Взлом Binance на $6,3 млрд: кто действительно оплатит спасение ее клиентов

Крупнейшая кража у крупнейшей биржи

29 октября крипторынок потряс крупнейший взлом в его истории на сумму около $6,3 млрд. Целью атаки стала биржа Binance, лидирующая по объемам торгов. Масштаб ее доминирования наглядно показывает сентябрьский отчет CoinMarketCap, согласно которому на платформу приходилось около 44% совокупного объема спотовых и деривативных торгов среди одиннадцати исследованных площадок.

По реконструкции событий TRM Labs, основную часть средств злоумышленники вывели примерно за 20 минут, а в общей сложности атака охватила десять блокчейнов. Binance приостановила вывод средств, чтобы остановить дальнейшие потери и проверить безопасность систем. На счетах клиентов оставались те же суммы, хотя часть обеспечивавших их активов уже была похищена. Для пользователей главным стал вопрос, сможет ли биржа покрыть этот дефицит и когда позволит забрать деньги.

Чтобы сдержать панику, Binance поспешила заверить клиентов, что убытки возьмет на себя. Биржа публиковала сообщения на сайте и в соцсетях, а руководители лично обращались к пользователям. Ричард Тенг записал видео, в котором пообещал полностью покрыть похищенное средствами компании и фонда SAFU. Обещание компенсации биржа подкрепила и ориентиром по возвращению доступа к деньгам. Уже 30 октября Binance сообщила, что планирует начать восстановление вывода средств примерно в течение 34 часов, если проверки безопасности завершатся успешно.

Параллельно продолжалось расследование, которое постепенно расширяло картину атаки. Сначала Binance предполагала, что злоумышленники проникли в систему через взломанный ноутбук DevOps-инженера. Однако уже 30 октября биржа сообщила о дополнительных точках проникновения, одновременно отметив, что доказательств утечки приватных ключей не обнаружила. Аналитики TRM Labs проследили подготовку как минимум за 36 часов до кражи и предположили, что злоумышленники скомпрометировали инфраструктуру подписания транзакций в разных сетях.

Если эта версия подтвердится, зараженный компьютер мог быть лишь входом в гораздо более мощную систему. Контроль над ней позволил бы злоумышленникам авторизовать переводы сразу с нескольких кошельков. Именно здесь проявляется опасность концентрации полномочий внутри биржи — проникновение в одну критически важную систему может поставить под угрозу активы во многих блокчейнах.

31 октября ФБР связало атаку с TraderTraitor — северокорейскими кибероператорами, которых ранее назвали ответственными за кражу примерно $1,5 млрд с Bybit. В предыдущих операциях группы правоохранители описывали целенаправленную охоту на сотрудников криптокомпаний через фальшивых рекрутеров и вредоносные тестовые задания. Binance столкнулась с противником, который уже имел опыт многомиллиардных краж. Однако как именно ему удалось обойти защиту биржи, еще предстояло выяснить — по состоянию на утро 2 ноября полного технического отчета компания не опубликовала.

Почему отследить деньги проще, чем вернуть

Параллельно с расследованием началась охота за похищенными активами. И биржи, и DeFi-проекты после атак привлекают блокчейн-аналитиков, чтобы отследить переводы и помочь заблокировать средства. Однако если злоумышленники успевают обменять USDT или USDC на нативный ETH, эмитенты стейблкоинов уже не могут заблокировать эти средства.

Такой сценарий уже реализовался после взлома моста Harmony Horizon в июне 2022 года примерно на $100 млн. По реконструкции Elliptic, злоумышленники обменяли похищенные токены через децентрализованные биржи на ETH, а затем использовали Tornado Cash. Аналитикам удалось проследить движение средств даже через миксер, но это не позволило сразу их остановить. Лишь в феврале 2023 года Binance и Huobi с помощью Elliptic заморозили около $1,4 млн из этой кражи — отдельный результат месяцев преследования, а не быстрое возвращение всей суммы.

После октябрьской атаки на Binance часть этой гонки также была проиграна. По анализу Bitquery, шесть из одиннадцати блокировок Tether пришлись на уже пустые адреса. В то же время Elliptic подтвердила заморозку или изъятие из-под контроля злоумышленников около $2,85 млрд по состоянию на 1 ноября. Защита сработала частично, а возвращение даже заблокированных активов потребовало дальнейших процедур.

Для клиентов решающим стало именно то, что Binance взялась восстановить резервы, не дожидаясь результатов этого преследования. Здесь и проходит существенная граница между платформами — есть ли у них ресурс вернуть пользователям доступ к деньгам раньше, чем удастся вернуть похищенное.

Кто на самом деле платит

Прямой ущерб Binance взялась покрыть через SAFU, часть фьючерсного страхового фонда и корпоративные средства. Компания заявила, что из фьючерсного фонда использовала только излишек сверх необходимого уровня защиты, а SAFU пообещала пополнить примерно до $1 млрд. Таким образом, спасение опирается на общую финансовую состоятельность биржи.

Ее масштаб действительно исключительный. CoinMarketCap оценивал раскрытые резервы Binance в $165,12 млрд по ценам на 1 октября — 68,7% совокупных резервов восьми отслеживаемых платформ. Кража на $6,3 млрд равна примерно 3,8% этой суммы. Однако такое соотношение показывает лишь масштаб инцидента относительно активов на хранении. Оно не означает, что остальные деньги компания могла свободно потратить на компенсацию.

Значительная часть резервов обеспечивает клиентские балансы. Если активы уже должны быть возвращены пользователям, их нельзя второй раз считать капиталом для покрытия нового взлома. Именно поэтому Proof of Reserves не заменяет оценку финансового состояния компании. PCAOB предупреждает, что такие отчеты могут не охватывать все обязательства и ограничения по использованию активов.

По состоянию на утро 2 ноября Binance отчитывалась о восстановлении примерно 95% похищенных активов. Остальную часть составляли менее ликвидные токены, которые компания продолжала докупать через рынок и внебиржевые сделки. Для покрытия потерь биржа ранее зарезервировала более $6,34 млрд. Это продемонстрировало ее способность профинансировать спасение, но не показало, сколько свободных ресурсов останется после него. Для клиента важно и то, выдержит ли платформа еще один удар, если он произойдет до пополнения защитных фондов.

Чего не возвращает компенсация

Даже полное восстановление обеспечения не отменяет последствий паузы в выводе средств. У клиента могло быть достаточно денег, но он не успел перевести их для платежа, погашения займа или пополнения залога на другой платформе. Если задержка повлекла дополнительные расходы или убытки, обещание покрыть похищенные активы их не охватывает.

Это особенно важно для трейдеров и бизнеса, которые используют криптовалюту в текущих операциях. Для них деньги имеют ценность не только благодаря количеству монет, но и благодаря возможности воспользоваться ими в нужный момент. Часть счета за кризис поэтому могут оплатить даже те, кто не потерял ни одного токена непосредственно из-за кражи.

Почему взломы могут усиливать позиции крупных бирж

Кризис Binance еще не завершился, однако рекордная кража пока не вызвала пропорционального обвала рынка. После взлома Bybit примерно на $1,5 млрд в феврале 2025 года биткоин опускался с около $100 000 до $97 000, а ETH терял почти 4%. С Binance похитили примерно вчетверо больше, но первоначальная реакция основных активов также измерялась несколькими процентами. Рыночные обстоятельства и временные промежутки различаются, поэтому напрямую приравнивать эти движения не стоит. Однако масштаб кражи сам по себе не определяет силу ценового удара.

Первые данные после открытия вывода средств также не указывали на массовый отток денег. Binance начала восстанавливать его 1 ноября, и за первые девять с половиной часов чистый отток составил около $3,64 млрд, или 2,1% заявленных активов биржи. Часть направлений еще оставалась закрытой, поэтому это лишь первоначальная реакция клиентов.

Одним из факторов такой реакции могли быть ожидания относительно того, кто в конечном итоге понесет убытки. Если платформа способна восстановить резервы и выполнять запросы на вывод средств, у кражи меньше шансов перерасти в кризис неплатежей. Именно поэтому провал Binance можно оценивать по-разному. Для одних он доказывает, что даже крупнейшая биржа не обеспечивает достаточной защиты. Для других готовность покрыть потери становится аргументом в ее пользу. Пользователь может сомневаться в безопасности платформы и одновременно доверять ее способности заплатить после атаки.

С развитием угроз эта способность может становиться все более ценной. ИИ уже помогает преступникам масштабировать мошенничество, создавать более убедительные фишинговые сообщения и подделывать голоса и видеообращения.

Читайте также: Сможет ли ИИ взломать биткоин раньше квантового компьютера

Собственный кошелек оставляет человеку ответственность за ключи, устройства и распознавание обмана, а использование DeFi добавляет риски протоколов. Крупная биржа тоже не устраняет угрозы, однако может предложить ресурс, которого у отдельного пользователя нет, — деньги для восстановления активов после ошибки защиты.

Такая поддержка возможна и в DeFi. Так, после взлома Wormhole Jump Crypto предоставила 120 000 ETH для восстановления обеспечения моста. Следовательно, решающим является доступ к капиталу и готовность направить его на спасение. Если пользователи будут все чаще выбирать платформу по этому критерию, преимущество получат самые богатые участники рынка.

Здесь интерес отдельного клиента может расходиться с последствиями для всей индустрии. Выбрать компанию, которая способна компенсировать потери, вполне рационально. Но чем больше людей будут делать такой выбор, тем больше средств будет сосредоточиваться у нескольких посредников. Их системы будут становиться более привлекательной мишенью, а возможный провал будет затрагивать более широкий круг пользователей. Успешная компенсация способна укрепить позиции биржи после взлома — и одновременно увеличить цену ее следующей ошибки.