Binance Hot Wallet Exploit

Расследование идётОбновлено · 30 окт., 07:02 UTC (новая запись)

29 октября 2026 года с горячих кошельков Binance в нескольких сетях вывели, по оценке TRM Labs, около $6,36 млрд; в Ethereum основной слив прошёл в 20:24:23 UTC через делегирование EIP-7702 кошелька Binance 14 на контракт атакующего. Мы восстановили по цепочке подготовку, которой нет в публикациях целиком: «репетицию» на пяти кошельках, начавшуюся с вывода из Tornado Cash в 01:15 UTC, за 19 часов до слива. Мы нашли семь газовых кошельков атакующего без меток Etherscan, два вывода через мост Bridgers и полный адрес атакующего в Solana с 970 549 SOL, которые на 05:09 UTC 30.10 не двигались. В TRON мы прошли маршрут обмена USDT на 638,2 млн TRX и уточнили роль адреса TSUUVjys…: это пул SunSwap, а не хранилище. В 05:15 UTC 30.10 основной кошелёк атакующего 0x5227… перевёл 17 260 ETH на новый адрес.

Статус

Live investigation. Последнее обновление: 2026-10-30 05:50 UTC.

Украдено: $3,82 млрд; ещё $1,64 млрд по неподтверждённым котировкам, в итог не входит; Всё, что пришло с трёх кошельков Binance на кошельки атакующего с 27 окт., по цене токена в день перевода.
Заморожено: $2,17 млрд; Остатки USDT и USDC, которые эмитенты заблокировали на кошельках атакующего.
На руках у атакующего: $1,4 млрд; ещё $0,22 по неподтверждённым котировкам, в итог не входит; Текущие остатки на кошельках атакующего по сегодняшним ценам за вычетом замороженного.

В Aave: залог $59,9 млн заблокирован · долг 19,762 WETH (~$44,4 млн) · health factor 1,05 — близко к ликвидацииАтакующий внёс часть украденного в Aave как залог и занял под него. Aave заморозил эти рынки, поэтому залог нельзя вывести; он не входит ни в «на руках», ни в «заморожено». Долг — то, что атакующий занял и ещё должен.

По данным PublicAML, Ethereum, обновлено 30 окт., 07:28 UTCДанные сети по 30 окт., 07:27 UTC

Замечания к данным

Не учли $1,62 млрд: цена 0xfc82…7d за 29 окт. в 326 раз выше обычной — похоже на ошибку котировки.
Не учли $19,6 млн: цена 0xac51…e8 за 29 окт. в 49 раз выше обычной — похоже на ошибку котировки.

Разбивка

Актив	Украдено	Заморожено	На руках у атакующего
USDT	$1,88 млрд	$1,35 млрд	$11,54
ETH	$466 млн	—	$1,13 млрд
USDC	$823 млн	$823 млн	$2,74
0x8292…ed	$88,6 млн	—	$40,5 млн
0xa2e3…e1	$76,9 млн	—	$76,9 млн
0x6874…38	$50,7 млн	—	$50,3 млн
UNI	$49,5 млн	—	—
0x57e1…61	$44,2 млн	—	—
PEPE	$38,9 млн	—	$1,06
LINK	$29,6 млн	—	—
0x8d0d…0d	$27,8 млн	—	$27,8 млн
AAVE	$16,8 млн	—	$0

Заморозил

Tether: $1,35 млрд
Circle: $823 млн

Крупнейшие остатки

Binance hot wallet hack · 0x8532…43d4$441 млн
Binance hot wallet hack · 0xc887…286a$308 млн
Binance hot wallet hack · 0x897c…8df3$175 млн
Binance hot wallet hack · 0x5227…2f8c$127 млн
Binance hot wallet hack · 0x5440…c942$90,8 млн
Binance hot wallet hack · 0x7f9d…15e3$76,9 млн
Binance hot wallet hack · 0x79e7…544a$76,6 млн
Binance hot wallet hack · 0xe702…958d$40,5 млн

Как считаем (подробно)

Украдено: Sum of priced transfers from the incident's 3 victim address(es) to its perpetrator/intermediary addresses since 27 окт. 2026, 00:00 UTC, each valued at the token_price quote of its own UTC day.

Заморожено: Net in minus out, over our edges since 27 окт. 2026, 00:00 UTC, of each token an issuer currently freezes (address_freezes + tether/circle blacklist claims, label 240) on a perpetrator/intermediary address, less amounts the issuer destroyed, at today's token_price quote.

На руках у атакующего: Net in minus out per address and asset over our edges since 27 окт. 2026, 00:00 UTC on all perpetrator/intermediary addresses (hops between them cancel), negatives clamped to zero, at today's token_price quote, minus frozen; Aave debt tokens (liabilities) and aTokens (collateral in the pool) are not held, and dollars from an unconfirmed quote are under `unconfirmed`.

Технические замечания из данных

stolen_usd leaves out $1,62 млрд priced with the 29 окт. 2026 quote of 0xfc82…7d, в 326 раз the median of its neighbours (see unconfirmed)
stolen_usd leaves out $19,6 млн priced with the 29 окт. 2026 quote of 0xac51…e8, в 49 раз the median of its neighbours (see unconfirmed)

Заморожено:: эмитент стейблкоина (Tether, Circle) заблокировал токены на адресе: перевести их нельзя, пока эмитент не снимет блокировку.
На руках у атакующего:: лежит на адресах атакующего и не заморожено: может уйти в любой момент.
Помечено PublicAML (CRITICAL):: адрес в нашей базе связан с атакой; проверка любого кошелька, получившего от него деньги, это покажет.

Куда ушли деньги (Ethereum)

Данные загружаются.

Движение средств (live)

Переводы с кошельков атакующего больше $100 000, новые сверху. Обновляется автоматически.

Хронология

Новые сверху. Время UTC.

30 окт., 05:15 UTC
Exploiter 2 перевёл 17 260 ETH на новый кошелёк
В 05:15:47 UTC (блок 26303416) 0x5227f603c1ee34ce3c06efe6477003bdfccb2f8c (Exploiter 2) отправил 17 260 ETH на новый кошелёк 0x03b0ee5d82990cff1bda48651ac3e436d1a020ea (транзакция 0x9edf86533e73658700c5dadb2432dd7bebb628dc0f5fe37991c241f537856071). За минуту до этого, в 05:14:35, прошёл тестовый перевод 0,1 ETH (0x88e4bc31dc948ac5dedb3a9936d2e429494e0ae1ff3dfce70e673ac194b06b78). Отправитель обеих транзакций, 0x5227…, сверен через публичный RPC. Получатель свежий: исходящих транзакций у него нет (nonce 0). PublicAML автоматически присвоил адресу критический риск через 91 секунду после блока.
Адреса:0x5227f6…cb2f8c 0x03b0ee…a020ea
Источники: транзакции выше; публичный RPC Ethereum (eth_getTransactionByHash, eth_getTransactionCount)
X Telegram
30 окт., 05:09 UTC
Наша находка: адрес атакующего в Solana, 970 549 SOL на месте
Полный адрес атакующего в Solana: AffzFDKZbyMiU11zmVBoAqD25ugpr7xoWWyRyGigBEaU. Он указан в коде публичного трекера binance.lamps.works рядом с остальными адресами атакующего. В публикациях TRM Labs, TechFlow и drk.vc приводится сумма (970 500-970 522 SOL), но не адрес.
По цепочке: 29.10 с 20:10:18 до 20:33:29 UTC на него пришло пять переводов с горячего кошелька Binance 5tzFkiKscXHK5ZXCGbXZxdw7gTjjD1mBwuoFbhUvuAi9, всего 970 521,9 SOL (первый и крупнейший, 965 455,1 SOL, в транзакции 5YvwLFWubH1ob8JCNDLbPVioC3jtEZ8Maoz5WhNAs5cc8n9V2BjTWbixt6Ny5mddAKkN2SWJUR9y5kzede3ZTqk2). Баланс на 04:45 UTC 30.10: 970 549,37 SOL. Повторная проверка в 05:09 UTC: то же значение. Средства не выводились. Адрес является обычным кошельком (владелец System Program), а не контрактом.
Адреса:AffzFDKZ…igBEaU 5tzFkiKs…UvuAi9
Источники: binance.lamps.works; techflowpost.com; публичный RPC Solana (getBalance, getTransaction)
X Telegram
30 окт., 04:50 UTC
Наша находка: TSUUVjys… это пул SunSwap, а не получатель 199 млн USDT
В разборе drk.vc адрес TSUUVjysXV8YqHytSNjfkNXnnB49QDvZpx описан как адрес, до которого дошли 199 млн USDT и где они не заморожены. По цепочке это пул SunSwap V3 WTRX/USDT с комиссией 0,05%: контракт создан фабрикой SunSwap V3 TThJt8zaJzJMhCEScH7zWKnp5buVZqys9x, и getPool(WTRX, USDT, 500) у этой фабрики возвращает именно TSUUVjys….
Кошелёк атакующего TPBkSjkCMn2ckrMuAP8n2J1jdjbw76bKN4 с 20:47 до 21:11 UTC отправил в этот пул 13 порций USDT на 199 млн и в тех же транзакциях получил TRX через SunSwap UniversalRouter TQqgNg13s2DjvXhW1ky4v6TsR8wZGvb7Y4. Пример: 30 млн USDT в 20:56:54, в ответ 81,59 млн TRX (транзакция 0c2562ae7c9a628103d20ca2ebfe77a2c00625508b51faf8e6cae09c81a18eae). То есть 199 млн не лежат на TSUUVjys…, они обменяны на TRX, и этот TRX ушёл дальше (см. запись 04:45).
Пул и роутер используют сотни посторонних пользователей. Отправлять их в списки адресов атакующего не следует.
Адреса:TSUUVjys…QDvZpx TQqgNg13…Gvb7Y4 TPBkSjkC…76bKN4
Источники: drk.vc; транзакции TRON, перечисленные выше
X Telegram
30 окт., 04:45 UTC
Наша находка: маршрут в TRON, 638,2 млн TRX в одном хранилище
Маршрут по цепочке:
- TG5iBMQPrDzJJAUM8GMVBf1hRaJ1wvzsGi получил 612 729 468 USDT (20:22:45) и 46 384 098 TRX (20:21:12);
- с него на TPBkSjkCMn2ckrMuAP8n2J1jdjbw76bKN4 ушло 100 млн USDT в 20:45:51 (fd8061aaa787ce89d707184dbfdd436a578c7840d674505067725de727c06222) и 200 млн USDT в 20:56:09 (d40f96e23e95b7ace0ebacd3892f0a1f37555a64da69feedba73443dee4920ee);
- TPBk… обменял USDT на TRX через пул SunSwap TSUUVjys… (запись 04:50);
- TPBk… отправил на TSpe5HC3PRD2svJcr1YoGszhHk2mtkyZ8A 288 330 000 TRX в 20:56:12 (4b329d4495bcdd8df40117cd478f13c5027988147c7deb9add5e4aee3b8107c4) и 349 860 941,68 TRX в 21:42:42 (fb5089f5ce2ae9be6f8e5e3f78470a5a8d694879ac68f6c8cfe3d81450fa6149). Итого 638,2 млн TRX на TSpe5HC3…;
- отдельно TG5i… отправил 46 383 069,13 TRX на TRBdWqHnDVSZCVGfgHdKFLQPirQcA2PRki 30.10 в 00:06:09 (6adfc066520a5880df18eebc61bf048d03e8d7a0fca23b04a6b36c9723892736).
TSpe5HC3… не является контрактом. С 02:19 UTC 30.10 TRBd… начал отправлять TRX частями на другие адреса; их мы ещё не разобрали.
Адреса:TG5iBMQP…wvzsGi TPBkSjkC…76bKN4 TSpe5HC3…tkyZ8A TRBdWqHn…A2PRki TSUUVjys…QDvZpx
Источники: транзакции TRON выше; binance.lamps.works
X Telegram
30 окт., 04:28 UTC
Наша находка: два вывода через мост Bridgers
В разборе drk.vc на 30.10 сказано: «no mixer or bridge use seen yet». По цепочке два газовых кошелька атакующего вывели ETH через мост Bridgers. Путь в обоих случаях один: контракт MetaMask 0x0439e60f02a8900a951603950d8d4527f400c3f1, затем адрес Bridgers 0xc1d13492285eb664951e201bf7c80c7c6318a1b5.
- Exploiter 9, 0x3e2bf1ac6bf0934bbba6456c341c2ecbced632d5: получил 0,5 ETH с 0x5227f603… в 21:29:47 и отправил 0,486 ETH в 21:31:11 (транзакция 0xc5892899fa23a64ab99339b8a3bd9e1ef00c81319b33bbd77467f4b55df1ec2c).
- Exploiter 13, 0x0e772ee615c7f93373c7519f2c36e780696477d3: получил 1 ETH в 21:54:11 и отправил 0,5 ETH в 21:57:23 (транзакция 0xa5b80a23f712bdec620197e20c92808720665298f6afaf27b3aa7264aedbd6f9).
Куда и в какую сеть ушли средства на той стороне моста, мы не видим.
Гипотеза, не проверена: по drk.vc, в Arbitrum в 21:36 средства Binance пришли на тот же адрес 0x3e2b…32d5, через пять минут после вывода Exploiter 9 через Bridgers. Возможно, мостом атакующий завёл газ в Arbitrum. Подтверждения со стороны Arbitrum у нас нет.
Адреса:0x3e2bf1…d632d5 0x0e772e…6477d3 0x0439e6…00c3f1 0xc1d134…18a1b5
Источники: транзакции выше; drk.vc
X Telegram
30 окт., 04:20 UTC
Наша находка: «репетиция» на пяти кошельках, начатая за 19 часов до слива
TRM Labs и drk.vc пишут, что атакующий заранее испытал схему на тестовых кошельках; drk называет два из них в сокращённом виде, 0x9C29…bB6B и 0x43AE…04BD. По цепочке мы нашли, откуда эти кошельки получили средства, и ещё два кошелька той же схемы.
Корень схемы: 0xfd41da53d1175b29d40599a0e63545067f58f408. В 01:15:35 UTC 29.10 он получил 0,098 ETH из пула Tornado Cash 0.1 ETH 0x12d66f87a04a9e220743712ce6d9bb1b5616b8fc (транзакция 0x6f713d8c5d5ffe323d761a5c30c5c1d534e16f292232277516f48f466ae9bbdb). Это на 19 часов раньше слива и на шесть часов раньше подготовительного кошелька 0xe4f9… (Exploiter 23, первые средства в 07:08). Исполнитель 0x7c86… получал средства из Tornado ещё 28.10.
Последовательность 29.10 (UTC):
- 13:57: 0xfd41… отправляет пыль ETH на 0x837810e3be7a3e89c570e7a01a13d3b566aafbc3 (0x4e4e44a38920677f26ca61678e8e783b54bca30ece2c0ff7aeb9b27aeeb0f9fb) и на 0x9c29ba2de4b2d6c3630685650663cfe7b70dbb6b (0x87add0f97fe300d9a1da69a0900ce2c0976cec8f2e32aa5f90ae17a4cadaba00);
- 13:59-14:02: два обмена через MetaMask Swaps, на выходе 11,54 USDT и 2,30 USDC;
- 14:04-14:06: 6 USDT и 1 USDC на 0x8378…, 3 USDT и 1 USDC на 0x9c29…;
- 14:19 и 14:24: оба кошелька пересылают всё на тестовый приёмник 0x24a4ae3674f08b70665fcb91f2aa6ad204aba4de (0xa2e0cd4123cf4463cf43685232142d680e9994f5bd29f0540bf977a158216c4c, 0x6aaae5bcb5e0bafd1e79e70670864f8f726624d50d99d16152c5e684f571ddf4). Исходящих у приёмника нет;
- 16:13: 0xfd41… отправляет 2,541994 USDT на 0x43aedb9bad6219677a2c8d6858321c16988404bd (0x05bd1284d6b5337d5356e7a90a32562c6b72228234abeadf16ab3df8b9d9a67f);
- 16:24: подготовительный кошелёк 0xe4f9… отправляет 1,01 ETH на 0x43ae… (0xfd3f9dd90ff7b7b5a3f5b9abed20afc3ac517f74d0f5edf3e77b2ecd9d9917cd);
- 16:30: 0x43ae… отправляет те же 2,541994 USDT и 0,01 ETH на приёмник 0x24a4… (0x9c2dbed15322072e35e767c0c9b4cd962abf58fe51937e62a7020c742b834f2f);
- 16:47: 0x43ae… возвращает 1 ETH на 0xe4f9… (0x2b8eb62a32408e96bd7cb6740ede11a054549581534de5d5111289c47355f58f).
Кошелёк 0x43ae… до сих пор делегирован через EIP-7702 на контракт-sweeper 0x63e842b054bd624a465454d533c33f573e9c6fae (Exploiter 24), тот же, что вечером был установлен на Binance 14: код аккаунта 0x43ae… равен 0xef0100 и адресу этого контракта. Возврат 1 ETH на 0xe4f9… связывает «репетицию» с кошельком, который в 18:20 оплатил газ исполнителю слива. Последний тест прошёл примерно за четыре часа до слива.
Адреса:0xfd41da…58f408 0x837810…aafbc3 0x9c29ba…0dbb6b 0x24a4ae…aba4de 0x43aedb…8404bd 0x63e842…9c6fae 0xe4f907…cc74cd 0x12d66f…16b8fc
Источники: транзакции выше; публичный RPC Ethereum (eth_getCode); drk.vc; trmlabs.com
X Telegram

30 окт., 04:10 UTC

Наша находка: семь газовых кошельков атакующего без меток Etherscan

Атакующий раздал газ кошелькам, через которые продаёт токены на DEX. Часть из них Etherscan пометил (Exploiter 9, 12-16, 26, 28), а у семи кошельков на снимке Etherscan 30.10 04:07 UTC меток не было. Каждый получил ETH на газ напрямую с 0x5227f603… (Exploiter 2):

Кошелёк	Газ	Время UTC	Транзакция
0xb3ddec0ccc5c3ba733fcdf5a15f98c95ec5a5fdb	0,52 ETH, затем 167,14 WBTC и 9,71 млн USDe	29.10 22:40:11	0xc87e26c4084ff9528178f8185eafcb6dfcd533c2fea32c9e95a98c205159feba
0x06ea1ab3ecf570029eb1f94dbb9eac06bc79685f	0,5 ETH	29.10 23:26:23	0xcdd78ef83d7250f5841a9a26ed03ec0cf1e809d055377cd0c375bf0f0d78febf
0x0084847bb9384d2fc5e8836e663689467e3e4c81	0,5 ETH	30.10 00:06:59	0x6e1d2b9137b3260cd873e4daf75af060f799cdb4c1da929f77e48876f63574e2
0xb58bf76d209fa71f60013ce1933ca331177a4f08	0,5 ETH	30.10 00:19:59	0xc3959c8adb57c075b8b8fc23ca41cd66158b65bd1c3bbe234f1eb0a7808ee293
0xf1eadb247ffc7d7d6600e84daaf9ee85737e73c4	0,5 ETH	30.10 00:27:11	0x24472c4e45496a3665576b7eb58aa81948f020cdd9ccc6ca61094cf592492c82
0xdd6dbbe67262ccc9b1824de1257999efc6c52296	0,5 ETH	30.10 00:37:59	0x0882d99e6bcb39670a7e74a15dc0361ae982742ed0f8a7312a64957e4b77e097
0x1291be4c90239d14527ba880ad2b6e5cb82116b1	0,5 ETH	30.10 00:42:35	0x3ccc5e849cd0bf2ca2995d80a603a72727e721093c62e11c5dfe9c71efc970eb

Выручка от продаж возвращается на кошельки атакующего. Разбор 1 354 транзакций 16 газовых кошельков новых хранилищ не показал.

Адреса:0x5227f6…cb2f8c

Источники: транзакции выше; снимок страниц Etherscan 30.10.2026 04:07 UTC

X Telegram

30 окт., 01:54 UTC
Binance снял делегирование с Binance 14
По drk.vc, код аккаунта Binance 14 стал пустым в блоке 26 302 414. На момент нашей проверки (30.10 ~05:10 UTC) код аккаунта Binance 14 пуст, кошелёк 0x43ae… из «репетиции» по-прежнему делегирован.
Адреса:0x28c6c0…f21d60
Источники: drk.vc; публичный RPC Ethereum (eth_getCode)
X Telegram
30 окт., 01:17 UTC
Продажа остатков токенов на DEX
С 01:17 UTC атакующий продаёт остатки токенов через Uniswap, PancakeSwap, ShibaSwap и SushiSwap; к 03:06 UTC выручка составила около 13 675 ETH. Исходящих переводов на миксеры и privacy-протоколы с 35 известных кошельков атакующего мы не видим; Tornado Cash встречается только во входящих переводах до слива.
Источники: собственный разбор транзакций
X Telegram
29 окт., 22:39 UTC
Повторные свипы Binance 14 на новый кошелёк атакующего
В 22:39:35 (блок 26301444) и в 23:56:47 (блок 26301828) с Binance 14 ушли переводы на 0xa97bf7836f8a08f9ed91d41453d371493fae8d10: 123 перевода в транзакции 0x4a4aed833556814c16fe176fc8abc70ce124eadc73da3bcdf42a67ef44f9ad6b и ещё один в 0x4395d51dc3f3c51230329efc3548f74edbced353ff3f795c517cc57fa650f89b. По цепочке обе транзакции подписал исполнитель атакующего 0x7c8601d4645b93cea45f71e118a729332e6b5ca0 вызовом той же функции sweeper (селектор 0x8a179be4), что и основной слив. Это сходится с TechFlow, по данным которого в 22:39 атакующий выгрузил на новый кошелёк 128,5 ETH и 122 мелких токена.
До 22:39 29.10 у адреса нет истории. Дальше он сам продаёт токены через Uniswap, SushiSwap и PancakeSwap. На 05:28 UTC 30.10 у него 5 474,15 ETH и 970 отправленных транзакций (nonce, публичный RPC); торговля продолжается.
Адреса:0xa97bf7…ae8d10 0x28c6c0…f21d60 0x7c8601…6b5ca0
Источники: транзакции выше; публичный RPC Ethereum (eth_getTransactionByHash, eth_getBalance, eth_getTransactionCount); techflowpost.com
X Telegram

29 окт., 21:01 UTC

Заморозки Tether и Circle

Время UTC	Эмитент	Адрес	Транзакция заморозки
21:01:35	Tether	0x5227f603c1ee34ce3c06efe6477003bdfccb2f8c (Exploiter 2)	0x7baba482077843514d9c72bac0110ba0916b0814288a72917e2c3bb27a9d8659
21:01:35	Tether	0x9749292d74fd460982d0912ea9515ea24736c762 (Exploiter 18)	0x64a3f49742f4daf1d33b5440cb90bbc13de93bf53f00f5532d6e67967cb1b7de
21:01:47	Tether	0x0ddf0480016e6bcb2c1f5d190d221fba1320697e (Exploiter 10)	0xdb6b11fe4bad377b6945379d8fb0d0b642d3ca1ea366e1e8628e79e77ee0b0f3
21:04:59	Circle	0x5227f603c1ee34ce3c06efe6477003bdfccb2f8c	0xc954c86f118e8e410e6a3eb9e3b38ff4a95fbdae9d2d58e13166afb7a1f4fc5f
21:09:12	Tether (TRON)	TG5iBMQPrDzJJAUM8GMVBf1hRaJ1wvzsGi	71b0ec0fe873fe820c37cc3ecbab4e83087f87e833d191012a0a4027d20594e1
21:20:57	Tether (TRON)	TPBkSjkCMn2ckrMuAP8n2J1jdjbw76bKN4	0900814becd4a94e171ed742ab4c2fe7bfab909d612b657fe2cd3113534487b0

CZ в 21:15 UTC написал о заморозке Tether (~$971 млн) и Circle (~$823 млн). По TRM Labs, после следующих свипов на замороженном 0x5227… оказалось 1,175 млрд USDT. До заморозки 0x0ddf… успел переслать 190 млн USDT на Exploiter 3 (20:52:59, 0xc0fab33d0ec562d3feef6b23946402b1af80dade21ab4f5fbea7384cc4615183).

Источники: x.com; trmlabs.com; транзакции заморозки

X Telegram

29 окт., 20:30 UTC
Разнос: за 15 минут средства разложены по трём кошелькам
- 0x9749292d74fd460982d0912ea9515ea24736c762 (Exploiter 18): 500 млн USDT в 20:30:11 (0x68d7d69deaeb9750c38020b4f8d3728146ca8d2267eba1e38cf9b56722ad659a);
- 0x0ddf0480016e6bcb2c1f5d190d221fba1320697e (Exploiter 10): 200 млн USDT в 20:33:23 (0x1fc0ef33a767132edad434834a5555b30fcb5a171206c03b86175ef6dafac81c);
- 0x8532fa14acaf483729c449b8458aeddb900543d4 (Exploiter 8): 195 460 ETH в 20:38:47 (0x551d7961652e6d9835b11988908adf86ebe480badb4ce2d7d52193b2b1b02c76) и ещё 2 000 ETH 30.10 в 01:14:11, всего 197 460 ETH. Исходящих переводов на 30.10 ~05:15 UTC нет.
По публикациям (TRM Labs, drk.vc), около 325 млн USDT обменяны на ~122 тыс. ETH через UniswapX и RFQ-маркетмейкеров, 60 млн USDT внесены в Aave под заём ETH.
Адреса:0x974929…36c762 0x0ddf04…20697e 0x8532fa…0543d4
Источники: транзакции выше; метки Etherscan; drk.vc
X Telegram
29 окт., 20:24 UTC
Слив Binance 14 через EIP-7702
В 20:24:23 (блок 26300770) исполнитель 0x7c8601d4645b93cea45f71e118a729332e6b5ca0 (Etherscan: «Binance Hot Wallet Exploiter») отправил транзакцию на сам Binance 14 0x28c6c06298d514db089934071355e5743bf21d60. Делегированный код выгрузил на 0x5227f603c1ee34ce3c06efe6477003bdfccb2f8c (Exploiter 2) около 167 464 ETH, около 1,619 млрд USDT и около 60 других токенов (0x53bd38b816c23e74134786c29a8c18d792777998a3b9326047b583100e88e2f3). Добор в 21:04:23 (блок 26300968): 24 перевода, в том числе 1 700 ETH (0x31c4c9fe287d54fb9d3b79980477a8c793a11f774b98d0a9a92de1dad888a91d). Подписант обеих транзакций, 0x7c86…, сверен через публичный RPC.
Одновременно Binance 16 0xdfd5293d8e347dfe59e90efd55b2956a1343963d в 20:24:47 отправил атакующему 9 переводов, в том числе 55,7 млн USDT. Смарт-кошелёк Binance 0xee7ae85f2fe2239e27d9c1e23fffe168d63b4055 (Hot Wallet 34 по drk.vc) отдал 823 млн USDC, из них 780 млн в транзакции 0xdc102dd89dded5a83f1008906883ffb7c81ff3b7d7965d8c7277d170b5e17481.
Адреса:0x7c8601…6b5ca0 0x28c6c0…f21d60 0x5227f6…cb2f8c 0xdfd529…43963d 0xee7ae8…3b4055
Источники: транзакции выше; theblock.co; drk.vc
X Telegram
29 окт., 20:20 UTC
Делегирование Binance 14 на контракт атакующего
Транзакция типа 4 (EIP-7702) 0xad99264d5532ae0dd04b2004eebda05f25657e70dacb764f7ac8d4ccd051298b, блок 26300753, отправлена с 0x7c86… на Binance 14 и несёт 50 авторизаций. По drk.vc и TRM Labs, сработала одна, и Binance 14 стал исполнять код sweeper-контракта 0x63e842b054bd624a465454d533c33f573e9c6fae (Etherscan: Exploiter 24), который может вызывать только 0x7c86…. Блок, тип и число авторизаций мы проверили через публичный RPC.
Адреса:0x7c8601…6b5ca0 0x28c6c0…f21d60 0x63e842…9c6fae
Источники: drk.vc; trmlabs.com
X Telegram
29 окт., 18:20 UTC
Газ исполнителю
Подготовительный кошелёк 0xe4f9070e1316de2988fc6f869fead8fb99cc74cd (Etherscan: Exploiter 23, первые средства 29.10 в 07:08, из Tornado Cash) отправил 1,0822 ETH исполнителю 0x7c86…. Сам исполнитель до этого получил три вывода из пула Tornado Cash 0.1 ETH: 28.10 в 07:39 и 08:53, 29.10 в 08:23.
Адреса:0xe4f907…cc74cd 0x7c8601…6b5ca0
Источники: метки Etherscan; собственный разбор транзакций
X Telegram
29 окт., 01:15 UTC
Начало подготовки
Первый вывод из Tornado Cash на корень «репетиции» 0xfd41… (подробно в записи 30.10 04:20).
Адреса:0xfd41da…58f408
Источники: транзакция 0x6f713d8c5d5ffe323d761a5c30c5c1d534e16f292232277516f48f466ae9bbdb
X Telegram

Адреса

Адрес	Сеть	Роль	Подтверждение
0x28c6c06298d514db089934071355e5743bf21d60 Etherscan ↗	Ethereum	Binance 14, пострадавший горячий кошелёк	метка Etherscan; tx 0x53bd38b816c23e74134786c29a8c18d792777998a3b9326047b583100e88e2f3
0xdfd5293d8e347dfe59e90efd55b2956a1343963d Etherscan ↗	Ethereum	Binance 16, пострадавший горячий кошелёк	метка Etherscan; переводы атакующему в блоке 26300772
0xee7ae85f2fe2239e27d9c1e23fffe168d63b4055 Etherscan ↗	Ethereum	смарт-кошелёк Binance (Hot Wallet 34 по drk.vc), пострадавший	tx 0xdc102dd89dded5a83f1008906883ffb7c81ff3b7d7965d8c7277d170b5e17481
5tzFkiKscXHK5ZXCGbXZxdw7gTjjD1mBwuoFbhUvuAi9Solscan ↗	Solana	горячий кошелёк Binance, пострадавший	tx 5YvwLFWubH1ob8JCNDLbPVioC3jtEZ8Maoz5WhNAs5cc8n9V2BjTWbixt6Ny5mddAKkN2SWJUR9y5kzede3ZTqk2
0x7c8601d4645b93cea45f71e118a729332e6b5ca0 Etherscan ↗	Ethereum	исполнитель, подписал делегирование и слив	Etherscan «Binance Hot Wallet Exploiter»; tx 0xad99264d5532ae0dd04b2004eebda05f25657e70dacb764f7ac8d4ccd051298b
0x63e842b054bd624a465454d533c33f573e9c6fae Etherscan ↗	Ethereum	sweeper-контракт, цель делегирования	Etherscan Exploiter 24; eth_getCode у 0x43ae…
0x5227f603c1ee34ce3c06efe6477003bdfccb2f8c Etherscan ↗	Ethereum	основной получатель слива, заморожен Tether и Circle	Etherscan Exploiter 2; tx 0x53bd38b816c23e74134786c29a8c18d792777998a3b9326047b583100e88e2f3
0xe4f9070e1316de2988fc6f869fead8fb99cc74cd Etherscan ↗	Ethereum	подготовка, газ исполнителю	Etherscan Exploiter 23
0xfd41da53d1175b29d40599a0e63545067f58f408 Etherscan ↗	Ethereum	корень «репетиции», финансирован из Tornado Cash	tx 0x6f713d8c5d5ffe323d761a5c30c5c1d534e16f292232277516f48f466ae9bbdb
0x837810e3be7a3e89c570e7a01a13d3b566aafbc3 Etherscan ↗	Ethereum	тестовый кошелёк «репетиции»	tx 0x4e4e44a38920677f26ca61678e8e783b54bca30ece2c0ff7aeb9b27aeeb0f9fb
0x9c29ba2de4b2d6c3630685650663cfe7b70dbb6b Etherscan ↗	Ethereum	тестовый кошелёк «репетиции»	tx 0x87add0f97fe300d9a1da69a0900ce2c0976cec8f2e32aa5f90ae17a4cadaba00
0x43aedb9bad6219677a2c8d6858321c16988404bd Etherscan ↗	Ethereum	тестовый кошелёк, делегирован на Exploiter 24	eth_getCode = 0xef0100 + 0x63e842…; tx 0x2b8eb62a32408e96bd7cb6740ede11a054549581534de5d5111289c47355f58f
0x24a4ae3674f08b70665fcb91f2aa6ad204aba4de Etherscan ↗	Ethereum	тестовый приёмник «репетиции»	tx 0x9c2dbed15322072e35e767c0c9b4cd962abf58fe51937e62a7020c742b834f2f
0x8532fa14acaf483729c449b8458aeddb900543d4 Etherscan ↗	Ethereum	хранилище 197 460 ETH	Etherscan Exploiter 8; tx 0x551d7961652e6d9835b11988908adf86ebe480badb4ce2d7d52193b2b1b02c76
0x9749292d74fd460982d0912ea9515ea24736c762 Etherscan ↗	Ethereum	получил 500 млн USDT	Etherscan Exploiter 18; tx 0x68d7d69deaeb9750c38020b4f8d3728146ca8d2267eba1e38cf9b56722ad659a
0xa97bf7836f8a08f9ed91d41453d371493fae8d10 Etherscan ↗	Ethereum	кошелёк атакующего: повторные свипы Binance 14, свопы на DEX; 5 474,15 ETH и 970 транзакций на 05:28 UTC 30.10	tx 0x4a4aed833556814c16fe176fc8abc70ce124eadc73da3bcdf42a67ef44f9ad6b и 0x4395d51dc3f3c51230329efc3548f74edbced353ff3f795c517cc57fa650f89b, подписаны 0x7c86…
0x03b0ee5d82990cff1bda48651ac3e436d1a020ea Etherscan ↗	Ethereum	новый кошелёк, 17 260 ETH с Exploiter 2	tx 0x9edf86533e73658700c5dadb2432dd7bebb628dc0f5fe37991c241f537856071
0x0ddf0480016e6bcb2c1f5d190d221fba1320697e Etherscan ↗	Ethereum	получил 200 млн USDT	Etherscan Exploiter 10; tx 0x1fc0ef33a767132edad434834a5555b30fcb5a171206c03b86175ef6dafac81c
0x8d53903625b8e839b9df4bd28b0efb1cd6b8639a Etherscan ↗	Ethereum	получил 190 млн USDT и 3 552 ETH	Etherscan Exploiter 3; tx 0x121cd104644b775c8a8c990c5871f79872cf7ebc5f03b93d3a8562f2c48262b2
0x3e2bf1ac6bf0934bbba6456c341c2ecbced632d5 Etherscan ↗	Ethereum	газовый кошелёк, вывод через Bridgers	Etherscan Exploiter 9; tx 0xc5892899fa23a64ab99339b8a3bd9e1ef00c81319b33bbd77467f4b55df1ec2c
0x0e772ee615c7f93373c7519f2c36e780696477d3 Etherscan ↗	Ethereum	газовый кошелёк, вывод через Bridgers	Etherscan Exploiter 13; tx 0xa5b80a23f712bdec620197e20c92808720665298f6afaf27b3aa7264aedbd6f9
0xb3ddec0ccc5c3ba733fcdf5a15f98c95ec5a5fdb Etherscan ↗	Ethereum	газовый кошелёк, без метки Etherscan	tx 0xc87e26c4084ff9528178f8185eafcb6dfcd533c2fea32c9e95a98c205159feba
0x06ea1ab3ecf570029eb1f94dbb9eac06bc79685f Etherscan ↗	Ethereum	газовый кошелёк, без метки Etherscan	tx 0xcdd78ef83d7250f5841a9a26ed03ec0cf1e809d055377cd0c375bf0f0d78febf
0x0084847bb9384d2fc5e8836e663689467e3e4c81 Etherscan ↗	Ethereum	газовый кошелёк, без метки Etherscan	tx 0x6e1d2b9137b3260cd873e4daf75af060f799cdb4c1da929f77e48876f63574e2
0xb58bf76d209fa71f60013ce1933ca331177a4f08 Etherscan ↗	Ethereum	газовый кошелёк, без метки Etherscan	tx 0xc3959c8adb57c075b8b8fc23ca41cd66158b65bd1c3bbe234f1eb0a7808ee293
0xf1eadb247ffc7d7d6600e84daaf9ee85737e73c4 Etherscan ↗	Ethereum	газовый кошелёк, без метки Etherscan	tx 0x24472c4e45496a3665576b7eb58aa81948f020cdd9ccc6ca61094cf592492c82
0xdd6dbbe67262ccc9b1824de1257999efc6c52296 Etherscan ↗	Ethereum	газовый кошелёк, без метки Etherscan	tx 0x0882d99e6bcb39670a7e74a15dc0361ae982742ed0f8a7312a64957e4b77e097
0x1291be4c90239d14527ba880ad2b6e5cb82116b1 Etherscan ↗	Ethereum	газовый кошелёк, без метки Etherscan	tx 0x3ccc5e849cd0bf2ca2995d80a603a72727e721093c62e11c5dfe9c71efc970eb
AffzFDKZbyMiU11zmVBoAqD25ugpr7xoWWyRyGigBEaUSolscan ↗	Solana	кошелёк атакующего, 970 549 SOL	трекер binance.lamps.works; tx 5YvwLFWubH1ob8JCNDLbPVioC3jtEZ8Maoz5WhNAs5cc8n9V2BjTWbixt6Ny5mddAKkN2SWJUR9y5kzede3ZTqk2
TG5iBMQPrDzJJAUM8GMVBf1hRaJ1wvzsGi Tronscan ↗	TRON	первый получатель в TRON, заморожен Tether	заморозка 71b0ec0fe873fe820c37cc3ecbab4e83087f87e833d191012a0a4027d20594e1
TPBkSjkCMn2ckrMuAP8n2J1jdjbw76bKN4 Tronscan ↗	TRON	обмен USDT на TRX, заморожен Tether	tx fd8061aaa787ce89d707184dbfdd436a578c7840d674505067725de727c06222
TSpe5HC3PRD2svJcr1YoGszhHk2mtkyZ8A Tronscan ↗	TRON	хранилище 638,2 млн TRX	tx 4b329d4495bcdd8df40117cd478f13c5027988147c7deb9add5e4aee3b8107c4, fb5089f5ce2ae9be6f8e5e3f78470a5a8d694879ac68f6c8cfe3d81450fa6149
TRBdWqHnDVSZCVGfgHdKFLQPirQcA2PRki Tronscan ↗	TRON	получил 46,4 млн TRX	tx 6adfc066520a5880df18eebc61bf048d03e8d7a0fca23b04a6b36c9723892736
0x12d66f87a04a9e220743712ce6d9bb1b5616b8fc Etherscan ↗	Ethereum	пул Tornado Cash 0.1 ETH, инфраструктура, не атакующий	публичная метка Tornado.Cash
0x0439e60f02a8900a951603950d8d4527f400c3f1 Etherscan ↗	Ethereum	контракт MetaMask, инфраструктура, не атакующий	метка MetaMask
0xc1d13492285eb664951e201bf7c80c7c6318a1b5 Etherscan ↗	Ethereum	мост Bridgers, инфраструктура, не атакующий	метка «Bridgers1.1 (BRIDGERS)»
TSUUVjysXV8YqHytSNjfkNXnnB49QDvZpx Tronscan ↗	TRON	пул SunSwap V3 WTRX/USDT 0,05%, не атакующий	фабрика TThJt8zaJzJMhCEScH7zWKnp5buVZqys9x, getPool(WTRX, USDT, 500)
TQqgNg13s2DjvXhW1ky4v6TsR8wZGvb7Y4 Tronscan ↗	TRON	SunSwap UniversalRouter, не атакующий	tx 0c2562ae7c9a628103d20ca2ebfe77a2c00625508b51faf8e6cae09c81a18eae
0xcb02d265139640bfff926416a98a22d7db964435 Etherscan ↗	Ethereum	не разобран, см. открытые вопросы	tx 0x8660797ad6d6a405cb54a782a2b68f084ca0ea02a48ee00e48c6b0395a343859

Другие сети

Всего по всем сетям, внешняя оценка

~$6,36 млрд

По оценке TRM Labs, на 30 окт., 00:30 UTC

Оценки расходятся. TechFlow: $6,28 млрд по ценам на 20:24 UTC 29.10 (https://www.techflowpost.com/en-US/article/34982). По сводке drk.vc, Chainalysis оценивает ущерб в $5,9 млрд, Arkham в $5,7 млрд (https://drk.vc/news/binance-14-eip-7702-drain; первичных публикаций Chainalysis и Arkham мы не открывали). Разница в основном из-за того, по каким ценам считать и какие сети включать.

Сетей: 9Статично, из источников

Сети кроме Ethereum. Три числа по Ethereum (украдено, заморожено, на руках у атакующего) страница показывает отдельно и считает их динамически. У каждого числа ниже указан источник и время оценки; null значит, что данных в источниках нет. TechFlow даёт суммы украденного по ценам на 20:24 UTC 29.10, а статус заморозок на ~23:50 UTC 29.10. Оценки TRM Labs даны на 00:30 UTC 30.10, drk.vc на 01:55 UTC 30.10.

Сеть	Украдено	Заморожено	На руках у атакующего
Bitcoin	18 270,2 BTC, $1,47 млрд (TechFlow)	null (по drk.vc на 01:55, заморозить эти средства нельзя)	18 270 BTC (TRM Labs, 00:30)
TRON	612,7 млн USDT и 46,4 млн TRX, $627,5 млн (TechFlow)	378,7 млн USDT в двух кошельках (TRM Labs, 00:30; TechFlow, ~23:50). Наш замер: 312,7 млн USDT на TG5iBMQPrDzJJAUM8GMVBf1hRaJ1wvzsGi, заморожен в 21:09:12	684,6 млн TRX, не заморожены (TechFlow, ~23:50). Наш замер: 638,2 млн TRX поступило на TSpe5HC3PRD2svJcr1YoGszhHk2mtkyZ8A (по трекеру binance.lamps.works и транзакциям в 20:56 и 21:42 UTC; текущий баланс мы не проверяли)
XRP Ledger	233,5 млн XRP, $296,5 млн (TechFlow); 233,46 млн XRP (TRM Labs, 00:30)	—	233,5 млн XRP (TechFlow, ~23:50); по TRM Labs на 00:30 средства не двигались
Solana	970 522 SOL, $96,1 млн (TechFlow)	—	Наш замер: 970 549,37 SOL на AffzFDKZbyMiU11zmVBoAqD25ugpr7xoWWyRyGigBEaU, 30.10 04:45 UTC, не двигались (перепроверено в 05:09)
Arbitrum	8 426 ETH и 74,6 млн ARB, $31,8 млн (TechFlow)	8 426 ETH и 74,6 млн ARB, заморожены Security Council (TRM Labs, 00:30)	—
Avalanche	1,81 млн AVAX и 8,41 млн USDT, $24,3 млн (TechFlow); около $28 млн (TRM Labs, 00:30)	8,41 млн USDT, Tether (TechFlow, ~23:50)	—
Optimism	44,2 млн OP, $4,8 млн (TechFlow)	—	44,2 млн OP, не тронуты (TechFlow, ~23:50); «still on the hub» (drk.vc, 01:55)
Base	4 735 627 VIRTUAL, около $2,7 млн (drk.vc, 01:55)	—	4 735 627 VIRTUAL, «still on the hub» (drk.vc, 01:55)
Polygon	около $10 млн (TRM Labs, 00:30)	—	—

Bitcoin
Украдено: 18 270,2 BTC, $1,47 млрд (TechFlow)
Заморожено: null (по drk.vc на 01:55, заморозить эти средства нельзя)
На руках у атакующего: 18 270 BTC (TRM Labs, 00:30)
TRON
Украдено: 612,7 млн USDT и 46,4 млн TRX, $627,5 млн (TechFlow)
Заморожено: 378,7 млн USDT в двух кошельках (TRM Labs, 00:30; TechFlow, ~23:50). Наш замер: 312,7 млн USDT на TG5iBMQPrDzJJAUM8GMVBf1hRaJ1wvzsGi, заморожен в 21:09:12
На руках у атакующего: 684,6 млн TRX, не заморожены (TechFlow, ~23:50). Наш замер: 638,2 млн TRX поступило на TSpe5HC3PRD2svJcr1YoGszhHk2mtkyZ8A (по трекеру binance.lamps.works и транзакциям в 20:56 и 21:42 UTC; текущий баланс мы не проверяли)
XRP Ledger
Украдено: 233,5 млн XRP, $296,5 млн (TechFlow); 233,46 млн XRP (TRM Labs, 00:30)
На руках у атакующего: 233,5 млн XRP (TechFlow, ~23:50); по TRM Labs на 00:30 средства не двигались
Solana
Украдено: 970 522 SOL, $96,1 млн (TechFlow)
На руках у атакующего: Наш замер: 970 549,37 SOL на AffzFDKZbyMiU11zmVBoAqD25ugpr7xoWWyRyGigBEaU, 30.10 04:45 UTC, не двигались (перепроверено в 05:09)
Arbitrum
Украдено: 8 426 ETH и 74,6 млн ARB, $31,8 млн (TechFlow)
Заморожено: 8 426 ETH и 74,6 млн ARB, заморожены Security Council (TRM Labs, 00:30)
Avalanche
Украдено: 1,81 млн AVAX и 8,41 млн USDT, $24,3 млн (TechFlow); около $28 млн (TRM Labs, 00:30)
Заморожено: 8,41 млн USDT, Tether (TechFlow, ~23:50)
Optimism
Украдено: 44,2 млн OP, $4,8 млн (TechFlow)
На руках у атакующего: 44,2 млн OP, не тронуты (TechFlow, ~23:50); «still on the hub» (drk.vc, 01:55)
Base
Украдено: 4 735 627 VIRTUAL, около $2,7 млн (drk.vc, 01:55)
На руках у атакующего: 4 735 627 VIRTUAL, «still on the hub» (drk.vc, 01:55)
Polygon
Украдено: около $10 млн (TRM Labs, 00:30)

Открытые вопросы

Куда ушли средства через Bridgers с Exploiter 9 и Exploiter 13: адрес и сеть назначения нам не видны.
Связан ли вывод Exploiter 9 через Bridgers (21:31 UTC) с появлением того же адреса в Arbitrum (21:36 UTC по drk.vc). Пока это гипотеза.
Кто стоит за 0xcb02d265139640bfff926416a98a22d7db964435. Адрес многократно отправляет кошелькам атакующего транзакции с нулевой или ничтожной суммой. Назначение не разобрано, оценок не даём.
Куда TRBdWqHnDVSZCVGfgHdKFLQPirQcA2PRki с 02:19 UTC 30.10 отправляет TRX частями.
Bitcoin (18 270 BTC, адрес bc1q0mtc2f5agpkvlq6hhahmfr3hlr55kyfjhl2mnm по трекеру binance.lamps.works) и XRP мы ещё не разбирали.

Источники

TRM Labs, 30.10.2026 (оценка ущерба, заморозки, атрибуция). TRM Labs с высокой уверенностью приписывает атаку группе TraderTraitor (КНДР); это утверждение TRM Labs, собственной атрибуции у PublicAML нет.
TechFlow (подсчёт по сетям, хронология)
drk.vc (разбор EIP-7702, «репетиция», TRON)
The Block, 29.10.2026
CZ в X, 29.10.2026 21:15 UTC
Cryptoticker, хронология
Трекер адресов атакующего
Метки Etherscan: снимок страниц etherscan.io/address 30.10.2026 04:07 UTC
Ончейн-проверки: транзакции и коды аккаунтов, перечисленные в записях; публичные RPC Ethereum и Solana

Binance Hot Wallet Exploit

Сводка

Статус

Главные числа

Куда ушли деньги (Ethereum)

Движение средств (live)

Хронология

Exploiter 2 перевёл 17 260 ETH на новый кошелёк

Наша находка: адрес атакующего в Solana, 970 549 SOL на месте

Наша находка: TSUUVjys… это пул SunSwap, а не получатель 199 млн USDT

Наша находка: маршрут в TRON, 638,2 млн TRX в одном хранилище

Наша находка: два вывода через мост Bridgers

Наша находка: «репетиция» на пяти кошельках, начатая за 19 часов до слива

Наша находка: семь газовых кошельков атакующего без меток Etherscan

Binance снял делегирование с Binance 14

Продажа остатков токенов на DEX

Повторные свипы Binance 14 на новый кошелёк атакующего

Заморозки Tether и Circle

Разнос: за 15 минут средства разложены по трём кошелькам

Слив Binance 14 через EIP-7702

Делегирование Binance 14 на контракт атакующего

Газ исполнителю

Начало подготовки

Адреса

Другие сети

Открытые вопросы

Источники