Черный день для крипты.
Вечером 29 октября криптовалютный рынок пережил сразу два взлома. Сначала злоумышленники через сторонний скрипт обчистили около 700 аккаунтов на платформе прогнозов Polymarket, а через пару часов с кошельков Binance, крупнейшей криптобиржи мира, ушло больше 6 миллиардов долларов примерно за 20 минут.
Ограбление Binance уже называют крупнейшим в истории криптовалют, а аналитики Elliptic считают, что это вообще самая большая кража на планете. Разбираемся, что случилось, вернут ли людям деньги и мог ли хакерам помогать ИИ.
Содержание
Как ограбили Binance
Готовиться к атаке начали заранее. Утром 28 октября кошелек злоумышленника получил несколько небольших переводов через Tornado Cash – это миксер, который запутывает происхождение монет. 29 октября хакеры несколько раз проверили свой код на тестовых кошельках, а примерно через четыре часа после последней репетиции запустили его уже на кошельках Binance.
Около 23:05 по Москве начали пустеть горячие кошельки биржи в сети XRP, следом в Solana и Optimism. В 23:20 ушли 18 270 биткоинов, почти одновременно опустел кошелек в сети Tron, а затем и основной кошелек в Ethereum – около 167 тысяч ETH, больше 1,6 миллиарда долларов в USDT и еще десятки токенов одной транзакцией.
Горячими называют кошельки, подключенные к интернету: через них биржа проводит ежедневные выводы клиентов, поэтому там всегда лежат крупные суммы. Ночью хакеры прошлись второй волной по сетям Avalanche и Polygon.
По подсчетам TRM Labs, всего с Binance вывели около 6,36 миллиарда долларов в десяти блокчейнах. Elliptic насчитала 6,43 миллиарда в 11 сетях, сама биржа говорит про 6,3 миллиарда. Для сравнения, прошлый рекорд принадлежал взлому Bybit в феврале 2025 года – тогда украли около 1,5 миллиарда долларов, то есть вчетверо меньше.
Первые часы биржа молчала. Около полуночи по Москве основатель Binance Чанпэн Чжао, он же CZ, написал в X, что это действительно похоже на взлом, но средства пользователей в безопасности. Однако он сразу оговорился, что больше не управляет компанией, а говорит как акционер. Вскоре биржа подтвердила инцидент, а сооснователь и сооглава Binance И Хэ пообещала покрыть все потери.
Как хакеры попали внутрь
По первой версии Binance, злоумышленник получил доступ к ноутбуку DevOps-инженера, то есть сотрудника, который отвечает за инфраструктуру и развертывание сервисов. Через этот компьютер он добрался до одного из внутренних сервисов и начал отправлять оттуда транзакции на вывод. Утечки приватных ключей от кошельков биржа не нашла. Днем 30 октября Binance добавила, что расследование выявило и другие точки взлома, но какие именно, не уточнила.
Ончейн-аналитики считают, что хакеры фактически захватили систему, которая подписывает транзакции биржи. В TRM обращают внимание, что валидные подписи появились в разных сетях с разными типами ключей всего за полчаса, а без доступа к подписям так не получится.
В Ethereum хакеры использовали механизм EIP-7702, который появился в сети после обновления Pectra в мае 2025 года. Он позволяет обычному кошельку передать управление смарт-контракту по одной подписанной записи. Злоумышленник заранее подготовил 50 таких разрешений сразу на несколько номеров транзакций вперед, чтобы одно из них наверняка подошло. Как только оно сработало, кошелек Binance начал подчиняться контракту хакера и сам отдавал ему все, что туда поступало, поэтому в течение ночи его опустошили еще несколько раз. Сооснователь компании NyxLab Кок Тин Ган описал это как одну подпись, которая выдала атакующему бессрочный полный доступ к горячему кошельку.
Кто стоит за атакой
Блокчейн-аналитики почти единогласно указывают на Северную Корею. TRM Labs с высокой уверенностью связывает атаку с TraderTraitor – подразделением северокорейской группировки Lazarus. В Chainalysis и Elliptic также считают такую версию вероятной. Elliptic к тому же нашла связь похищенных средств с адресом, который получал деньги после сентябрьского взлома биржи Bitget, тоже приписанного КНДР.
Почерк у хакеров знакомый. Сначала мелкие переводы через Tornado Cash, потом долгая подготовка и в конце – заранее подписанные транзакции, которые срабатывают одной пачкой. Так же действовали при взломе Bybit, который ФБР официально приписало TraderTraitor. Правда, правительства и правоохранители на этот раз авторство пока не подтверждали.
Если версия подтвердится, КНДР почти удвоит свою криптодобычу. По оценкам экспертов, связанные с Пхеньяном хакеры за последние годы украли больше 6,5 миллиарда долларов в криптовалюте.
Что случилось с Polymarket
Polymarket – платформа рынков предсказаний, где пользователи покупают и продают доли в исходах событий, от выборов до киберспортивных матчей. Около 20:50 по Москве 29 октября, примерно за два часа до атаки на Binance, пользователи начали жаловаться, что их аккаунты опустели.
Сам код Polymarket при этом никто не ломал. Платформа сообщила лишь, что взломали одного из ее сторонних поставщиков. По данным BleepingComputer, вредоносный код пришел через скрипт британской компании DebugBear, которая следит за скоростью работы сайтов. Такой скрипт загружается на странице у каждого посетителя и пользуется доверием самого сайта. Зараженная версия проверяла, вошел ли человек в аккаунт, оценивала его баланс и позиции, а затем продавала их или напрямую переводила токены на кошелек злоумышленника. DebugBear подтвердила инцидент и попросила клиентов убрать ее код со своих сайтов.
Polymarket вырезала скрипт, в 21:05 перевела международную биржу в режим, где можно только отменять ордера, а примерно через час вернула торги. По оценкам аналитиков, пострадали около 700 аккаунтов, общие потери составили 2,6-2,7 миллиона долларов. Отдельные трейдеры пишут о потерях в 800 и 600 тысяч долларов, но официальных цифр компания не публиковала. Американскую версию Polymarket атака, судя по всему, не затронула. Кстати, похожий случай уже был в июне, тогда через взломанного подрядчика у пользователей вывели около 3 миллионов долларов.
Есть и ироничная деталь. На самом Polymarket давно торгуется рынок «Взломают ли Polymarket до 1 ноября 2026 года?», и за некоторое время до взлома вероятность «Да» там выросла с 40 до 67 процентов.
Что будет с людьми, у которых украли деньги
Клиентам Binance деньги, по словам биржи, вернут полностью. Формально украли средства с кошельков самой биржи, на которых хранятся общие депозиты, а балансы пользователей на аккаунтах остаются прежними. Покрывать убытки Binance будет из фонда SAFU и собственных денег компании. SAFU – это страховой резерв биржи на случай взлома, что-то вроде страхования вкладов в российских банках, только без закона и государственных гарантий, на слове самой компании. В фонде лежит около 15 тысяч биткоинов, это примерно 1,2 миллиарда долларов.
Самое главное, что примерно 3 миллиарда из украденного уже заморозили. Остальное, от 2,4 до 3,3 миллиарда по разным оценкам, хакеры держат в монетах, которые заблокировать невозможно. Значит, фонд закроет лишь часть дыры, а остальное придется доставать из баланса компании. Опыт у Binance есть, в 2019 году SAFU уже компенсировал клиентам 7000 украденных биткоинов.
Прямо сейчас на бирже приостановлены выводы. Binance обещает вернуть их в течение примерно двух суток, а после завершения расследования опубликовать технический отчет и обновленное подтверждение резервов. Если у вас есть аккаунт на Binance, не реагируйте на письма и сообщения про «компенсацию» или «срочную проверку средств». Мошенники всегда приходят следом за громкими взломами, и биржа уже отдельно предупредила об этом пользователей.
С Polymarket проще, сумма в тысячи раз меньше. Компания пообещала полностью возместить потери всем пострадавшим. По данным CNBC, тем, кто потерял меньше 10 тысяч долларов, деньги должны вернуть до 30 октября, а с крупными потерями придется сначала подписать отдельное соглашение.
Как это ударило по рынку
Новость о взломе Binance обвалила рынок за считаные минуты. Биткоин опустился с 80,3 тысяч до примерно 76,4 тысяч долларов. За первый час ликвидировали позиций примерно на 628 миллионов долларов, а к утру сумма ликвидаций превысила 1,5 миллиарда.
Сильнее всего досталось BNB, собственной монете Binance, она за сутки потеряла около 8 процентов цены и опускалась ниже 700 долларов. Ethereum просел на 4-5 процентов, Solana и XRP – на 5-7 процентов. Стейблкоины USDT и USDC удержали привязку к доллару.
В плюсе оказались немногие. Токен децентрализованной биржи Hyperliquid подорожал примерно на 15 процентов. Часть рынка увидела в нем безопасную альтернативу, ведь на такой бирже монеты не лежат на кошельках компании, но рост подогрела и новость о партнерстве Hyperliquid с владельцем Нью-Йоркской фондовой биржи ICE. Глава исследований цифровых активов Standard Chartered Джеффри Кендрик считает, что падение еще не закончилось, а новое дно рынок найдет, только когда разморозят активы и станут известны подробности взлома. По его мнению, после такого инцидента часть пользователей уйдет с централизованных бирж на децентрализованные.
Что делают другие биржи и компании
Отрасль отреагировала уже в первые часы. Вот кто и что успел сделать:
Tether заморозила больше 1,57 миллиарда долларов в USDT. Первая заморозка на 971 миллион прошла всего через 37 минут после главного вывода, позже сумма выросла.
Circle совместно с правоохранителями заблокировала около 825 миллионов в USDC.
Ripple, World Liberty Financial и First Digital заморозили украденные стейблкоины RLUSD, USD1 и FDUSD.
Совет безопасности сети Arbitrum принудительно вывел с кошелька хакера активы примерно на 30 миллионов долларов.
Протокол Aave заморозил рынки, через которые хакеры патались занять ETH под залог украденных USDT.
Coinbase перестала проводить переводы на связанные с атакой кошельки и предложила Binance помощь, а глава биржи Брайан Армстронг призвал отрасль действовать вместе.
Bybit опровергла слухи о том, что ее тоже взломали, и подтвердила, что торги и выводы работают.
Крупнейшая индийская биржа CoinDCX ограничила открытие новых фьючерсных позиций, потому что часть ликвидности получает от Binance.
Маркетмейкеры Wintermute и GSR раскрыли, какая доля их капитала лежит на Binance, чтобы успокоить партнеров.
Почему вернуть удалось только половину, а не все? Стейблкоины выпускают компании, которые могут заблокировать монеты на конкретном адресе, поэтому на них приходится 94 процента замороженного. С биткоином, Ethereum, XRP и Solana так не выйдет, поскольку у этих монет нет владельца, который мог бы нажать кнопку «заморозить». Именно в них хакеры и держат оставшиеся миллиарды.
Помогал ли хакерам ИИ
Сразу оговоримся, ни Binance, ни Polymarket, ни аналитики о нейросетях в этих атаках не говорят. Но версия, что без ИИ не обошлось, выглядит правдоподобно, и вот почему.
Октябрь 2026 года специалисты по кибербезопасности уже прозвали «Черным октябрем» из-за волны атак с участием ИИ. Исследователи с помощью нейросетей превратили давние ошибки в PHP в рабочий эксплойт. ИИ-агенты другого хакера за несколько недель попытались взломать больше 1200 сайтов и пробились примерно в сотню компаний, потратив на токены около 5000 долларов. В атаках фигурировали как китайская DeepSeek, так и Claude Code. А китайский инструмент ARTEX, построенный на открытых моделях, по данным CrowdStrike, использовали для кражи данных из южнокорейских финансовых организаций.
Северная Корея на этом фоне тоже не отстает. Сооснователь Mysten Labs Костас Халкиас рассказывал, что северокорейские группировки используют языковые модели почти на каждом этапе атаки, от разведки и фишинга до анализа кода и отмывания денег. Microsoft и Mandiant фиксировали рост ИИ-фишинга, дипфейков и фейковых соискателей, через которых агенты КНДР выдают себя за западных разработчиков. Профессор Университета RMIT Крис Берг в комментарии ABC допустил связь взлома Binance с волной ИИ-атак, но усомнился, что без нейросетей такая атака была бы невозможна.
Есть и аргументы против. Скорость в 20 минут объясняется не нейросетью, а подготовкой – подписанные заранее транзакции просто сработали пачкой. Вход через ноутбук сотрудника – классика TraderTraitor, группировка годами заманивает инженеров фальшивыми вакансиями и зараженными файлами. Атака на Polymarket через сторонний скрипт тоже старый прием, хотя логика, которая сама оценивала баланс и продавала позиции, написана явно со знанием дела.
Скорее всего, ИИ здесь работал как ускоритель, а не как главный взломщик – помогал готовить фишинговые письма, разбирать чужой код и автоматизировать рутину. Подтвердить или опровергнуть это сможет технический отчет Binance, который биржа обещает после расследования. Но главный урок уже понятен. Обе платформы изначально пробили не через смарт-контракты, а через людей и чужой код – ноутбук инженера и скрипт аналитики. С ИИ находить такие слабые места становится дешевле, а значит, следующий громкий взлом, вероятно, случится не через год, а гораздо раньше.
***
Minecraft в Elden Ring, CS в Minecraft и даже 8 игр в одной – как ИИ научил моддеров скрещивать игры
«Белый список» Рунета: какие сайты работают при отключении мобильного интернета
Комментарии