Взлом Binance: оператор на деньгах из Tornado Cash, три репетиции в тот же день и около 430 737 украденных ETH на четырёх кошельках

Около 20:05 UTC 29 октября 2026 года кошельки Binance начали пустеть. Сначала XRP Ledger, затем Solana, Optimism, Bitcoin, Tron и Ethereum, позже Avalanche и Polygon. TRM Labs насчитала около $6,36 млрд в десяти сетях, в том числе 18 270 BTC и 233,46 млн XRP. Атаку она с высокой уверенностью приписывает TraderTraitor (КНДР). Binance оценила ущерб примерно в $6,3 млрд, приостановила вводы и выводы и пообещала покрыть все потери. По её предварительной версии, через взломанный ноутбук инженера атакующий попал в сервисный контейнер и отправил выводы. Полного разбора причин компания пока не публиковала. К утру 30 октября Tether заморозил около 1,77 млрд USDT, Circle — 825 млн USDC, Ripple — 40,5 млн RLUSD. Совет безопасности Arbitrum принудительно вывел 8 426 ETH и 74,6 млн ARB с кошелька атакующего. Здесь описано то, что мы сами прочитали в Ethereum и Tron. Bitcoin-часть сейчас отслеживается и будет добавлена на эту страницу.

Атаку в Ethereum начал кошелёк 0x7C8601d4645b93cea45F71e118A729332e6B5CA0. До атаки он получал деньги только из пула Tornado Cash на 0,1 ETH (0x12D66f87A04A9E220743712cE6d9bB1B5616B8Fc): три вывода примерно по 0,098 ETH, в 07:39 и 08:53 UTC 28 октября и в 08:23 UTC 29 октября.

29 октября в 02:28 UTC он развернул первый контракт (0x19beE294A6DaAb49c9e5Ab69A5Da6C035C70f2bf). В 13:51 UTC он отправил делегирования EIP-7702 для двух свежих кошельков, 0x837810E3Be7a3E89C570E7A01A13d3B566aaFBc3 и 0x9C29BA2DE4b2d6c3630685650663cFE7B70dbB6B, и вызвал их в 14:19 и 14:24. Оба кошелька пополнил на тысячные доли ETH 0xFD41dA53D1175b29D40599A0e63545067F58f408. В 15:59 оператор развернул контракт, который потом захватил Binance 14, — 0x63e842B054Bd624a465454D533C33F573e9c6fAe. В 16:20 он проверил его на третьем кошельке, 0x43AEdb9BAD6219677a2C8D6858321C16988404BD, куда 0xe4F9070e1316de2988fc6f869feaD8fb99cC74cd положил 1,01 ETH. В 16:30 кошелёк опустел, а в 18:20 тот же транзитный адрес вернул оператору 1,0822 ETH. Через два часа оператор проделал то же самое с Binance.

В 20:20:59 UTC оператор отправил на 0x28C6c06298d514Db089934071355E5743bf21d60 (на Etherscan — Binance 14) одну транзакцию типа 4. В ней было 50 разрешений EIP-7702, подписанных этим кошельком на 50 номеров транзакций (nonce) подряд. Сработало только одно — с текущим номером. Оно поставило на Binance 14 код 0x63e842B054Bd624a465454D533C33F573e9c6fAe. Заранее подписанные разрешения на 50 будущих номеров означают, что их автор мог заставить Binance 14 подписать что угодно. Это взлом системы подписей, а не смарт-контракта.

В 20:24:23 UTC оператор вызвал захваченный кошелёк. Одной транзакцией тот отправил на 0x5227f603C1eE34CE3C06eFe6477003BDfCCB2f8c 167 464,25 ETH и 63 токена, в том числе 1 615 409 499 USDT и 62,6 млн RLUSD. Через 24 секунды второй кошелёк, 0xDFd5293D8e347dFe59E90eFd55b2956a1343963d (Binance 16 на Etherscan), обычными переводами без делегирования отправил туда же 28 005,6 ETH, 55,7 млн USDT и 25,9 млн RLUSD. Оператор возвращался к Binance 14 в 20:41, 20:59, 21:04, 21:44, 22:39 и в 23:36–23:56 UTC. Каждый раз он забирал то, что тем временем внесли клиенты: в сумме ещё 2 069,75 ETH и 204 млн USDT. Всего на сборщика пришли 197 540 ETH и 1 875,46 млн USDT.

Tether заморозил сборщика в 21:01 UTC. До этого с него ушли два настоящих перевода USDT: 500 млн на 0x9749292D74Fd460982d0912eA9515EA24736C762 в 20:30 и 200 млн на 0x0Ddf0480016e6bCb2C1F5d190D221FBA1320697e в 20:33. Обозреватели блоков показывают ещё «переводы» на 400 и 500 млн USDT на 0x0DdBA7…0697E и 0x97457d…C762. Это не USDT, а токен-подделка. Его отправляют на адреса, у которых первые и последние символы совпадают с настоящими. Это отравление адресов. Двойники перечислены ниже, чтобы их не приняли за атакующего. На сборщике замороженными лежат 1 175 464 712 USDT.

500 млн ушли маркетмейкерам. С 20:34 до 20:49 UTC 0x9749292D74Fd460982d0912eA9515EA24736C762 продал около 325 млн USDT через UniswapX (контракт 0x00000011F84B9aa48e5f8aA8B9897600006289Be) и четырём исполнителям ордеров, получив обратно ETH. В 21:47 он отправил 122 310 ETH на 0xc887aF690E0301CD4edBbCe8F8d31b4EC65B286A. Ещё 175 млн он переложил на 0x811f15855476156Ebf86ba3b84faFb8Ceaa4e84C, а оттуда на 0xAa246BF639586a6Ba46762D378CE50cA4fc654a0, где по-прежнему лежат 174 999 872 USDT.

200 млн шли длинным путём. 190 млн попали на 0x8d53903625b8e839b9DF4bd28B0EFb1CD6b8639A. Этот кошелёк в 20:57 и 21:00 внёс 60 млн USDT в Aave v3 и занял под них около 19 762 ETH. 23 314,5 ETH и оставшиеся 130 млн USDT он отправил на 0x77EDEf23FBd05921c26FE29fcc3A65e14D2ac3eb. Тот продал около 50 млн USDT в пулах Uniswap и передал 41 397,81 ETH и 80 млн USDT на 0x7Aa4D3029e4C6A8E916300014Ad95B6d6C03BFd1, который продал остаток. Затем 57 891,85 ETH через 0xCcBEF95633ADB5Cd2b5038DB5a38d77E726cA263 и 0xb171cA86f82070282138352Ff7111b494060c8c3 в 21:35 UTC пришли на 0x897C80d1a9729E94460e2Bd93178bD5215158DF3.

Добыча лежит на четырёх кошельках, которые не отправили ни одной транзакции:

0x8532FA14ACAf483729C449b8458aedDb900543D4 — 197 460 ETH, от сборщика в 20:38 UTC 29 октября и в 01:14 UTC 30 октября.

0xc887aF690E0301CD4edBbCe8F8d31b4EC65B286A — 137 602 ETH: 122 310 ETH от продажи USDT и 15 292 ETH от 0x7f9DC988B46336aD536828fAD50fa8fA1E5415E3, который продал взятые с Binance 14 ENA и WBETH.

0x897C80d1a9729E94460e2Bd93178bD5215158DF3 — 78 415 ETH: маршрут через Aave и Uniswap и 20 523 ETH от 0x42CDF00c85005630CC8605731B9364F712077810, который продал ONDO и UNI.

0x03b0eE5d82990cFF1bDa48651AC3e436d1a020ea — 17 260 ETH, от сборщика в 05:15 UTC 30 октября.

Вместе это около 430 737 ETH, что сходится с оценкой TRM «более 420 000 ETH». ETH заморозить нельзя. Если биржа, мост или обменник получит ETH, который прослеживается до этих четырёх адресов, он получит деньги от этой кражи. 0xF977814e… с примерно 499 000 ETH, на который той ночью пришла партия со второго горячего кошелька, — собственный кошелёк Binance (Binance 8), а не запасы атакующего.

В Tron атакующий в 20:19:57 UTC создал TG5iBMQPrDzJJAUM8GMVBf1hRaJ1wvzsGi. Горячий кошелёк Binance TDqSquXBgUCLYvYC4XZgrprLK589dkhSCf сначала пополнил его на TRX, затем отправил 46 384 098 TRX в 20:21:12 и 612 729 468 USDT в 20:22:45. В 20:45 и 20:56 атакующий перевёл 300 млн USDT на TPBkSjkCMn2ckrMuAP8n2J1jdjbw76bKN4. В 21:09 Tether заморозил первый кошелёк, на котором оставались 312 729 468 USDT.

TRM писала, что 300 млн ушли на кошелёк, который вносил их в JustLend. По блокчейну TPBkSjkCMn2ckrMuAP8n2J1jdjbw76bKN4 внёс в JustLend только 10 000 USDT. С 20:47 до 21:12 он продал 199 млн USDT за TRX в пуле наподобие SunSwap (TSUUVjysXV8YqHytSNjfkNXnnB49QDvZpx). 65,99 млн он отправил на TCzBTkqn66yApqbYoPezaEQosM5DAd7Y62, и в 21:21 Tether заморозил этот кошелёк со всей суммой. 35 млн ушли на два крупных кошелька, которыми пользуется много посторонних людей. Их мы не считаем кошельками атакующего. В 21:42 он отправил 349 860 941,68 TRX на TSpe5HC3PRD2svJcr1YoGszhHk2mtkyZ8A. Первый кошелёк в 00:06 UTC 30 октября перевёл свои 46,38 млн TRX на TRBdWqHnDVSZCVGfgHdKFLQPirQcA2PRki. В Tron заморожено 378 719 468 USDT, столько же, сколько указывает TRM.

Она не называет исполнителей атаки: связь с КНДР — вывод TRM Labs, Binance его не подтверждала. Она не описывает, как были получены ключи и подписи, сверх заявления самой Binance. Она не утверждает, что UniswapX, исполнители ордеров, Aave, Uniswap, SunSwap, JustLend или другие сервисы в чём-то виноваты: они исполнили валидные ордера. Общая сумма по десяти сетям, цифры по Bitcoin, XRP, Solana, Arbitrum, Optimism, Avalanche и Polygon и итоги заморозок — данные TRM и Binance. Финансирование и тесты оператора, маршруты в Ethereum и Tron, двойники, цифры по Aave и балансы четырёх кошельков-хранилищ — собственное прочтение блокчейна PublicAML на 30 октября 2026 года.