Новые детали крупнейшего взлома в истории криптоиндустрии проясняют картину: ущерб Binance в $6,36 млрд распределился по девяти блокчейнам, а хакер успел обменять часть стейблкоинов до того, как эмитенты их заморозили. При этом в сети Ethereum атаку готовили заранее.

Под удар попали горячие кошельки Binance — те, что постоянно подключены к сети и обрабатывают выводы пользователей. Ни уязвимости блокчейна, ни утечки приватных ключей, по данным биржи, не было.

Хакер, по предварительной версии, пробрался во внутреннюю инфраструктуру, которая формирует и подписывает транзакции: точкой входа стали компьютер DevOps-инженера и служебный контейнер. Окончательные выводы о способе проникновения делать рано — расследование продолжается.

Механика атаки и распределение средств

Самое показательное происходило в Ethereum. Там злоумышленник применил EIP-7702 — механизм, позволяющий обычному кошельку передать выполнение операций смарт-контракту. Схема выглядела так:

  • злоумышленник заранее подготовил 50 подписанных разрешений с последовательными номерами;
  • одно из них передало управление горячим кошельком контракту-сборщику;
  • после захвата контракт мог продолжать выводить и новые поступления на кошелек.

Подобная подготовка — доказательство того, что операцию планировали заблаговременно, а не воспользовались случайной дырой. В остальных сетях средства уводили обычными подписанными транзакциями.

Общий ущерб оценивается в $6,36 млрд по стоимости активов на момент транзакций — это сходится с оценкой самой Binance в $6,3 млрд. Больше половины пришлось на Ethereum:

  • Ethereum — около $3,79 млрд;
  • Bitcoin — около $1,47 млрд;
  • TRON — $628 млн;
  • XRP Ledger — $296 млн;
  • Solana — $96 млн;
  • остальное — Arbitrum, Optimism, Base, Avalanche и Polygon.

В одной из основных транзакций ушли 167 464 ETH и около 1,615 млрд USDT. Далее хакер дробил средства и менял их на активы, которые нельзя заблокировать. В Ethereum похищенное обменяли на ETH, основная часть осела на трех кошельках; в TRON удалось превратить 234 млн USDT в TRX до заморозки; в Bitcoin 18 270 BTC разложили по нескольким адресам, в основном по 1 000 BTC на каждый.

Что удалось заморозить

Последствия удалось локализовать лишь частично. Заморозка работает только для стейблкоинов, у которых есть эмитент, способный заблокировать монеты на конкретных адресах. Эмитенты заморозили:

  • Tether — около 1,76–1,77 млрд USDT;
  • Circle — 825 млн USDC;
  • Ripple — 40,5 млн RLUSD;
  • World Liberty Financial — 27,8 млн USD1.

Отдельно сработал Arbitrum: совет безопасности сети перевел около $30 млн на служебный адрес, и распоряжаться ими теперь можно только по итогам голосования ArbitrumDAO. Независимые подсчеты дают около $2,7 млрд замороженных активов, Binance говорит примерно о $3 млрд.

С ETH, BTC и TRX такой сценарий не сработает — у них нет централизованного эмитента. Именно поэтому хакер торопился обменивать стейблкоины: 40,5 млн RLUSD заморозить успели, а около $48 млн злоумышленник вывел и обменял раньше. Binance на время проверок остановила ввод и вывод средств и пообещала компенсировать убытки.

Личность атакующих не называется: приписывать взлом конкретным людям или группам без доказательной базы преждевременно, а адреса в блокчейне публичны, но установить их реального владельца удается не всегда.

Анализ Cryptalist: Для отрасли сама по себе сумма не критична на фоне общей капитализации рынка — куда серьезнее удар по доверию к централизованным биржам, и пользователям придется заново оценивать их безопасность. Способность Binance полностью покрыть убытки клиентов сомнений не вызывает: для площадки такого масштаба это вопрос репутации. Главный урок — надежная защита приватных ключей ничего не гарантирует, если уязвима инфраструктура, управляющая транзакциями.