Злоумышленники вывели из горячих кошельков Binance около $6,4 млрд. Эта кража более чем в четыре раза превосходит предыдущий рекорд и привела к международному расследованию, заморозке части средств эмитентами стейблкоинов и неопределённости для миллионов пользователей.
Что произошло
Атака началась примерно в 16:05 по восточному времени США. Средства вывели из горячих кошельков Binance примерно в десяти блокчейнах; большая часть переводов прошла приблизительно за 20 минут.
Аналитические компании Chainalysis и TRM Labs оценили ущерб примерно в $6,4 млрд. Это более чем в четыре раза превышает прежний рекорд — кражу $1,5 млрд у Bybit.
Атакующие целились в инфраструктуру самой Binance, а не в блокчейны. Сначала биржа связала взлом с компрометацией ноутбука инженера DevOps. Это могло позволить злоумышленнику получить доступ к контейнеру сервиса и отправить несанкционированные запросы на вывод средств.
Позже Binance сообщила, что расследование выявило «дополнительные точки взлома». Генеральный директор биржи Ричард Тенг назвал произошедшее «более сложным процессом атаки», который «не сводился к использованию прав одного инженера». Binance заявила, что не обнаружила признаков утечки закрытых ключей кошельков. По данным биржи, злоумышленник использовал механизм самоуничтожения, чтобы удалить инструменты атаки и скрыть следы.
Особенность атаки на Ethereum
В сети Ethereum злоумышленник воспользовался EIP-7702 — функцией, позволяющей обычным кошелькам временно исполнять код смарт-контрактов.
По данным TRM Labs, используя 50 предварительно подписанных разрешений, атакующий превратил горячий кошелёк Binance в контракт для сбора средств и вывел его активы.
Тенг заявил, что делегирование «не прошло через наши обычные процедуры контроля». Этот случай не выявил уязвимости самого Ethereum: по оценке TRM Labs, он указывает на компрометацию системы подписания транзакций Binance.
Кто стоит за взломом
TRM Labs и Chainalysis связали атаку с TraderTraitor — группировкой, связанной с Северной Кореей. Её также обвиняли в краже у Bybit.
После взлома Bybit группировка конвертировала около 84% похищенного Ethereum в биткоины через межсетевую сеть Thorchain. По оценке, общий объём криптовалютных похищений, приписываемых Северной Корее, превышает $1 млрд; ущерб Binance значительно больше остальных известных эпизодов.
Что делает Binance
Тенг заявил, что Binance возместит потери за счёт средств компании и фонда Secure Asset Fund for Users — резервного фонда для пользователей. По его словам, средства клиентов не пострадали.
Биржа зарезервировала более $6,34 млрд. Около $5 млрд уже имеются в тех же токенах, которые были похищены, включая BTC, ETH, BNB, USDC и USDT. Остальные средства Binance покупает на открытом рынке и внебиржевым способом.
Binance приостановила вывод средств, чтобы восстановить системы и повторно проверить их. Биржа проводит полную проверку безопасности и намерена возобновить вывод средств, а также опубликовать полный отчёт о резервах. Ввод средств работает в обычном режиме.
Замороженные средства и то, что остаётся у атакующих
Эмитенты стейблкоинов отреагировали на первые сообщения о предполагаемой атаке быстро — в отличие от того, как действовали во время некоторых предыдущих инцидентов.
Стейблкоины — важная часть криптовалютной экономики. Это токены, привязанные к доллару и предназначенные для сохранения стабильной стоимости; они упрощают переводы на централизованных и децентрализованных биржах. В отличие от биткоина и Ethereum, стейблкоины выпускаются и контролируются частными компаниями. Поэтому эмитенты могут заморозить такие средства.
Tether, эмитент крупнейшего стейблкоина USDT, заморозила активы более чем на $1,5 млрд. Компания Circle, выпускающая второй по величине стейблкоин USDC, заморозила около $823 млн, связанных с атакой. Обе компании внесли адреса в чёрный список.
Всего заморожено или обнаружено около $3 млрд. Однако значительная сумма остаётся вне досягаемости: атакующие по-прежнему контролируют более 420 000 ETH и 18 270 BTC, а также другие токены общей стоимостью свыше $3 млрд. Эмитенты не могут их заморозить. Злоумышленник продолжает перемещать средства через сеть Tron и другие сети. Компания Elliptic оценила объём средств, всё ещё находящихся под его контролем, примерно в $3,3 млрд.
Расследование
Binance сотрудничает с правоохранительными органами разных стран, включая ФБР и Секретную службу США.
ФБР подтвердило, что знает об инциденте и координирует действия с партнёрами. Секретная служба, расследующая преступления с использованием финансовых инструментов и цифровых валют, отказалась от комментариев.
Расследование напоминает о совместных операциях по отслеживанию похищенной криптовалюты, в том числе об операции Atlantic, в рамках которой удалось отследить десятки миллионов долларов.
Реакция рынка
Несмотря на масштаб кражи, рынки отреагировали относительно спокойно.
Цена биткоина опускалась примерно до $76 400, снизившись приблизительно на 4%. Были ликвидированы позиции с кредитным плечом на сумму более $1,3 млрд.
Реакция оказалась несопоставима с падением биткоина почти на 11% за несколько минут после неудачной атаки на Binance. Аналитики связывают сдержанность рынка с его зрелостью и капитализацией около $2,6 трлн, а также с тем, что в спотовых биткоин-ETF находится около 1,3 млн BTC у инвесторов, которые не спешат продавать активы.
Финансовые компании Cantor Fitzgerald, TD Cowen и Compass Point даже рекомендовали клиентам покупать акции, связанные с криптовалютами, на фоне падения. Они представили взлом как провал системы безопасности Binance, а не угрозу базовой технологии.
Последствия
Председатель Комиссии по торговле товарными фьючерсами США Майкл Селиг использовал взлом как аргумент в пользу надзора США за офшорными биржами. В интервью CNBC он заявил, что случившееся «доказывает нашу позицию» относительно предложенных комиссией правил регулирования криптовалютного рынка.
Инцидент также вызвал публичную перепалку между основателем Binance Чанпэном Чжао, известным как CZ, и Илоном Маском. Основатель SpaceX и Tesla, по-видимому, высмеял Binance из-за взлома в соцсети X. Чжао ответил, упомянув долю Маска в SpaceX: «Наши акции SPCX (после инвестиций в $500 млн в покупку вами Twitter) стоят больше миллиарда. Было бы здорово, если бы вы немного поддержали нас».
В целом Чжао занял вызывающую позицию: по его словам, кража стала крупнейшей в долларовом выражении, но не в биткоинах. Он также отметил, что, в отличие от Mt. Gox и FTX, Binance берёт убытки на себя.
«Это больно, но мы выстоим», — написал Чжао.