Взлом Binance: след отмывания $6,3 млрд и ход возмещения средств

Взлом Binance стал крупнейшей кражей криптоактивов в истории по долларовой оценке: сама Binance оценивает ущерб примерно в $6,3 млрд, а Elliptic — приблизительно в $6,43 млрд. Атака началась 29 октября 2026 года, и фокус истории быстро сместился от первоначального шока к трем практическим вопросам: что подтверждено, как, предположительно, перемещаются похищенные средства и какая их часть уже заморожена или компенсирована. Данные в статье актуальны на 12 ноября 2026 года; подтвержденные факты отделены от аналитической трассировки и пока недоказанных утверждений.

Кратко

• Binance заявляет, что взлом затронул горячие кошельки в нескольких блокчейнах, а убытки пользователей будут полностью покрыты.
• По оценке Elliptic, было похищено около $6,43 млрд, тогда как Binance оценивает ущерб примерно в $6,3 млрд.
• Согласно открытым сообщениям, заморожено, перехвачено либо выявлено для заморозки примерно от $2,7 млрд до $3,0 млрд — в зависимости от источника и момента оценки.
• Аналитические компании описывают схему отмывания, включающую межсетевые переводы, вывод средств через стейблкоины, заимствования в DeFi и маршруты, призванные затруднить отслеживание.
• Данные о возврате средств и заявления об ответственности в разных публикациях по-прежнему расходятся, поэтому ряд ключевых показателей остается чувствительным ко времени, а не окончательным.

Что произошло и какова ситуация сейчас

Как сообщает NBC News со ссылкой на Binance, причиной атаки стал скомпрометированный ноутбук, через который злоумышленник получил доступ к сервисному контейнеру и отправил несанкционированные транзакции на вывод средств. Binance также заявила, что совокупный ущерб оценивается примерно в $6,3 млрд. По оценке Elliptic, похищено около $6,43 млрд: за несколько часов средства были выведены с горячих кошельков Binance в 11 блокчейнах.

Масштаб инцидента выходит далеко за рамки привычного взлома криптобиржи. Elliptic назвала его, вероятно, крупнейшей кражей любого рода в истории, а не только крупнейшим криптовзломом. Для участников рынка это переводит дискуссию от обычного инцидента в сфере безопасности к проверке устойчивости резервов бирж, механизмов экстренного реагирования, ончейн-отслеживания и трансграничного правоприменения.

Существенное значение имела и оперативная реакция. По данным открытых источников, Binance приостановила вывод средств и начала взаимодействовать с правоохранительными органами, эмитентами токенов, компаниями блокчейн-аналитики и другими биржами. Binance неоднократно заявляла, что средства пользователей в безопасности и все связанные с инцидентом потери будут покрыты. Для начинающих пользователей важен главный момент: позиция биржи заключается в том, что клиентские балансы будут восстановлены, даже если не все украденные активы удастся вернуть ончейн.

Что подтверждают Binance и официальные источники

Ряд обстоятельств был подтвержден непосредственно Binance или освещен крупными СМИ со ссылкой на заявления компании. Во-первых, взлом Binance произошел 29 октября 2026 года. Во-вторых, сама Binance оценила финансовый ущерб примерно в $6,3 млрд. В-третьих, биржа сообщила, что речь шла о несанкционированном выводе с горячих кошельков, а не о компрометации безопасности на стороне пользователей.

Binance также подтвердила намерение полностью компенсировать потери пользователей. По данным BBC, компания зарезервировала более $6,34 млрд для устранения последствий и заменила клиентские активы за счет корпоративной казны, страхования фьючерсных операций и экстренных резервных фондов. BBC также привела оценку Binance, согласно которой было покрыто около 95% похищенных активов, тогда как позднее Bloomberg Law со ссылкой на Binance сообщил о восполнении 98%.

Эти два показателя необязательно противоречат друг другу. Вероятно, они отражают разные даты публикаций и изменения во внутреннем учете по мере привлечения, заморозки или перераспределения средств. Однако считать их одним и тем же срезом данных нельзя. Bloomberg Law отметил: даже при показателе 98% оставшиеся 2% составят около $120 млн, что существенно как с юридической, так и с операционной точки зрения.

Что касается установления виновных, BBC сообщила, что крупные организации, включая ФБР, обвинили в атаке Северную Корею. Это более весомое основание, чем рыночные слухи, однако корректнее называть это официальным обвинением или заявлением об атрибуции, а не окончательным судебным решением.

След отмывания: как, по мнению аналитиков, перемещались средства

Эта часть истории со взломом Binance требует особенно аккуратных формулировок. Описание схемы отмывания в значительной степени основано на блокчейн-аналитике и комплаенс-исследованиях, а не на завершенном судебном разбирательстве. Публичные материалы Elliptic, ACAMS и приведенный ими анализ TRM Labs указывают на быстрое многоэтапное перемещение средств, призванное затруднить отслеживание и вывести стоимость из активов, контролируемых эмитентами, в токены, которые сложнее заморозить.

Межсетевые переводы и скорость

По данным Elliptic, злоумышленник за несколько часов перевел средства через 11 блокчейнов. ACAMS со ссылкой на анализ TRM Labs сообщила, что миллиарды долларов были выведены с горячих кошельков в сетях Ethereum, Bitcoin, Tron, Solana, XRP Ledger и других; при этом основная часть примерно $6,36 млрд была перемещена примерно за двадцать минут. Для начинающих суть проста: распределение активов между разными сетями усложняет реагирование, поскольку следователям, эмитентам и биржам приходится одновременно координировать действия в разных блокчейн-экосистемах.

Конвертация в стейблкоины и маршрутизация через DeFi

ACAMS сообщила, что атакующий продал маркет-мейкерам около 325 млн USDT со скидкой и использовал похищенное обеспечение для займа в Aave, получив доступ к активам вне прямого контроля эмитента. Эта схема важна потому, что эмитенты зачастую могут замораживать стейблкоины, в то время как нативные активы, такие как BTC и ETH, обычно нельзя заблокировать аналогичным образом. Перевод стоимости из актива, который можно заморозить, в более устойчивый к цензуре актив может сократить возможности для возврата средств.

Методы запутывания следов, описанные аналитиками

ACAMS также обобщила результаты отслеживания TRM: в схеме фигурировали самостоятельно выпущенные токены в Tron, токены-квитанции по кредитным операциям, передающие стоимость между кошельками, и последовательные межсетевые свопы, из-за которых промежуточные кошельки становятся менее полезными для простого отслеживания. Практический вывод не в технических деталях. Следователи имеют дело со схемой отмывания, сочетающей DeFi, межсетевую инфраструктуру и каналы рыночной ликвидности, а не с простым переводом монет из одного кошелька в другой.

Для трейдеров это показывает, почему безопасность бирж теперь пересекается с рисками DeFi, площадками ликвидности и блокчейн-аналитикой. Крупный эксплойт больше не остается проблемой одной платформы: он быстро распространяется по всей структуре крипторынка.

Что пока остается неподтвержденным

Не все широко распространенные утверждения о взломе Binance имеют одинаковый статус. Часть деталей основана на заявлениях биржи, часть — на данных аналитических компаний, а часть — на публикациях СМИ со ссылками на неназванные или вторичные источники. Эти категории необходимо разграничивать.

Во-первых, в публично собранных материалах пока отсутствует полная почасовая хронология. Доступные данные не содержат единой официальной временной шкалы Binance — от первых аномальных транзакций и остановки вывода средств до внутренней локализации инцидента и полного восстановления сервисов. Поэтому к отдельным реконструкциям в социальных сетях следует относиться с осторожностью.

Во-вторых, совокупная сумма замороженных или перехваченных средств по-прежнему различается в зависимости от источника. ACAMS упоминала около $2,7 млрд, замороженных эмитентами стейблкоинов; NBC News сообщала примерно о $3 млрд выявленных и замороженных активов; в других комментариях фигурировали суммы около $2,8 млрд. Вероятнее всего, это разные срезы данных, а не окончательно установленный итог.

В-третьих, формулировки об ответственности требуют точности. Elliptic заявила, что взлом почти наверняка связан с северокорейской хакерской организацией, а BBC сообщила, что ФБР и другие крупные организации обвинили Северную Корею. Это серьезные заявления, но они остаются обвинениями и официальными атрибуциями, а не окончательными судебными выводами.

Наконец, некоторые СМИ сообщали о длительной кампании социальной инженерии с участием инженеров кошельков и фальшивыми предложениями о работе. ACAMS ссылалась на посмертный отчет Binance, в котором описывалась многомесячная кампания. Это может оказаться важным для понимания внутренних сбоев в безопасности, однако читателям следует различать то, что Binance публично изложила сама, и выводы, сделанные внешними комментаторами.

Ход возмещения: замороженные, возвращенные и компенсированные активы

В подобных случаях восстановление средств состоит из трех разных уровней, и их смешение может ввести в заблуждение. Первый — замороженные активы, то есть токены, заблокированные эмитентами или комплаенс-посредниками. Второй — возвращенные активы, то есть средства, фактически вновь взятые под контроль. Третий — восстановленные клиентские балансы: биржа использует средства казны, страховку или резервы, чтобы полностью компенсировать пользователям потери еще до возврата каждого похищенного токена.

В части компенсаций Binance действует быстрее, чем рынок наблюдал в некоторых предыдущих крупных инцидентах. Аналитики Atlantic Council отметили, что первоначальные заморозки в этом случае были значительно масштабнее, чем после взлома Bybit в 2025 году. Это не означает, что угроза устранена. Однако координация между биржами, эмитентами стейблкоинов, комплаенс-командами и компаниями по отслеживанию транзакций, по-видимому, улучшается.

Тем не менее оставшийся разрыв имеет значение. Если восполнение действительно достигло 98%, нерешенная часть существенно меньше первоначальной суммы хищения, но назвать ее незначительной нельзя. Bloomberg Law отметил, что любой дефицит, затрагивающий пользователей из США, все еще может стать основанием для частных исков или привлечь внимание федеральных ведомств. Поэтому даже при почти полном восстановлении клиентских балансов юридические и регуляторные риски сохраняются.

Для рынка в целом главный вывод очевиден. Крупная биржа может защитить пользователей за счет резервов и экстренных фондов, однако криптоиндустрия в первые критические часы после взлома по-прежнему во многом зависит от операционной безопасности, координации ликвидности и возможностей эмитентов замораживать активы. В кризисной ситуации это полезно, но одновременно показывает, насколько значительная часть системы защиты рынка теперь опирается на централизованных участников, а не только на код.