку «делегирование + sweep» на трёх тестовых кошельках под своим контролем, каждый раз перемещая $2–$6, чтобы протестировать делегирование по EIP-7702 и функцию sweep;
3. 29 октября по UTC, 15:59 — Развёртывание контракта-«подметальщика»: адрес контракта 0x63e8…6fAe, исходный код не верифицирован, оператором указан адрес злоумышленника; контракт содержит функцию sweep() (перечисляет все токены и ETH одним действием, а также forwarding-функцию, позволяющую делегированному кошельку вызывать другие контракты);
4. 29 октября по UTC, 20:20:59 — Ключевая транзакция: злоумышленник отправляет транзакцию типа 4 кошельку Binance 14, который подписывает 50 делегирований по EIP-7702 (nonce 18914775–18914824 — 50 последовательных значений), все они направлены на контракт-«подметальщик». Из них 49 аннулированы из-за устаревания nonce, одна успешно применяется к текущему nonce — делегирование вступает в силу. В этот момент кошелёк Binance 14 всё ещё нормально обрабатывает запросы на вывод средств, а система подписи даже не подозревает, что только что передала право исполнения кода злоумышленнику;
5. 29 октября по UTC, 20:24:23 — Вывод $250 млн одной транзакцией: оператор вызывает функцию sweep(), и кошелёк Binance 14 выводит 167 464 ETH + 161,5 млн USDT + 61 вид токенов = $250 млн в одной транзакции. На балансе Binance 14 остаётся всего 1 ETH;
6. 29 октября по UTC, 20:24:47 – 21:00 — Параллельное опустошение нескольких блокчейнов: спустя 24 секунды кошелёк Binance 16 подписывает 9 транзакций на сумму $174 млн (28 006 ETH + 55,7 млн USDT + RLUSD и др.); 4 горячих кошелька Arbitrum выводят 74,6 млн ARB + 8426 ETH; Avalanche выводит 1,81 млн AVAX + 841 тыс. USDT; Optimism (кошелёк Binance 55) выводит 44,2 млн OP; в BTC-сети 11 транзакций в одном блоке распределяют 18 270 BTC по 19 новым адресам (по 1000 BTC на каждый); TRON выводит 612,7 млн USDT + 46,4 млн TRX; XRP Ledger выводит 233,5 млн XRP; Solana выводит 970 522 SOL;
7. 29 октября по UTC, 21:01:35 – 23:36 — Борьба за заморозку стейблкоинов + последняя неудачная попытка sweep: Tether впервые заносит адрес 0x5227 в чёрный список в 21:01 (содержит 971 млн USDT); Circle в 21:04 замораживает $822,6 млн USDC; на TRON-сети Tether в 21:09 замораживает 378,7 млн USDT; за 3 минуты до заморозки Tether злоумышленник успевает разделить и продать 435 млн USDT на ETH; Ripple в 22:00 замораживает RLUSD на $40,5 млн; в 23:36 последняя попытка вызова sweep() завершается неудачей — Binance уже отменила делегирование по EIP-7702.

Хронология обнаружения Blockaid: предупреждение выдано в течение 2 минут после запуска sweep (до любого публичного сообщения), через 11 минут подтверждено «захват прав подписи + механизм делегирования EIP-7702», в течение часа все адреса злоумышленников помечены как вредоносные и информация отправлена во все клиентские ленты «Инциденты в экосистеме».

Детализация похищенных активов (полный анализ 8 блокчейнов Диксона У, 30 октября 2026 г., 08:00 по UTC)

Анализ ончейн-данных инженера CertiK Диксона У полностью опубликован на ChainCatcher — это самый точный на сегодня источник данных о масштабах кражи:

Борьба за заморозку активов: заморожено 2,8 млрд долларов США, ещё 3,27 млрд долларов США можно свободно перевести

Эмитенты стейблкоинов и Binance экстренно заморозили всё возможное, но с нестабильными токенами они бессильны:

Контрзаморозка со стороны Tether: до первой блокировки Tether (в 21:01 для адреса 0x5227, содержащего 971 млн USDT) злоумышленник уже в 20:33 разделил 200 млн USDT между адресами, включая 0x0ddf…697e. Около 10 млн из них было продано на DEX, а 190 млн были переведены на адрес 0x8d53…639a и затем депонированы в Aave для получения ETH в кредит. Circle заморозил 822,6 млн долларов США в USDC в 21:04:59, однако до того, как Ripple заморозил RLUSD (в 22:00), злоумышленник успел перевести 40,5 млн RLUSD на адрес 0xe702…958d, продать 48 млн и получить за них ETH; последняя продажа произошла в том же блоке, что и заморозка со стороны Ripple.

Реакция рынка: BNB упал на 10% за день, на бирже Binance ликвидировано $345 млн

Безопасны ли средства пользователей? Binance заявляет: SAFU + собственные средства компании покрывают весь ущерб; чистые потери составляют около 0,69% от кастодиальных активов

На этот раз были скомпрометированы горячие кошельки Binance — подключённые к интернету кошельки, предназначенные для быстрой обработки запросов на вывод средств, а не холодные кошельки или личные аккаунты пользователей. Ключевые гарантии:

• Официальное заявление Binance: «We have not found any evidence of wallet private key leakage» (математическая целостность закрытых ключей не нарушена; атака произошла на уровне прав доступа к сервису подписи);
• Заявление CZ (UTC 21:15, раньше официального): «as a shareholder, I expect all user funds will be fully covered» (как акционер, я ожидаю полного возмещения всех средств пользователей);
• Заявление Хэ И (соучредитель): подтверждено, что Ripple заблокировал RLUSD на сумму 40,5 млн, Binance ведёт активное расследование;
• Состояние фонда SAFU: создан в июле 2018 г., последняя покупка токенов завершена в феврале 2026 г.; весь фонд переведён в 15 000 BTC (примерно $1,2 млрд по цене на 30 октября 2026 г.);
• Оценка чистых потерь (основатель DefiLlama 0xngmi): общие потери $6,28 млрд − $2,8 млрд уже заблокированных средств = ≈ $3,48 млрд не заблокировано; однако с учётом возможного последующего возврата средств злоумышленников чистые потери Binance оцениваются примерно в $1 млрд (0,69% от её кастодиальных активов в размере $144–165 млрд), «балансовый лист Binance легко покроет эту сумму»;
• Приостановка выводов: Binance полностью приостановила пополнение и вывод средств (с 00:30 UTC 30 октября), заявив: «will resume as soon as the security issue is fully resolved», конкретных сроков не названо.

Предупреждение о рисках: сама приостановка выводов может усилить панику (в 2025 г. при краже $1,5 млрд с Bybit выводы оставались открытыми; споры о преимуществах и недостатках обоих подходов продолжаются). На данный момент не зафиксировано массовых жалоб пользователей на заморозку аккаунтов или потерю средств, но полномасштабное расследование Binance всё ещё продолжается.

Исторический контекст: три инцидента с Binance — рост убытков в 153 раза, эволюция методов атаки от фишинга до цепочек поставок

Тренд роста: суммы убытков при трёх инцидентах с участием Binance: 2019 г. — $41 млн → 2023 г. (BNB Chain) — $566 млн → 2026 г. — $6,3 млрд (рост в 153 раза). Эволюция методов атаки: фишинг и кража учётных данных пользователей → модификация UI мультиподписи → компрометация цепочки поставок / внутренних учётных данных → перехват права выполнения кода с помощью делегирования через EIP-7702. В отчёте Blockaid указано, что это атака на уровень «кто или какая система говорит закрытому ключу, что делать», а не на математическую стойкость самого ключа — последняя остаётся безопасной до сих пор.

Реакция регуляторов: полное молчание, лишь CEO Circle намекнул на вмешательство правоохранительных органов

После масштабной кражи с Binance глобальные регуляторы неожиданно сохраняют полное молчание:

Ключевые источники данных и пункты, помеченные как UNCONFIRMED

Источники данных:

• Технический разбор атаки от Blockaid (механизм делегирования EIP-7702, хронология событий, время обнаружения);
• Полный анализ 8 блокчейнов от Dickson Wu (ChainCatcher) (самые точные цифры по украденным средствам);
• Прямые новости France24/AFP (полная приостановка вывода средств Binance, заявления CEO Tether и Circle о заморозке активов);
• Аккаунт Binance в X (первая версия объявления в 21:16 → удаление формулировки в 21:24 → финальная версия «Средства пользователей полностью защищены» в 21:29 → последующие обновления в 22:15, 23:06 и ~00:30 UTC);
• Аккаунт CZ в X (первое заявление в 21:15 UTC — раньше официального);
• Аккаунт CEO Tether в X (заявление о заморозке $1,567 млрд);
• Аккаунт CEO Circle в X (заявление о заморозке $823 млн USDC + «в координации с правоохранительными органами»);
• Технический разбор EIP-7702 от 808bits.

Пункты, помеченные как UNCONFIRMED (никаких предположений не делается):

1. Личность злоумышленника: ZachXBT предполагает возможную причастность Lazarus Group (по схожести методов с инцидентом Bybit в 2025 г.), однако правоохранительные органы (ФБР, Интерпол и др.) пока официально не установили виновных — никаких выводов о стране или организации не делается;
2. Конкретный способ взлома ноутбука DevOps-инженера: Binance лишь сообщает, что «ноутбук DevOps-инженера был скомпрометирован», но не уточняет, произошло ли это через фишинговую рассылку, троян, заражённый USB-накопитель или иным способом;
3. Итоговая сумма кражи: Официальная оценка Binance — $6,3 млрд; расчёты аналитиков на блокчейне — от $5,78 до $6,28 млрд; цифры продолжают меняться;
4. Масштаб влияния на пользователей: На данный момент не выявлено массовых случаев блокировки аккаунтов или потери средств пользователями, однако приостановка вывода средств сохраняется;
5. Дальнейшие действия регуляторов: SEC, CFTC, DOJ и другие пока не выступали с публичными заявлениями — неясно, будут ли они инициировать расследование;
6. Действительно ли в атаке участвовал ИИ: В то же время, когда произошёл инцидент, СМИ (NBC) сообщили, что «ИИ мог быть задействован», однако технических подтверждений этого нет; Forkast прямо указывает, что упоминания ИИ «не имеют подтверждающих источников»;
7. Являются ли атаки на Polymarket / Bitget / Binance 2026 года делом одного злоумышленника: Методы похожи, но прямых доказательств нет;
8. Время возобновления вывода средств Binance: Указано лишь «как только проблема безопасности будет полностью устранена», конкретных сроков нет.

Дата актуальности данных: Примерно 10:30 UTC 30 октября 2026 г. (18:30 по Пекину). Полное расследование Binance продолжается; в ближайшее время ожидается публикация технического отчёта о происшествии (post-mortem).

Предупреждение о рисках и раскрытие рекламной информации: Binance по-прежнему полностью приостановила пополнение и вывод средств, точные сроки возобновления не объявлены. Во время приостановки вывода возможны риски ликвидности и снижение доверия пользователей. Информация в этой статье актуальна по состоянию на 30 октября 2026 г.; некоторые данные (суммы заморозки, детализация убытков, чистые потери) продолжают обновляться. Все пункты, помеченные как UNCONFIRMED, рассматриваются строго без каких-либо предположений или домыслов. В тексте содержатся реферальные ссылки: при регистрации по ним мы можем получить комиссию, но это не увеличит ваш платёж и не повлияет на объективность материала.