- Зловмисник використав 50 авторизацій EIP-7702, щоб отримати контроль над гарячим гаманцем Binance 14.
- За даними Blockaid, одна транзакція дозволила вивести активи приблизно на $2,5 млрд, а протягом наступних 12 хвилин кошти втратили ще десять гарячих гаманців на чотирьох блокчейнах.
- Компанія виявила підозрілу операцію через 1 хвилину 55 секунд після першого масштабного переказу.
- Зловмисник зміг повторно вивести кошти з делегованого гаманця.
29 жовтня 2026 року Binance зазнала найбільшого злому в історії крипторинку. Зокрема, зловмисник вивів активи приблизно на $2,5 млрд з одного з основних гарячих гаманців криптобіржі Binance, використавши механізм делегування EIP-7702.
Згідно з технічним звітом компанії Blockaid, атакувальник заздалегідь підготував смартконтракт для перенаправлення активів, а потім скористався авторизацією, підписаною для гаманця Binance 14.
Інцидент не обмежився однією транзакцією: протягом наступних хвилин кошти почали надходити з інших гаманців біржі.
Як працювала атака на гарячий гаманець Binance
За даними Blockaid, підготовка почалася щонайменше за день до основного виведення коштів. Адресу оператора профінансували трьома транзакціями з Tornado Cash, після чого зловмисник протестував механізм делегування та переміщення активів на трьох власних гаманцях.
5 поширених ризиків зберігання криптовалют на централізованих біржах 07.10.2026 Читати
Спочатку атакувальник розгорнув смартконтракт, який згодом використав для виведення коштів Binance. Контракт містив функцію sweep, що дозволяла переказувати Ethereum і зазначені токени на іншу адресу.
За майже 4,5 години зловмисник надіслав транзакцію з 50 авторизаціями EIP-7702, підписаними для Binance 14. Вони відповідали різним значенням nonce — від 18 914 775 до 18 914 824. Оскільки гаманець продовжував обробляти транзакції, його актуальне значення nonce змінювалося. Тому атакувальник підготував діапазон авторизацій, розраховуючи, що одна з них відповідатиме потрібному значенню.
EIP-7702 дозволяє звичайному Ethereum-гаманцю делегувати виконання операцій коду смартконтракту. У цьому випадку механізм використали для надання гаманцю логіки, яка дозволяла переміщувати його активи. За реконструкцією Blockaid, спрацювала одна з 50 авторизацій.
Через чотири хвилини зловмисник викликав функцію sweep. З Binance 14 вивели 167 464 ETH, 1,615 млрд USDT та близько 60 інших токенів. Загальну вартість активів на той момент оцінили приблизно в $2,5 млрд.
Через 24 секунди Binance 16 переказав на ту саму адресу ще 28 005,6 ETH та інші токени. Протягом наступних 12 хвилин кошти також вивели з десяти інших гарячих гаманців на Optimism, Arbitrum та Avalanche. За даними Blockaid, ці перекази відбувалися як звичайні транзакції, підписані ключами відповідних гаманців.
Де і як безпечно зберігати біткоїн та інші криптовалюти у 2026 році 07.09.2026 Читати
Важливо, що використання EIP-7702 не означає злам самого стандарту. Ключове питання полягає в тому, як зловмисник зміг отримати авторизації, підписані для гаманця біржі. Остаточний механізм компрометації на момент публікації звіту залишався нез’ясованим.
Чому зловмисник зміг продовжити виведення коштів
За даними Blockaid, о 20:41:23 UTC хакер використав делегований Binance 14 для переміщення 780 млн USDC зі смартрахунку Binance Hot Wallet 34. Після цього він переказав ще 43 млн USDC.
О 21:44 UTC зловмисник повторно вивів із Binance 14 близько 200 млн USDT та інші токени, які надійшли на гаманець після першої транзакції. Це стало можливим через те, що делегування залишалося активним: адреса продовжувала виконувати код атакувальника без потреби в новій авторизації для кожного виведення.
За оцінкою Blockaid, система моніторингу компанії виявила перше масштабне виведення через 1 хвилину 55 секунд після транзакції. Компанія також повідомила, що її інструменти визначили механізм делегування та ознаки несанкціонованого підписання протягом 11 хвилин.
Співзасновник Blockworks Джейсон Яновіц також описав подальший рух викрадених активів. За його даними, частину коштів перевели на нові адреси, а частину USDT почали обмінювати на ETH через Uniswap та UniswapX.
1/ Everything you need to know about the Binance hack. (written entirely by Claude using the Blockworks MCP) A thread
https://t.co/CUPz6ZFTIl
— Yano
(@JasonYanowitz) October 30, 2026
Іншим напрямом протидії стали заморожування активів. За даними Blockaid, Tether і Circle заморозили близько $1,8 млрд на основній адресі збору коштів. Водночас Ethereum та деякі інші нативні активи не мають централізованого емітента, який міг би заблокувати їх на рівні токенконтракту.
Інцидент показав, що для захисту гарячих гаманців недостатньо контролювати лише звичайні перекази. Механізми делегування, зокрема EIP-7702, також потребують перевірки перед підписанням, а зміни коду гаманців — постійного моніторингу.
Blockaid наголошує на важливості політик, які перевіряють транзакції до створення підпису, та інструментів, здатних оперативно виявляти підозрілу активність.
Повний механізм проникнення в інфраструктуру Binance та спосіб отримання зловмисником необхідних авторизацій поки залишаються невідомими.
Разом з тим криптобіржа зарезервувала понад $6,3 млрд для покриття збитків від масштабного злому.
Нагадаємо, що минулого місяця Bitget підтвердила злом на $351,6 млн, розмір якого пізніше оцінили у $387,5 млн.
Сообщение Як хакери вивели $2,5 млрд з одного гаманця Binance — Blockaid розкрила механізм атаки появились сначала на INCRYPTED.
