Binance с рекорден инцидент със сигурността. От борсата са изтеглени 6,3 млрд. долара. Най-големият хак в историята на криптовалутите ли е това?
На 29 октомври 2026 г. най-голямата борса за криптовалути в света - Binance, стана обект на мащабен инцидент със сигурността. Нападателите са успели да получат достъп до 17 горещи портфейла и да изтеглят криптоактиви на стойност приблизително 6,3 млрд. долара за по-малко от четири часа. Атаката е засегнала няколко блокчейн мрежи. Binance потвърди инцидента и заяви, че ще покрие всички загуби на клиентите чрез фонда SAFU и собствени средства. Според компанията активи на стойност около 3 млрд. долара вече са били замразени.
Според първоначалното разследване атаката може да е започнала с компрометиране на лаптопа на инженер от екипа DevOps на Binance. Засега няма доказателства, че нападателите са получили достъп до частните ключове на портфейлите.
Binance: какво точно се случи на 29 октомври?
Според данните на Bitquery първите изходящи трансакции са регистрирани на 29 октомври в 20:04 UTC. През следващите часове от портфейлите на Binance са изтеглени значителни количества криптовалути. Най-важните събития са следните:
20:04 UTC - регистрирани са първите изходящи трансакции от портфейлите на Binance.
20:20:06 UTC - към нападателя са прехвърлени приблизително 18 270 BTC.
20:20:59 UTC - регистрирани са 50 EIP-7702 разрешения, свързани с адреса Binance 14.
20:24 UTC - започва основната серия от трансакции с ETH и ERC-20 токени.
20:26 UTC - извършени са допълнителни трансфери на ETH.
20:40-20:41 UTC - регистрирани са още трансфери на ETH и USDC.
23:56 UTC - според Bitquery приключва наблюдаваният период на изходящите трансакции.
30 октомври, 02:23 UTC - Binance публикува официално съобщение и оценява засегнатата сума на приблизително 6,3 млрд. долара.
Атаката е засегнала 17 горещи портфейла и няколко блокчейн мрежи. Bitquery е установила движение на средства в девет мрежи, докато TRM Labs посочва десет. Сред тях са Bitcoin, Ethereum, Tron, Solana, XRP Ledger, Arbitrum, Avalanche, Optimism, Base и Polygon.
Важно е да се прави разлика между трансфера на Bitcoin и EIP-7702 разрешенията. Това са две различни събития, които са част от един и същ инцидент, но имат различно техническо значение.
Какви криптовалути бяха откраднати от Binance?
Голяма част от установените трансфери са извършени в мрежата на Ethereum. Според данните на Bitquery към адресите на нападателите са прехвърлени, наред с други, следните активи:
USDT - 1 615 409 499 токена на стойност приблизително 1,615 млрд. долара.
USDC - 780 177 060 токена на стойност приблизително 780 млн. долара.
ETH - приблизително 195 470 ETH на стойност около 442 млн. долара.
wBETH - 29 934 токена на стойност около 74,6 млн. долара.
RLUSD - 62 597 240 токена на стойност около 62,6 млн. долара.
XAUt - 11 372 токена на стойност около 45,6 млн. долара.
UNI - 6 189 796 токена на стойност около 41,2 млн. долара.
ENA - 198 369 717 токена на стойност около 37 млн. долара.
PEPE - приблизително 7,18 трилиона токена на стойност около 35,3 млн. долара.
USD1 - 27 760 802 токена на стойност около 27,7 млн. долара.
LINK - 2 263 172 токена на стойност около 25 млн. долара.
AAVE - 127 853 токена на стойност около 16,2 млн. долара.
Тези данни отразяват само трансферите, установени в мрежата на Ethereum. Те не включват всички активи, преминали през различните блокчейн мрежи, и не представляват пълния финансов мащаб на инцидента. Поради това тези суми не трябва да се прибавят към оценката на Binance от 6,3 млрд. долара.
18 270 BTC, или приблизително 1,4 млрд. долара. Нападателят раздели биткойните между 19 портфейла
Една от най-забележителните части на инцидента беше прехвърлянето на приблизително 18 270,2 BTC към адреси, контролирани от нападателите. Според Bitquery това е станало чрез 11 трансакции, след което биткойните са били разпределени между 19 различни портфейла.
Разпределението е следното:
17 портфейла са получили по точно 1 000 BTC.
Един портфейл е получил приблизително 832,5 BTC.
Един портфейл е получил приблизително 437,7 BTC.
Към 30 октомври, 04:23 UTC, нито един от тези биткойни не е бил прехвърлен отново.
Това е важна разлика спрямо стейбълкойните. Bitcoin няма централен емитент, който да може да замрази конкретни адреси. Затова възстановяването на откраднатите BTC зависи основно от това дали нападателите ще се опитат да ги обменят чрез централизирани борси или OTC посредници, които могат да разпознаят съмнителните трансакции и да откажат да ги обработят.
Нападателят размени част от стейбълкойните за ETH и TRX. Какво успя да бъде спасено?
Според Bitquery нападателят е разменил приблизително 729 млн. долара в стейбълкойни за ETH и TRX, преди част от адресите да бъдат замразени.
В резултат на това в портфейлите на нападателя са се натрупали приблизително 490 361 ETH. Това е около 2,4 пъти повече от първоначалното количество от приблизително 200 630 ETH.
Към 30 октомври, 03:54 UTC, в портфейлите на нападателите все още са се намирали активи на стойност приблизително 3,1 млрд. долара. До този момент не са били установени трансфери към криптоборси или услуги за смесване на трансакции.
TRM Labs представи по-ранна оценка с различни стойности: според анализа на компанията нападателите са контролирали над 420 000 ETH и 18 270 BTC с обща стойност приблизително 2,4 млрд. долара.
Разликите вероятно се дължат на момента на събиране на данните, използваната методология и обхвата на наблюдаваните мрежи. Затова различните оценки не означават непременно, че някоя от тях е погрешна.
Как нападателят е получил контрол над портфейлите на Binance?
Според първоначалното разследване атаката може да е започнала с компрометиране на лаптопа на инженер от екипа DevOps на Binance. Твърди се, че нападателите са успели да получат достъп до контейнер на услуга във вътрешната инфраструктура на компанията и да го използват за иницииране на неоторизирани тегления.
Binance заяви, че засега няма доказателства за изтичане на частните ключове на портфейлите.
Това е важно, защото атаката не представлява пробив в криптографията на блокчейна. Нападателите не е трябвало да компрометират механизмите за сигурност на Bitcoin или Ethereum. Вместо това те са използвали достъпа до вътрешните системи на Binance.
Отделно внимание в анализите на инцидента привлече механизмът EIP-7702. Този стандарт на Ethereum позволява на обикновен адрес на портфейл временно да делегира изпълнението на трансакции на код от смарт договор, като същевременно запазва собствения си адрес и баланс.
С адреса Binance 14 са били свързани 50 EIP-7702 разрешения. Те са били подписани и подготвени за последователни стойности на nonce. Това е позволило на код, контролиран от нападателите, да изпълнява последователни трансфери.
Важно е да се подчертае, че самият EIP-7702 не представлява уязвимост в сигурността. Това е функционалност на протокола Ethereum, която може да се използва и за напълно легитимни цели. Проблемът е бил в начина, по който нападателите са успели да използват разрешенията.
Binance обеща да публикува технически доклад за инцидента, който трябва да помогне за по-точното разбиране на начина, по който е извършена атаката, и на мерките за сигурност, които са я направили възможна.
Кой стои зад атаката срещу Binance? Следите водят към Северна Корея
Според оценката на TRM Labs с висока степен на увереност зад атаката стои хакерската група TraderTraitor, свързвана със Северна Корея. Анализът на Chainalysis също насочва към тази страна.
TraderTraitor е група, която се свързва с кибероперации на Северна Корея и чиято дейност в миналото е била асоциирана с атаки срещу сектора на криптовалутите.
Анализаторите отбелязват и сходства с атаката срещу Bybit през февруари 2025 г., когато бяха откраднати криптоактиви на стойност приблизително 1,5 млрд. долара.
Все пак трябва да се има предвид, че това са оценки на аналитични компании. До момента правоприлагащите органи не са потвърдили официално, че конкретна група стои зад атаката.
Колко средства успяха да бъдат замразени? Binance съобщава за приблизително 3 млрд. долара
Според последното публично съобщение на Binance са били замразени активи на стойност приблизително 3 млрд. долара.
Bitquery оценява замразената сума на приблизително 2,7 млрд. долара. TRM Labs също посочва стойност в същия диапазон.
В замразяването са участвали няколко компании и партньори от криптосектора, сред които:
Tether
Circle
Ripple
World Liberty Financial
Arbitrum Security Council
други партньори
Разликите между оценките може да се дължат на момента на събиране на данните, обхвата на наблюдаваните мрежи и използваната методология.
Трябва също да се подчертае, че замразените активи не означават автоматично, че вече са върнати на Binance. Замразяването предотвратява по-нататъшното им прехвърляне, но действителното им възстановяване може да изисква допълнителни технически и правни действия.
Как реагира Binance? SAFU, покриване на загубите и спрени тегления
Binance потвърди официално инцидента на 30 октомври в 02:23 UTC. Компанията заяви, че ще покрие всички загуби на клиентите чрез фонда SAFU и собствени средства.
SAFU, или Secure Asset Fund for Users, е резервен фонд, създаден от Binance за защита на потребителите. Целта му е да осигури допълнителна защита в извънредни ситуации.
Компанията предприе и няколко допълнителни мерки:
временно бяха спрени депозитите и тегленията;
бяха отменени разрешенията, свързани със засегнатите адреси;
започна сътрудничество с правоприлагащите органи и компаниите за блокчейн анализи;
беше обещано публикуването на актуализиран доклад Proof of Reserves.
По-късно Binance уточни, че депозитите отново са достъпни, но тегленията остават спрени, докато възстановяването и проверката на системите не приключат. Компанията очакваше тегленията да бъдат възстановени в рамките на приблизително 48 часа.
Proof of Reserves на Binance под лупа. Покриват ли резервите все още 100% от клиентските баланси?
Инцидентът повдигна въпроси и относно системата Proof of Reserves на Binance.
Според наблюдения на CoinDesk някои от портфейлите, участвали в атаката, са били включени в октомврийската проверка на резервите. Преди инцидента ETH резервите на Binance са покривали 100% от задълженията към клиентите.
Изтеглянето на приблизително 204 500 ETH от тези портфейли може да означава, че коефициентът на покритие е спаднал до около 94%, ако Binance не е заменил липсващите активи.
Подобен въпрос може да възникне и по отношение на USDC и други алткойни.
Това не означава автоматично, че Binance е неплатежоспособна или че не може да върне активите на клиентите. Компанията обеща да покрие загубите и именно затова актуализираният доклад Proof of Reserves е толкова важен.
Той трябва да покаже дали Binance е възстановила липсващите активи и дали клиентските баланси отново са напълно обезпечени.
Как реагира криптопазарът? Bitcoin падна под 77 000 долара
Инцидентът със сигурността на Binance оказа силен натиск върху криптопазара.
Цената на Bitcoin спадна до приблизително 76 400-76 500 долара, достигайки най-ниското си ниво от шест седмици. Ethereum падна до около 2 170-2 200 долара. BNB загуби над 8% от стойността си за 24 часа.
Според данни на CoinDesk общият обем на ликвидациите на фючърсните пазари достигна приблизително 1,57 млрд. долара. Най-силно засегнати бяха трейдърите, залагали на повишение на цените.
Ликвидациите на позиции в BTC достигнаха приблизително 522 млн. долара.
Ликвидациите на позиции в ETH достигнаха приблизително 361 млн. долара.
В същото време целият спад на пазара не може да бъде приписан единствено на инцидента с Binance. Акциите на американските технологични компании също бяха под натиск, което вероятно е влошило допълнително пазарните настроения.
Атаката срещу Binance обаче добави още несигурност в момент, когато склонността на инвеститорите към поемане на риск вече намаляваше.
Най-големият хак в историята на криптовалутите ли е това? Binance изпреварва Bybit и Ronin
Ако оценката на Binance от 6,3 млрд. долара бъде потвърдена, това ще бъде един от най-големите инциденти със сигурността в историята на криптовалутния сектор.
За сравнение:
LuBian - приблизително 127 426 BTC. Биткойните са били изтеглени от портфейли, свързани с майнинг пула LuBian, през декември 2020 г. Случаят стана публично известен чрез Arkham Intelligence през август 2025 г. Стойността на активите тогава е била приблизително 3,5 млрд. долара. Това не е типичен хак на криптоборса, а LuBian не е потвърдила публично инцидента.
Bybit - приблизително 1,5 млрд. долара. Атаката през февруари 2025 г. беше една от най-големите известни хакерски атаки срещу криптоборса.
Ronin Network - 2022 г. Нападателите откраднаха криптоактиви на стойност приблизително 625 млн. долара.
Poly Network - 2021 г. Нападателите изтеглиха активи на стойност приблизително 611 млн. долара, голяма част от които по-късно бяха върнати.
Binance Bridge - 2022 г. При инцидента със сигурността бяха създадени BNB токени на стойност приблизително 570 млн. долара.
Coincheck - 2018 г. От борсата бяха откраднати NEM токени на стойност приблизително 530 млн. долара.
Mt. Gox - 2014 г. Един от най-известните сривове в историята на криптовалутите, при който бяха изгубени приблизително 850 000 BTC.
Тези случаи не могат да бъдат сравнени напълно, тъй като се различават по техническия характер на атаките, момента на оценяване на активите и действителните финансови загуби.
При инцидента с Binance също трябва да се прави разлика между оценката от 6,3 млрд. долара и сумата, която окончателно ще бъде загубена. Част от активите вече са замразени, а Binance обеща да покрие всички загуби на клиентите.
По-безопасен избор ли са европейските криптоборси с лиценз MiCA?
Инцидентът с Binance отново повдига въпроса през коя борса европейските потребители трябва да търгуват с криптовалути.
Регламентът MiCA въвежда единни изисквания за доставчиците на услуги за криптоактиви в Европейския съюз. Сред тях са организационни и оперативни изисквания, надзор, защита на клиентите и задължения, свързани със съхранението на активите.
Лицензът по MiCA означава, че компанията трябва да отговаря на конкретни регулаторни стандарти и да работи в рамките на европейската система за надзор.
Това обаче не означава, че борсата с лиценз MiCA е защитена от хакерски атаки. Нито един лиценз не може да гарантира, че вътрешната инфраструктура на компанията, устройствата на служителите или системите за управление на портфейлите са напълно сигурни.
MiCA осигурява на потребителите допълнителна регулаторна защита и по-голяма прозрачност, но това не трябва да се бърка с гаранция за техническа сигурност или със система за гарантиране на банковите депозити.
Какво означава инцидентът с Binance за сигурността на криптопазара?
Случаят с Binance показва, че сигурността на криптовалутите не зависи единствено от блокчейн технологията. Дори когато Bitcoin и Ethereum функционират точно според очакванията, вътрешната инфраструктура на централизирана борса може да се превърне в цел на атака.
От инцидента могат да бъдат направени няколко важни извода:
Сигурността на блокчейна и сигурността на борсата са две различни неща. Нападателите не е необходимо да пробиват блокчейна, ако успеят да компрометират вътрешните системи на борсата.
Proof of Reserves само по себе си не гарантира пълна защита. Доказването на резервите помага да се провери наличието на активи, но не изключва оперативните и техническите рискове.
Стейбълкойните могат да бъдат замразявани. Tether и Circle могат при определени условия да блокират конкретни адреси със своите токени. Bitcoin няма подобен централен механизъм.
Регулацията намалява някои рискове, но не ги премахва напълно. MiCA налага изисквания към доставчиците на услуги, но не може да изключи всички възможни кибератаки.
Окончателното въздействие на инцидента с Binance може да бъде оценено едва когато стане ясно колко активи са възстановени, дали резервите на компанията са напълно възстановени и какво ще покаже обещаният технически доклад на Binance.