Взлом Binance: что произошло, что делать сейчас и что действительно вас защищает

Если вы держите средства на Binance, начните с одного различия, которое публикации в прессе постоянно размывают. По версии Binance на данный момент, кража 29 октября 2026 года произошла внутри её систем. Судя по всему опубликованному на данный момент, ни выбранный вами пароль, ни метод 2FA, ни одна настройка на вашей стороне не сыграли в ней никакой роли, и ни одна не могла её остановить: по версии Binance, несанкционированные запросы на вывод были отправлены изнутри её систем. Опасность для вас начинается после взлома, и она находится на вашей стороне: аферы с возвратом средств, фальшивые агенты поддержки, вредоносные «порталы компенсаций» и троянизированные приложения, которые часто следуют за крупной утечкой. Этот пост раскладывает по полочкам, что произошло, что всё ещё неизвестно, и сопоставляет каждый защитный шаг с той угрозой, которую он действительно останавливает. На момент написания вывод средств приостановлен, и Binance рассчитывает возобновить его в течение 48 часов с момента своего обновления в 04:36 UTC. Всё изложенное отражает ситуацию по состоянию на 06:40 UTC 30 октября 2026 года.

Что на самом деле произошло с Binance?

TRM Labs оценивает, что около $6,36 млрд ушло с Binance по десяти блокчейнам, причём большая часть переместилась примерно за 20 минут начиная с 20:05 UTC 29 октября, а около 23:05 UTC последовала вторая волна. На Ethereum пришлось около $3,79 млрд, а на Bitcoin 18 270 BTC, около $1,47 млрд. Chainalysis на момент кражи оценила сумму в $5,912 млрд, а её сооснователь позже говорил примерно о $6,4 млрд и о вероятной причастности TraderTraitor. По подсчётам TRM, это примерно в четыре раза больше кражи $1,5 млрд у Bybit в феврале 2025 года.

К 21:29 UTC Binance заявила, что ей «известно о сообщениях о потенциальной проблеме безопасности», и предупредила пользователей не доверять неофициальным ссылкам или запросам данных аккаунта. Она приостановила вывод средств и в своём основном заявлении около 02:25 UTC 30 октября сообщила, что предполагаемый общий ущерб «составляет около $6,3 млрд», при этом около $3 млрд уже заморожено в блокчейне. По данным Binance, её первоначальное расследование предполагает, что инцидент может быть связан со скомпрометированным ноутбуком инженера DevOps, что позволило злоумышленнику добраться до сервисного контейнера и отправить несанкционированные транзакции на вывод. Binance заявляет, что не нашла «никаких свидетельств какой-либо утечки приватных ключей кошельков» и что инцидент «вызван несколькими факторами». Она пообещала всеобъемлющий отчёт с указанием первопричины. Binance также заявляет, что опубликует обновлённое подтверждение резервов (Proof of Reserves) после завершения устранения последствий.

По данным TRM, средства ушли из горячих кошельков, то есть кошельков, которые биржа держит подключёнными к интернету, чтобы быстро подписывать выводы. Оценка TRM такова: «наиболее вероятное объяснение» состоит в том, что злоумышленник заставил систему подписания горячих кошельков Binance подписать транзакции, предварительно отрепетировав на тестовых кошельках. TRM приписывает атаку северокорейской группе TraderTraitor «с высокой степенью уверенности», и сооснователь Chainalysis также указывает на TraderTraitor. И то и другое лишь оценки аналитиков. FBI приписало кражу у Bybit той же группе, но ни одно правительство не сделало заявления по данному инциденту.

Binance заявляет, что покроет все потери из фонда SAFU и средств компании и что «средства пользователей в безопасности». Это обещания Binance, озвученные самой Binance. Для масштаба: CoinDesk сообщает, что SAFU содержит примерно $1 млрд в биткоинах и был создан в 2018 году, а Binance, по данным DefiLlama, держала около $144 млрд до взлома, то есть кража забрала около 4% активов. Binance.US, как сообщается, не пострадала, по данным PTC News.

Что всё ещё не подтверждено?

Довольно многое. Относитесь к следующему как к открытым вопросам, а не установленным фактам.

• Первопричина. Объяснение с ноутбуком лишь первоначальное предположение Binance, и сама Binance говорит, что было задействовано несколько факторов. Объясняет ли один скомпрометированный компьютер подписание транзакций в десяти сетях, не установлено.
• Итоговый ущерб. Цифры Binance, TRM и Chainalysis различаются и всё ещё меняются.
• Сколько вернётся. Заморожено означает, что эмитент, такой как Tether, или в одном случае совет безопасности блокчейна, заблокировал перемещение украденных токенов в сети; возвращено означает, что деньги вернулись туда, откуда ушли, и ни об одном возврате не сообщалось. TRM оценивает, что эмитенты заморозили около $2,67 млрд, включая примерно 1,77 млрд USDT со стороны Tether и 825 млн USDC со стороны Circle. Но TRM также оценивает, что более 420 000 ETH и 18 270 BTC, около $2,4 млрд, находятся «вне досягаемости любого эмитента». CoinDesk сообщает, что биткоины были разделены на 19 кошельков, которые никто не может заморозить, и ни один из них не перемещал монеты по состоянию на 04:23 UTC. Даже если каждый замороженный токен вернётся, останется около $3,3 млрд, а примерно $1 млрд в SAFU покрывает менее трети этой суммы, при этом Binance говорит, что остальное покроют средства компании.
• Атрибуция. TRM и Chainalysis указывают на TraderTraitor; правительственного заявления по этому инциденту не существует.
• Пользователи и данные. Ни одно заявление Binance не называет число затронутых пользователей, не говорит, что аккаунты были скомпрометированы по отдельности, и никак не затрагивает вопрос персональных данных.
• Сроки. В 04:36 UTC Binance заявила, что ожидает, что вывод средств «возобновится в течение 48 часов», пока завершается пересмотр безопасности сервиса вывода.
• Депозиты. В собственных формулировках Binance есть явное противоречие. Её заявления в 00:13 UTC и около 02:25 UTC говорили, что депозиты и вывод средств временно приостановлены. Её обновление в 04:36 UTC гласило: «Депозиты не затронуты и продолжают работать в обычном режиме». Binance не объяснила это расхождение.

Что делать прямо сейчас, если вы пользуетесь Binance?

Ни один из этих шагов не предотвратил бы взлом. Все они уменьшают то, что злоумышленник или мошенник может сделать с вами дальше.

1. Используйте только официальные каналы. Binance попросила пользователей полагаться только на официальные каналы Binance для получения обновлений. Прежде чем доверять любой ссылке, адресу электронной почты, номеру телефона или аккаунту в соцсетях, вставьте его в Binance Verify. Советы по безопасности Binance говорят, что она никогда не позвонит вам и не напишет в WhatsApp или других соцсетях. Настройте антифишинговый код, чтобы настоящие письма Binance содержали фразу, известную только вам.
2. Считайте каждое сообщение о возврате, компенсации или разблокировке мошенничеством. По словам Binance, она не связывается с пользователями по собственной инициативе через неофициальные каналы, чтобы предлагать подарки или способы разблокировать аккаунт, и никогда не будет запрашивать средства через личные сообщения. Службы по возврату средств представляют собой ту же ловушку в костюме. Как формулирует Revoke.cash, «не существует легитимного процесса восстановления, который требует вашу сид-фразу». Никогда не платите аванс никому, кто обещает возврат средств.
3. Проведите аудит своих API-ключей. Если вы когда-либо подключали торгового бота или трекер портфеля, пересмотрите ключи. Рекомендации Binance по API советуют использовать белый список IP-адресов на всех ключах и избегать включения всех разрешений на одном ключе. Ключ без белого списка IP не может инициировать вывод средств, а неактивные ключи без белого списка удаляются через 30 дней. Удалите всё, что вы не узнаёте.
4. Включите белый список адресов для вывода. Когда он включён, по данным Binance, вы можете выводить средства только на адреса из вашего белого списка, добавление адреса требует 2FA, а изменение белого списка может приостановить вывод на 24, 48 или 72 часа. Whitelist Withdrawal Limit дополнительно задерживает недавно добавленные адреса. Этот период ожидания и есть смысл функции: он даёт вам время, если кто-то проник в ваш аккаунт.
5. Проверьте свои устройства и историю входов. Binance ведёт журнал попыток входа. Просмотрите его и удалите любое устройство или сессию, которые вы не узнаёте.
6. Пароли и 2FA, честно. Заявления Binance не просили пользователей менять пароли и ничего не говорят о персональных данных ни в ту, ни в другую сторону. Всё равно смените свой пароль, если вы повторно используете его на другом сайте, если вы перешли по любой ссылке из сообщения о взломе или если вы когда-либо зачитывали код кому-либо. И обновите свой второй фактор: Binance поддерживает ключ доступа (passkey) или приложение-аутентификатор «в качестве альтернативы SMS-верификации». Они не равнозначны, как объясняется ниже.

Какие аферы следуют за подобным взломом?

Часы после громкого взлома оказываются горячей порой для самозванцев, потому что страх заставляет людей кликать. Chainalysis сообщает, что аферы с выдачей себя за других выросли более чем на 1400% в 2025 году по сравнению с 2024 годом, а средний платёж мошенникам вырос с $782 в 2024 году до $2 764 в 2025 году. Ожидайте такие сценарии:

• Письмо о возврате. «Получите компенсацию до крайнего срока». Ссылка ведёт на фальшивую страницу входа, которая собирает ваш пароль и код 2FA в реальном времени.
• Звонок из поддержки. Кто-то, называющий себя службой безопасности Binance, говорит, что ваш аккаунт под угрозой, и проводит вас через «верификацию». Binance говорит, что никогда вам не позвонит.
• Эксперт по возврату. После того как вы потеряли деньги, услужливый незнакомец предлагает отследить их за плату или просит вашу сид-фразу, чтобы «синхронизировать» кошелёк. Обе просьбы заканчиваются одинаково.
• Сервис разблокировки. Пока вывод приостановлен, ожидайте предложений особого канала, чтобы вывести ваши средства раньше. Binance говорит, что не предлагает способы разблокировать аккаунт через неофициальные каналы.

Почему срочность работает? Потому что, как отмечает FTC, платежи в криптовалюте, как правило, необратимы, и вы, скорее всего, обнаружите, что никто не сможет вмешаться и помочь вернуть средства из украденного кошелька. Мошеннику нужна одна подписанная транзакция, один раз.

Как защищать криптовалюту в целом?

Начните с компромисса. Хранение монет на бирже подвергает вас взломам на стороне биржи, как этот, и взамен платформа может пообещать возместить вам всё, как это сделала Binance. Хранение собственных ключей полностью убирает биржу из уравнения и перекладывает все оставшиеся риски на вас. Chainalysis насчитала 158 000 компрометаций индивидуальных кошельков и 80 000 уникальных жертв в 2025 году, при этом у частных лиц было украдено $713 млн, что ниже пика 2024 года в $1,5 млрд. Никакие обещания в стиле бирж не покрывают эти потери. Мы не говорим вам, где держать ваши деньги; мы говорим вам, что риск перемещается вместе с ними.

Какую бы комбинацию вы ни выбрали, эти привычки работают:

• Понимайте, что на самом деле делает аппаратный кошелёк. Он хранит приватные ключи на отдельном устройстве и подписывает транзакции там, поэтому скомпрометированный компьютер никогда их не получает, но вы всё равно должны читать на его экране то, что одобряете.
• Держите сид-фразу офлайн. Записанной на бумаге или металле, никогда не сфотографированной, никогда не введённой на сайте, никогда не переданной кому-либо. Любой, кто её просит, забирает ваш кошелёк, как бы он ни называл этот процесс.
• Предпочитайте ключи доступа и аппаратные ключи кодам. Ключ доступа (passkey) привязан к настоящему сайту: по стандарту WebAuthn учётные данные ограничены одной доверяющей стороной и не могут быть использованы похожим доменом. Приложение-аутентификатор хорошо, но убедительная фишинговая страница может передавать его коды в реальном времени. SMS остаётся самым слабым вариантом: руководство NIST относит верификацию по SMS и голосу к ограниченным методам. Оно также прямо говорит: «Пароли не устойчивы к фишингу».
• Вносите адреса вывода в белый список на любой бирже, которая это поддерживает, чтобы одни лишь украденные учётные данные не могли перенаправить ваши монеты.
• Отзывайте старые разрешения на токены. Если вы используете DeFi, разрешения «дают смарт-контракту право тратить ваши токены от вашего имени» и, по данным Revoke.cash, остаются активными бессрочно. Просмотрите их через Revoke.cash или страницу разрешений на токены в Etherscan и отключите те, которые вам больше не нужны.
• Используйте отдельный адрес электронной почты для биржевых аккаунтов, который вы не используете больше нигде, чтобы утечка в каком-нибудь постороннем сервисе не вручила злоумышленникам ваш крипто-логин.
• Скачивайте приложения кошельков только из официальных источников. Для группы, которую называют аналитики, это не гипотетический сценарий. Рекомендация CISA по TraderTraitor описывает целевые фишинговые сообщения сотрудникам криптокомпаний, которые «имитируют процесс найма и предлагают высокооплачиваемую работу» и подталкивают жертв скачать троянизированные криптовалютные приложения для Windows или macOS. Тот же сценарий, направленный на частных лиц, выглядит как поддельное обновление кошелька.

Об остальных основах, от менеджеров паролей до дисциплины обновлений, читайте в нашем центре онлайн-безопасности и в обзоре недели кибербезопасности за октябрь 2026 года.

Какая защита останавливает какую угрозу?

Эту таблицу стоит сохранить. Сначала читайте столбец про взлом на стороне биржи.

Посмотрите на столбец про взлом на стороне биржи. Против взлома на стороне биржи почти каждая строка гласит «Нет», потому что, по версии Binance на данный момент, атака шла внутри её систем. Единственное «Да» принадлежит самостоятельному хранению монет, и у этой строки есть своя цена: 158 000 компрометаций кошельков, которые Chainalysis насчитала в 2025 году, произошли в личных кошельках, а не на биржах. Нет строки, которая выигрывает в каждом столбце. Вот почему разумный ход заключается в многослойности, а не в выборе чего-то одного.

Где VPN действительно помогает?

VPN занимает один столбец этой таблицы и затрагивает второй. Le VPN шифрует трафик между вашим устройством и сервером VPN, а значит, кто-то в той же сети кафе или аэропорта не может читать ваш трафик, и ваш провайдер не видит, какими сервисами вы пользуетесь. Если вы когда-нибудь проверяете биржу или кошелёк вне дома, это имеет значение; см. наш гид по безопасности публичного Wi-Fi. Threat Protection (Block Online Threats в Windows и Android), переключатель в текущих приложениях, добавляет блокировку известных вредоносных доменов на основе DNS, что может не дать вам попасть на помеченный фишинговый сайт, хотя страницы, зарегистрированной час назад, может ещё не быть ни в одном списке. Data Breach Scanner, включённый в активную подписку, проверяет адрес электронной почты вашего аккаунта Le VPN по известным утечкам и пишет вам, если он там обнаружится.

А вот чего VPN не делает. Он не останавливает вредоносное ПО, уже находящееся на вашем устройстве. Он не может заблокировать фишинговую страницу, которую никто не пометил. Он никак не повлиял бы на этот взлом, поскольку, по версии Binance, он произошёл внутри систем Binance. Он не меняет условия обслуживания биржи или перечень стран, которые биржа обслуживает. А подключение с нового IP-адреса может вызвать дополнительные проверки безопасности на бирже, так что ожидайте дополнительный запрос. Для более полной картины того, где этот инструмент вписывается в криптонастройку, прочитайте нашу статью о VPN и безопасности криптовалют.

Пока Binance не опубликует свой разбор инцидента, факты об этом взломе исходят из её официальных аккаунтов и от названных аналитиков. Любой другой, кто связывается с вами по этому поводу, по почте, телефону, в личных сообщениях или через всплывающее окно, чего-то от вас хочет.