Взлом Binance, в результате которого из кошельков биржи вывели около $6,3 млрд, компания связала с компрометацией ноутбука DevOps-инженера. Атакующие получили доступ к сервисному контейнеру и смогли отправлять несанкционированные транзакции на вывод — история важна далеко за пределами крипторынка: один скомпрометированный инженерный endpoint способен стать входом в инфраструктуру с активами на миллиарды.
По данным BleepingComputer, Binance не обнаружила признаков утечки приватного ключа кошелька. Это не означает, что ключи были единственной возможной защитой: атакующие, по версии биржи, прошли более сложный путь и использовали доступ к внутреннему сервису для подготовки и отправки операций. Компания не возлагает ответственность на конкретного сотрудника и подчёркивает, что инцидент не сводится к простому использованию прав одного инженера.
Со-инвестигатором и публичным спикером со стороны Binance выступил CEO Ричард Тенг. Он сообщил, что расследование выявило и другие точки компрометации, но деталей пока не раскрыл: компания продолжает собирать факты. После атаки биржа приостановила депозиты и вывод средств для проверок, отозвала авторизации, связанные с затронутым адресом, и подключила правоохранительные органы и компании, отслеживающие операции в блокчейнах.
Binance заявила, что покроет потери из фонда SAFU и собственных средств, а пользовательские активы останутся защищёнными. После завершения работ биржа обещает обновить Proof of Reserves. Для клиентов это важный сигнал, но для инженеров и руководителей он не менее показателен: резервный фонд не заменяет контроль привилегированных доступов, сегментацию среды и проверку каждого шага, ведущего к движению денег.
Деньги ушли за 20 минут
Аналитическая компания TRM Labs оценила объём вывода в $6,36 млрд. По её данным, атака произошла 29 октября 2026 года и затронула десять блокчейнов; основная масса средств была перемещена примерно за 20 минут, начиная с 20:05 UTC. Если оценка верна, это крупнейшая известная кража криптоактивов: примерно в четыре раза больше ущерба от взлома Bybit в феврале 2025 года, когда было похищено около $1,5 млрд.
TRM Labs приписывает атаку северокорейской группе TraderTraitor, которую также отслеживают под именами Lazarus Group и APT38. Chainalysis поддержала этот вывод, заявив о высокой степени уверенности в причастности TraderTraitor. Сама Binance конкретную группу в своей позиции не назвала, поэтому связывать атаку с КНДР корректно только как с выводом блокчейн-аналитиков, а не как с окончательным результатом расследования биржи.
Часть активов удалось заблокировать. По подсчётам TRM Labs, Tether, Circle, Ripple и World Liberty Financial заморозили стейблкоины примерно на $2,67 млрд. Совет безопасности сети Arbitrum дополнительно заблокировал 8426 ETH и 74,6 млн ARB; суммарно речь идёт примерно о $2,7 млрд. Но у атакующих, как утверждает TRM, осталось около $2,4 млрд в активах, которые эмитенты стейблкоинов не могут остановить.
Скорость операции объясняет, почему реакция после инцидента редко бывает достаточной. По версии TRM, злоумышленники успели обменять часть USDT через маркет-мейкеров и занять ETH под залог USDT в Aave до того, как блокировки вступили в силу. В результате на контролируемых ими адресах оказалось более 420 тыс. ETH и 18 270 BTC. В публичных сетях движение средств видно, но наблюдаемость не равна возможности вернуть активы.
DevOps-доступ стал частью платёжного контура
Для российских разработчиков, SRE-команд и IT-директоров этот взлом Binance — напоминание о неприятной зависимости: сервисная учётная запись, контейнерная среда или рабочий ноутбук могут иметь косвенное влияние на операции, которые бизнес считает «финансовыми», а не инфраструктурными. Если внутренний сервис способен инициировать вывод средств, его права и пути развёртывания нужно рассматривать как часть платёжного контура — с отдельными границами доверия, многосторонним подтверждением критичных действий и журналированием, которое нельзя тихо переписать.
Особенно рискованна привычная схема, при которой инженерный endpoint одновременно открывает путь к CI/CD, секретам, оркестратору контейнеров и production-сервисам. Расследование Binance пока не даёт полной технической цепочки, поэтому нельзя честно утверждать, какой именно контроль не сработал. Но уже известные детали исключают удобное объяснение в духе «сотрудник нажал не туда»: ущерб такого масштаба обычно требует сочетания первоначального доступа, расширения прав, доступа к внутренним системам и возможности обойти либо использовать существующий процесс авторизации.
Главный открытый вопрос теперь не только в том, сколько средств получится вернуть, но и в том, какие архитектурные изменения Binance раскроет после расследования. Чем больше компания автоматизирует денежные операции через сервисы и контейнеры, тем важнее доказывать безопасность не отдельного кошелька, а всей цепочки — от ноутбука инженера до транзакции в блокчейне. Заявления Ричарда Тенга и исходные детали инцидента опубликованы .
