Атака на Binance в октябре 2026 года, ущерб от которой оценивается в 6,3 миллиарда долларов, стала крупнейшей кражей в истории криптовалют. Технический анализ показывает, что точкой входа стал не украденный закрытый ключ, а компрометация ноутбука DevOps-специалиста и неправомерное использование новой функции делегирования подписи Ethereum EIP-7702. Этот случай иллюстрирует структурную дилемму: чем крупнее и ликвиднее биржа, тем привлекательнее и сложнее становится поверхность атаки — и тем труднее полностью защитить цепочку подписей.
Вектор атаки: от ноутбука к горячему кошельку
Согласно имеющейся информации, злоумышленники взломали ноутбук инженера DevOps в Binance. Этот доступ позволил им проникнуть в контейнер сервиса и инициировать несанкционированные операции вывода средств. Важно отметить, что Binance подчеркивает отсутствие доказательств утечки закрытого ключа. Компания Blockaid, специализирующаяся на безопасности, подтверждает эту оценку, описывая атаку как взлом «инфраструктуры подписи» — злоумышленники получили не сами ключи, а возможность манипулировать системой авторизации транзакций.
Настоящая техническая хитрость заключалась в использовании уязвимости EIP-7702, улучшения Ethereum, которое после обновления Pectra позволяет учетным записям делегировать управление коду смарт-контракта. Злоумышленники объединили 50 авторизаций EIP-7702 в одну транзакцию типа 4, все адресованные горячему кошельку «Binance 14» и указывающие на один и тот же контракт злоумышленника. Поскольку злоумышленники не знали текущего значения nonce кошелька — кошелек постоянно совершал снятия средств — они отправили 50 авторизаций с разными значениями nonce. Только одна из них совпала с правильным значением nonce и стала действительной.
Эффективность поразительна: за считанные секунды из горячего кошелька было выведено около 2,7 миллиарда долларов. Первоначально транзакция выглядела как внутренняя миграция кошелька, поскольку целевой счет был недавно создан, и средства изначально не перемещались. Только пополнение адреса злоумышленника через миксер Tornado Cash и последующее распределение токенов по десяткам адресов выявили уязвимость атаки.
Ограничение ущерба: заморозка стейблкоинов как спасательный круг.
Отличие от предыдущих взломов бирж заключается в частичном восстановлении средств. Tether и Circle заморозили более 2,5 миллиардов долларов в USDT и USDC в течение часа. Эти централизованные эмитенты стейблкоинов обладают технической возможностью вносить адреса в черный список — механизм, которого нет для децентрализованных активов, таких как ETH или BTC.
Ирония этой операции заключается в её структурном характере: чем децентрализованнее актив, тем сложнее его вернуть после кражи. 197 460 ETH, которые, согласно анализу блокчейна, удалось удержать злоумышленнику, практически не подлежат возврату. «Более безопасные» децентрализованные активы оказываются наименее защищенными в условиях кризиса.
Почему криптовалютные биржи остаются структурно уязвимыми
Технический анализ инцидента с Binance выявил ряд системных уязвимостей, выходящих за рамки конкретного случая.
Во-первых, цепочка подписей как малоизученная уязвимость. Генеральный директор Blockaid Идо Бен-Натан подчеркивает, что атака была основана не на краже ключа, а на компрометации системы, авторизующей транзакции. Компания Check Point, специализирующаяся на безопасности, выразила это точно: инцидент подчеркивает необходимость «защиты всей цепочки операций авторизации» — от устройств привилегированных сотрудников до сервисов, которые проверяют и выполняют их инструкции. Каждое звено в этой цепочке является потенциальной точкой входа.
Во-вторых, существует неизбежная уязвимость горячих кошельков. Биржи должны поддерживать подключенные к интернету горячие кошельки для своей повседневной работы. По определению, они уязвимы. Хотя биржи используют многоуровневые архитектуры с холодными кошельками для большинства активов, оперативная необходимость быстрого вывода средств требует существования взаимосвязанных систем. Атака на горячий кошелек Binance 14 была направлена именно на этот наиболее уязвимый компонент.
В-третьих, сложность цепочки зависимостей. Атака использовала EIP-7702, относительно новую функцию Ethereum, последствия которой для безопасности, возможно, еще не до конца поняты. Интеграция новых стандартов протоколов в существующие инфраструктуры подписи создает уязвимости, которые часто невозможно полностью предвидеть на этапе внедрения.
В-четвертых, неизбежность человеческой ошибки. Точкой входа стал ноутбук DevOps-специалиста. Независимо от того, насколько сложна криптографическая система, она не может защитить от компрометации привилегированного сотрудника посредством фишинга, вредоносного ПО или социальной инженерии. Злоумышленники терпеливо ждали и действовали в оптимальный момент — схема, уже наблюдавшаяся во время взлома Binance в 2019 году, когда злоумышленники «набрались терпения подождать» и организовали свои действия, используя, казалось бы, независимые учетные записи.
В-пятых, структура стимулирования. По оценкам DefiLlama, Binance хранит активы клиентов на сумму около 144 миллиардов долларов. Успешная атака даже на небольшую часть этих средств превысит общую стоимость всех предыдущих ограблений фондового рынка. Концентрация активов в нескольких центральных депозитарных учреждениях создает цели с беспрецедентным соотношением затрат и выгоды.
Классификация: Не исключительный случай, а структурная особенность.
Взлом Binance в 2026 году является частью преемственности, которая тянется от взлома Mt. Gox в 2014 году, через взлом Binance в 2019 году (7.000 BTC, покрытых фондом SAFU), до взлома Bybit в 2025 году (1,5 миллиарда долларов США). Технологическая эволюция — от простых фишинговых атак на ключи API в 2019 году до манипулирования инфраструктурой подписи с помощью EIP-7702 в 2026 году — демонстрирует растущую изощренность злоумышленников, которая идет в ногу со сложностью биржевых систем.
Binance заявляет, что покроет все убытки за счет собственных ресурсов и фонда SAFU. Инцидент также демонстрирует растущую финансовую устойчивость крупнейшей биржи: предполагаемые убытки в размере 6,3 миллиарда долларов составляют менее пяти процентов от активов клиентов, находящихся на хранении. Однако технический урок остается неудобным: пока биржи используют централизованное хранение с подключенными к интернету операционными системами и администраторами-людьми, цепочка подписей останется самым слабым звеном, а следующее нововведение в разработке протоколов создаст следующую уязвимость для атак.
