TRM Labs, фірма з blockchain-розвідки, атрибутувала злом Binance на $6,36 млрд – що стався 29 жовтня 2026 року – групі TraderTraitor, хакерському підрозділу КНДР, якого ФБР раніше назвало виконавцем крадіжки $1,5 млрд з Bybit у лютому 2025-го. Зловмисники вивели кошти з десяти блокчейнів менш ніж за 20 хвилин; Binance заблокував виведення і повідомив, що покриє всі збитки клієнтів.
- Хронологія: від Tornado Cash до порожнього гаманця
- EIP-7702 і скомпрометований ноутбук: технічна механіка
- TraderTraitor: хакерська одиниця КНДР і попередні операції
- Binance: ,7 млрд заморожено, ,4 млрд – поза досяжністю
- Більше матеріалів
- CLO: механіка траншів і урок CDO Citigroup на млрд
- Хакери КНДР вивели ,36 млрд з Binance за 20 хвилин
- Угорська прокуратура затримала екс-голову МНБ Матолчі
- McDonald’s звинуватили в AI-ціновій змові з 14 тисячами франчайзі
- Дюрація облігацій: механіка ризику і крах SVB за 48 годин
- Amazon Q3 2026: AWS досяг темпів 2021 року, акції впали на 10%
Хронологія: від Tornado Cash до порожнього гаманця
За даними TRM Labs, підготовка до зламу почалася щонайменше за 36 годин. Ранком 28 жовтня група зробила невеликі виведення через Tornado Cash на окремий операційний гаманець – стандартний підготовчий крок, який TRM фіксувала і в попередніх операціях TraderTraitor. 29 жовтня о 20:05 UTC почалась основна фаза.
За хвилину зловмисники вивели 233,46 млн XRP з п’яти Binance-гаманців на XRP Ledger. Паралельно були осушені гаманці на Solana та Optimism. О 20:20 UTC гаманець на Ethereum отримав транзакцію з 50-ма авторизаціями – за нею через 3 хвилини 24 секунди було виведено 167 464 ETH плюс 63 токени, включно з 1,615 млрд USDT. В ту саму хвилину Bitcoin-гаманець Binance відправив 18 270 BTC: кошти одразу ж були розщеплені через peel chain прямо в тому самому блоці.
Другу хвилю проти Tron-гаманця запустили впродовж двох хвилин після 20:20 – 612,7 млн USDT і 46,4 млн TRX. Близько 23:05 атака перекинулась на Avalanche і Polygon. TRM зафіксував дані станом на 00:30 UTC 30 жовтня: Ethereum становив $3,79 млрд від загальної суми, Bitcoin – $1,47 млрд, Tron – $628 млн, XRP Ledger – $296 млн.
Stablecoin-емітенти відреагували протягом години. Tether заморозив 971,1 млн USDT о 21:01. Circle заблокував 823 млн USDC о 21:04. Ripple зупинив RLUSD о 22:01. Загалом на момент публікації TRM зафіксував заморожування приблизно $2,7 млрд – переважно в стейблкоїнах.
EIP-7702 і скомпрометований ноутбук: технічна механіка
На Ethereum зловмисники використали EIP-7702 – стандарт, запроваджений з оновленням Pectra у травні 2025-го. Він дозволяє звичайному гаманцю тимчасово делегувати виконання коду смарт-контракту. Binance-гаманець підписав 50 авторизацій, кожна з яких вказувала на контракт-sweeper під контролем атакувальника; одна з них збіглась з поточним лічильником транзакцій гаманця. Ця делегація залишилась активною після першого виведення – що дозволило атакувальнику збирати нові надходження повторно.
На решті дев’яти блокчейнів зафіксовано стандартні підписані перекази без делегації. TRM оцінює це як компрометацію інфраструктури підписування гарячих гаманців Binance. Сама біржа заявила, що злом стався після того, як хакери отримали доступ через скомпрометований ноутбук одного з інженерів – що «дозволило атакувальнику увійти до сервісного контейнера і надсилати несанкціоновані транзакції виведення». Kok Tin Gan, співзасновник і CEO blockchain-компанії NyxLab, у коментарі CBS News 30 жовтня охарактеризував атаку так: «Це схоже на один підпис, що надав зловмисникові токен безстрокового повного доступу до гарячого гаманця Binance».
Binance заявила, що не знайшла доказів витоку приватних ключів. Детальний технічний розбір першопричини компанія обіцяє опублікувати після завершення розслідування.
TraderTraitor: хакерська одиниця КНДР і попередні операції
TraderTraitor – це підрозділ у складі Lazarus Group, ширшої хакерської мережі КНДР, яку Міністерство фінансів США описує як таку, що атакує установи в державному і фінансовому секторах. ФБР вже атрибутувало цій групі злом Bybit на $1,5 млрд у лютому 2025-го – тоді це був найбільший криптозлом в історії. Нинішній злом Binance перевищує Bybit приблизно вчетверо.
TRM зафіксував у нинішній операції характерні спільні ознаки з Bybit і квітневим 2026 року зламом KelpDAO: невеликі виведення через Tornado Cash для фінансування операційного гаманця, поетапна підготовка, і підписи, отримані заздалегідь і виконані одним пакетом. Однак схема відмивання цього разу відрізняється від Bybit. TRM зафіксував великі обміни через маркетмейкери і протоколи кредитування: зокрема, близько 325 млн USDT були продані через UniswapX та аналогічні контракти приблизно за 122 300 ETH – з дисконтом понад 10% до ринкової ціни. Окремий гаманець задепонував 60 млн USDT на Aave і позичив приблизно 19 760 ETH.
Jonathan Levin, CEO Chainalysis, написав у соцмережі 30 жовтня, що злом швидше за все виконаний TraderTraitor. Blockchain-компанія Elliptic також атрибутувала крадіжку хакерам КНДР, вказавши на спільний гаманець з раніше атакованою платформою Bitget ($351 млн, вересень 2026 року). За оцінками аналітиків, Північна Корея використовує вкрадену криптовалюту для заробітку іноземної валюти і фінансування програми ядерного озброєння.
Binance: $2,7 млрд заморожено, $2,4 млрд – поза досяжністю
Andie Cooper, речник Binance, у заяві TechCrunch від 30 жовтня 2026 року підтвердила, що галузеві партнери заморозили близько $3 млрд з викраденого. TRM уточнює: станом на 00:30 UTC 30 жовтня заморожено $2,67 млрд у стейблкоїнах плюс близько $30 млн в ETH і ARB. Атакувальник при цьому контролює ще приблизно $2,4 млрд активів, недосяжних для емітентів – включно з понад 420 000 ETH і 18 270 BTC.
Changpeng Zhao (CZ), засновник і колишній CEO Binance, який більше не управляє компанією, написав у соцмережі: «Кошти користувачів у безпеці!» – і додав, що як акціонер очікує повного відшкодування. Binance підтвердила: депозити під час атаки не постраждали, виведення коштів було тимчасово призупинено і мало бути відновлено впродовж доби-двох. Co-CEO Binance Yi He повідомила, що Ripple допоміг зупинити близько $200 млн у RLUSD – хоча TRM підтверджує on-chain лише заморожування 40,5 млн RLUSD.
TRM прогнозує, що на наступному етапі відмивання хакери вдаватимуться до cross-chain мостів, своп-сервісів і OTC-брокерів – той самий маршрут, яким рухались після зламу Bybit. Після Bybit американські прокурори змогли відстежити і заморозити частину коштів через партнерів на азійських біржах, однак $1,2 млрд з $1,5 млрд залишились поза досяжністю.
Злом Binance відрізняється від попередніх масштабних криптокрадіжок тим, що атакувальники вперше застосували EIP-7702 – стандарт, якому ледь рік, – для делегування доступу до гаманця гарячого рівня однієї з найбільших бірж світу. Це означає, що будь-яка централізована біржа, яка зберігає підписувальну інфраструктуру без ізоляції від новіших EVM-стандартів, зараз перебуває під тим самим вектором атаки.
Binance не розкрила терміни відновлення повноцінної роботи; розслідування причин і масштабів продовжується. Станом на 30 жовтня 2026 року атакувальники контролюють активи на суму $2,4 млрд, і TRM очікує нових спроб виведення через децентралізовані канали.
Джерела: TechCrunch, “North Korean hackers blamed for stealing record $6.3B in Binance breach” · TRM Labs, “North Korea Steals USD 6.36 Billion From Binance in the Largest Hack in History” · CBS News / AP, “$6.3 billion Binance hack was likely work of North Korea”
