- Наприкінці жовтня 2026 року Binance зазнала найбільшого злому в історії криптоіндустрії.
- Зловмисники вивели близько $6,34 млрд із гаманців біржі в десяти блокчейнах.
- Редакція Incrypted розібрала хронологію інциденту.
29 жовтня 2026 року криптовалютна біржа Binance зазнала масштабної кібератаки. Протягом відносно короткого часу зловмисники викрали активи на суму близько $6,3 млрд.
Binance зазнала найбільшого злому в історії крипторинку — збитки оцінюються у $6,3 млрд 30.10.2026 Читати
Інцидент став найбільшим зломом в історії криптоіндустрії, перевершивши атаку на Bybit у лютому 2025 року. Розслідування виявило ретальну підготовку до злому із використанням методів соціальної інженерії та механізму делегування EIP-7702.
Нижче — хронологія основних подій, від підготовки атаки до відновлення виведення коштів і реакції правоохоронців.
Підготовка до атаки
Згідно з попереднім звітом Binance від 3 листопада, підготовка до атаки на внутрішню інфраструктуру біржі розпочалася щонайменше за кілька місяців до викрадення коштів.
https://t.co/sU9dUqLQDH
— Binance (@binance) November 3, 2026
За первинними даними внутрішнього розслідування Binance, опублікованих 30 жовтня, інцидент безпеки міг статися через компрометацію ноутбука одного з DevOps-інженерів. Втім, майже одразу у біржі додали, що «подальша перевірка виявила додаткові точки проникнення».
Зловмисники проникли у внутрішню інфраструктуру через фальшиві співбесіди, заражене програмне забезпечення та скомпрометовані пристрої співробітників. Зрештою вони отримали несанкціонований доступ до сервісу підписання транзакцій.
Як зловмисники могли обійти систему безпеки
За даними розслідування Binance, в червні 2026 року один зі співробітників Wallet DevOps завантажив підроблений інсталятор Homebrew, намагаючись встановити ШІ-інструмент для програмування. Служба безпеки виявила загрозу, замінила пристрій і оновила облікові дані, однак зловмисники вже отримали інформацію про співробітника та його колег.
У вересні атакувальники організували фальшиву співбесіду для іншого розробника Binance. Представившись співробітниками вигаданої компанії, вони переконали його завантажити на робочий комп’ютер репозиторій із кодом під виглядом тестового завдання. Насправді він містив шкідливу програму, яка підмінила компонент інструмента pyenv і забезпечила доступ до пристрою. За твердженням Binance, засоби захисту не виявили загрозу.
20 жовтня через скомпрометований комп’ютер і внутрішній ШІ-інструмент Binance зловмисники отримали доступ до систем ще двох співробітників. На одному з пристроїв вони виявили токен із правами на розгортання контейнерів.
29 жовтня атакувальники використали цей доступ для розгортання шкідливого контейнера та запуску атаки. За попередніми висновками Binance, їм вдалося отримати несанкціонований доступ до внутрішнього сервісу підписання транзакцій, що дозволило виводити активи поза звичайною процедурою біржі.
Напередодні злому
За даними Blockaid, безпосередньо злом розпочався щонайменше за день до основного виведення коштів.
28 жовтня гаманець оператора атаки отримав три невеликі перекази через криптоміксер Tornado Cash. Наступного дня зловмисник почав тестувати механізм майбутньої атаки — перевірив механізм делегування та переміщення активів на трьох власних гаманцях.
Атакувальник заздалегідь розгорнув смартконтракт із функцією sweep, яка дозволяла переказувати Ethereum та визначені токени на іншу адресу. Згодом цей контракт використали для виведення активів із гарячих гаманців біржі.
Покроковий злом
Перші несанкціоновані перекази відбулися не в Ethereum, хоча саме атака на цю мережу згодом привернула найбільше уваги.
Згідно з TRM Labs, 29 жовтня кошти почали надходити з гаманців Binance у XRP Ledger.
Протягом наступних хвилин атака поширилася на інші блокчейни.
Центральним епізодом атаки стала компрометація одного з гарячих гаманців під назвою Binance 14. Для атаки зловмисник скористався механізмом EIP-7702, який з’явився в Ethereum у межах оновлення Pectra.
Хакер надіслав транзакцію з 50 авторизаціями EIP-7702, підписаними для Binance 14. Вони відповідали різним значенням nonce — від 18 914 775 до 18 914 824. Цей параметр визначає послідовність транзакцій, які надсилає гаманець, і запобігає повторному виконанню вже використаних підписів.
Оскільки Binance 14 продовжував обробляти операції, його актуальне значення змінювалося. Підготувавши діапазон авторизацій, атакувальник розраховував, що одна з них відповідатиме потрібному значенню. Розрахунок спрацював: одна авторизація виявилася дійсною.
Кульмінація атаки настала, коли зловмисник викликав функцію sweep і всього за одну транзакцію вивів із Binance 14 близько $2,5 млрд (включаючи 167 464 ETH та 1,615 млрд USDT).
Уже за 24 секунди з гаманця Binance 16 пішли ще 28 005 ETH, а протягом наступних 12 хвилин каскадне виведення охопило інші гарячі гаманці біржі в мережах Optimism, Arbitrum та Avalanche.
Оскільки делегування EIP-7702 залишалося активним і не вимагало нових підписів для кожної наступної операції, зловмисник продовжив спустошувати Binance 14. Протягом наступних кількох годин він повторно вивів понад $1 млрд у USDC та USDT, які надходили на біржовий гаманець від інших користувачів.
У звіті від 3 листопада Binance пояснила, чому навіть призупинення виведення коштів не дозволило негайно зупинити атаку.
Річ у тім, що авторизації EIP-7702 вже були записані в блокчейні та діяли незалежно від звичайної інфраструктури виведення коштів біржі. Тому відключення відповідних сервісів не скасовувало повноваження, які отримав контракт зловмисника.
Ситуацію ускладнювало використання технології MPC (багатосторонніх обчислень) для управління гарячим гаманцем Binance. За такої архітектури немає єдиного приватного ключа, який можна негайно використати для підписання транзакції скасування делегування.
Тому команді Binance довелося розробити й виконати спеціальну процедуру відкликання несанкціонованих дозволів.
Останній несанкціонований переказ на 2961,9 ETH підтвердився в мережі о 23:56 UTC 29 жовтня. Біржа уточнила, що транзакцію надіслали раніше, але вона певний час очікувала підтвердження.
О 00:10 UTC 30 жовтня Binance виконала нову авторизацію для Binance 14 на нульову адресу, очистивши делегування EIP-7702.
Водночас перекази з мереж біткоїну, XRP Ledger, Tron, Solana та інших мереж не потребували використання стандарту EIP-7702. Там кошти виводили за допомогою звичайних підписаних транзакцій.
Ця послідовність свідчить, що атакувальники, ймовірно, отримали доступ до ширших можливостей управління біржовими коштами. У TRM Labs вважають, що сукупність переказів вказує на компрометацію інфраструктури підписання транзакцій Binance.
Що сталося з коштами
Після основного виведення активів атакувальники почали активно переміщувати та конвертувати викрадені токени. Вони намагалися якомога швидше обміняти стейблкоїни на активи, які не можна заблокувати рішенням централізованого емітента.
За даними TRM Labs, близько 325 млн USDT атакувальник обміняв через UniswapX та інші сервіси на приблизно 122 300 ETH. Ще 60 млн USDT він вніс до кредитного протоколу Aave як забезпечення та отримав натомість близько 19 760 ETH вартістю $44,6 млн.
У відповідь команда Aave тимчасово заморозила ринки кредитування у версіях V3 і V4. Обмеження охопили сотні резервів у кількох блокчейнах і стосувалися відкриття нових депозитних та кредитних позицій.
Заморожені активи
У відповідь на інцидент Binance тимчасово призупинила введення та виведення коштів, відкликала дозвіл на використання ураженої адреси й залучила правоохоронні органи до відстеження викрадених активів.
Біржа також звернулася по допомогу до емітентів стейблкоїнів, блокчейн-аналітичних компаній та інших учасників індустрії. Одним із головних завдань стало блокування активів, які ще не встигли відмити.
У перші дні після атаки оцінки обсягу заморожених активів змінювалися залежно від джерела та моменту підрахунку.
За оцінкою ончейн-аналітика ZachXBT, завдяки спільним зусиллям учасників індустрії вдалося заморозити близько $2,8 млрд. Водночас Blockaid повідомила, що Tether і Circle заморозили близько $1,8 млрд на основній адресі збору коштів.
Згодом Binance заявила, що партнери біржі заморозили активи на $3 млрд.
У коментарі Incrypted СТО HackenProof Олександр Горлан зазначив, що значну частину викрадених коштів уже вдалося заморозити завдяки саме оперативній координації біржі, емітентів стейблкоїнів та інших учасників ринку:
«Це важливий результат: швидкість реагування безпосередньо впливає на масштаб наслідків атаки».
$6,34 млрд для компенсації
Після атаки Binance заявила, що покриє підтверджені втрати користувачів власними ресурсами та за рахунок страхового фонду SAFU.
Пізніше біржа повідомила про резервування понад $6,34 млрд для відновлення активів, втрачених унаслідок кібератаки. За даними компанії, близько $5 млрд із цієї суми вже зберігалися в тих самих токенах, які постраждали під час інциденту.
Решту активів біржа закуповувала через ринкові та позабіржові канали, щоб компенсувати нестачу конкретних токенів. Binance пояснила, що цей процес може тривати довше через низьку ліквідність окремих активів і час, необхідний для розрахунків за позабіржовими угодами.
Після призупинення операцій біржа перейшла до поетапного відновлення сервісів. 1 листопада 2026 року Binance відкрила виведення окремих активів у мережах Ethereum і BNB Smart Chain.
Інші активи й мережі мали відкривати поступово після завершення перевірок безпеки. За словами біржі, черговість відновлення визначали, зокрема, з урахуванням попиту користувачів за попередній тиждень.
Компанія також публічно підтвердила наявність коштів користувачів за допомогою механізму підтвердження резервів Proof of Reserves від 31 жовтня.
Binance продовжила співпрацювати з правоохоронцями, емітентами токенів і блокчейн-аналітичними компаніями для відстеження, заморожування та повернення викрадених активів.
Участь КНДР
Федеральне бюро розслідувань США (ФБР) офіційно пов’язало атаку на Binance з Північною Кореєю. Відомство пов’язало атаку з угрупованням TraderTraitor.
За даними ФБР, викрадені активи конвертували переважно в Ethereum. Правоохоронці очікували, що зловмисники продовжать переміщувати кошти через децентралізовані фінансові протоколи та сервіси миттєвого обміну, готуючи їх до подальшого відмивання.
ФБР разом із Секретною службою США та підрозділом кримінальних розслідувань Податкової служби США оприлюднило перелік адрес Ethereum, які зберігали або раніше отримували викрадені активи. Правоохоронці закликали операторів вузлів THORChain і RPC, сервіси обміну, DeFi-платформи та блокчейн-аналітичні компанії блокувати транзакції, пов’язані з цими адресами.
Водночас КНДР відкинула звинувачення. Кім Йо Чжон, сестра лідера країни Кім Чен Ина, назвала висновки американських правоохоронців політичною провокацією.
Наслідки для індустрії
Після найбільшої крадіжки в історії крипторинку біткоїн просів, але обвалу масштабу FTX не сталося. Одні аналітики вбачають у цьому силу ринку, інші ж очікують на нову хвилю страху.
Різні думки експертів ми раніше зібрали в окремому матеріалі:
Стійкість біткоїна та очікування FUD: як ринок пережив злом Binance і чи чекати на нове дно циклу 02.11.2026 Читати
Окремим ризиком залишається можливий продаж зловмисниками активів, які не вдалося заблокувати, вказав Олександр Горлан:
«Найбільш відчутним цей тиск може бути для токенів із невисокою ліквідністю. Тому я б стежив насамперед за рухом викрадених коштів, їх конвертацією та спробами виведення. Сам факт переміщення токенів ще не означає неминучого обвалу: важливі обсяги, швидкість продажу та глибина ринку».
Говорячи про довіру до централізованих бірж, СТО HackenProof підкреслив, що ключовим стане те, як Binance подолає наслідки атаки: чи забезпечить стабільне виведення коштів, чи виконає зобов’язання перед користувачами та чи прозоро пояснить причини того, що сталося.
Станом на 3 листопада Binance повідомила про завершення низки заходів для усунення наслідків атаки.
Компанія перенесла уражену систему гаманців до нового середовища, перебудувала внутрішній ШІ-інструмент і систему управління доступами, замінила скомпрометовані пристрої та відкликала пов’язані з ними облікові дані й токени.
Також біржа провела додаткові перевірки пристроїв співробітників, посилила контроль ризиків у сервісах гаманців і розширила використання ШІ для виявлення аномальної поведінки.
Binance заявила, що протягом 2026 року її служба безпеки виявила та запобігла 57 ймовірним кіберзагрозам, пов’язаним із КНДР. Серед використовуваних зловмисниками методів компанія назвала фальшиві співбесіди, заражені пакети програмного забезпечення, підроблені інструменти розробки та шкідливі застосунки для відеозв’язку.
Крім того, біржа залучає незалежних експертів для перевірки результатів розслідування та розглядає створення фонду досліджень безпеки у співпраці з ШІ-компаніями й представниками криптоіндустрії.
Водночас Binance попередила, що частина технічних подробиць залишиться закритою, аби не допомагати потенційним атакувальникам.
Сообщение Хронологія злому Binance на $6,3 млрд: як атакували найбільшу криптобіржу світу появились сначала на INCRYPTED.
