Binance пообіцяла покрити всі збитки клієнтів після злому, який, за її оцінками, торкнувся $6,3 млрд. Її зусилля з відновлення тепер охоплюють кілька різних процесів — від заморожування стейблкоїнів до відстеження активів, які жоден емітент токенів не може заблокувати.
Короткий огляд
- Binance оцінює, що злом 29 жовтня торкнувся приблизно $6,3 млрд.
- Біржа заявляє, що партнери заморозили близько $3 млрд постраждалих активів.
- TRM Labs відстежила перекази через 10 блокчейнів і оцінює початкові відтоки в $6,36 млрд.
- Blockaid виявила 50 авторизацій Ethereum у транзакції, спрямованій на Binance 14.
- Binance зобов'язалася покрити збитки з 2 джерел: свого фонду SAFU та коштів компанії.
Binance оцінила, що $6,3 млрд у криптовалюті постраждали від її злому 29 жовтня, і зобов'язалася покрити всі збитки, тоді як партнери заморозили близько $3 млрд.
У звіті Binance про безпеку йдеться, що її попереднє розслідування вказує на скомпрометований ноутбук інженера DevOps, який, можливо, дозволив отримати доступ до внутрішнього сервісного контейнера та подати несанкціоновані запити на виведення коштів.
Біржа заявляє, що не знайшла доказів витоку приватних ключів гаманців. Вона відкликала авторизацію постраждалої адреси, залучила правоохоронні органи та пообіцяла технічний звіт після того, як слідчі завершать встановлення того, що сталося.
Дослідники блокчейну опублікували окремі звіти про перекази. Їхні цифри описують різні етапи інциденту та використовують різні масштаби: одні враховують вартість на момент виходу активів з Binance, інші описують активи, які згодом були заморожені.
Таким чином, цифра заморожених $3 млрд співіснує з оцінкою в $6,3 млрд. Binance не описувала $3 млрд як кошти, вже повернені клієнтам, і не публікувала остаточного звіту про власні фінансові втрати після відшкодувань.
Злом Binance за лічені хвилини охопив кілька мереж
За даними TRM Labs, основний сплеск переказів почався приблизно о 20:05 UTC 29 жовтня, і більшість викрадених коштів було переміщено приблизно за 20 хвилин. Її розслідування охоплює 10 мереж, а додаткова хвиля того ж вечора пізніше досягла Avalanche і Polygon.
Оцінка TRM визначає вартість активів на момент кожного переказу. Цифра Binance в $6,3 млрд — це оцінка компанією впливу інциденту, тому різниця між цими двома підсумками сама по собі не доводить, що слідчі виявили ще одну крадіжку.
Фірма приписує атаку північнокорейській групі TraderTraitor, використовуючи ончейн- та офчейн-розвіддані. Binance не підтвердила особу зловмисника, і це атрибутування залишається оцінкою слідчих.
Як раніше повідомляло crypto.news, початкове атрибутування та відстеження пов'язали інцидент із хакерським підрозділом, який раніше ідентифікувало ФБР у крадіжці з Bybit у лютому 2025 року. Технічне атрибутування та кримінальний висновок є окремими етапами, навіть коли слідчі висловлюють високу впевненість.
Перекази стосувалися активів із дуже різними можливостями відновлення. Доларові токени можуть мати механізми контролю з боку емітента, тоді як нативні Bitcoin і Ethereum не дають компанії зі стейблкоїнів порівнянної можливості внести баланс власника до чорного списку.
Тому адреса, що з'являється в записі відстеження, може бути корисною зачіпкою, не будучи балансом, який можна відновити. Слідчі можуть відстежувати публічні перекази після того, як зловмисник змінює гаманці, але здатність спостерігати за переміщенням не дає нікому автоматично повноважень його скасувати.
Один дозвіл Ethereum змінив те, що міг робити гарячий гаманець
Технічне розслідування Blockaid описує атаку на Binance 14 — активний гарячий гаманець Ethereum. Транзакція містила 50 авторизацій EIP-7702, одна з яких збігалася з лічильником транзакцій облікового запису та активувала делегування шкідливому коду.
Дослідники стверджують, що зловмисник згодом використав делегований гаманець для переказу великого набору активів і досяг іншого смарт-акаунта, контрольованого цим гаманцем. Шкідливе делегування могло залишатися корисним для подальших депозитів, доки його не було видалено.
Механізм авторизації гаманця вже розглядався в технічному висвітленні видання. Його роль у цьому інциденті полягала в тому, щоб дозволити коду працювати в контексті наявного гаманця після прийняття необхідної авторизації.
Специфікація Ethereum EIP-7702 описує постійне делегування, а не дозвіл, який обов'язково зникає після однієї транзакції. Вона попереджає, що делегований код має необмежений доступ до облікового запису і повинен ретельно перевірятися постачальниками гаманців.
Ця відмінність пояснює, чому видалення ураженої авторизації має бути частиною реагування поряд із зупинкою виведення коштів. Пауза в клієнтському інтерфейсі біржі та видалення он-чейн адреси делегування стосуються різних частин одного й того самого інциденту.
Blockaid описує інші перекази як звичайні підписані транзакції з гаманців у кількох мережах. Його висновки не встановлюють, що кожен долар пішов через делегування Ethereum, і одна функція Ethereum сама по собі не може пояснити перекази в Bitcoin чи Tron.
Попередня заява Binance та технічний звіт дослідників стосуються різних питань. Біржа описує можливий шлях проникнення у свої системи, тоді як дослідники описують, що авторизовані транзакції робили он-чейн.
Повне розслідування ще має пов'язати ці етапи. Заява біржі про те, що вона не виявила витоку приватних ключів, не означає, що кожна транзакція, схвалена її інфраструктурою підпису, була навмисною з боку компанії.
Заморожені кошти та повернені кошти належать до окремих підсумків
Binance заявляє, що приблизно 3 мільярди доларів було заморожено завдяки співпраці з партнерами галузі. Заморожування обмежує переміщення уражених активів, тоді як відновлення вимагає подальшого кроку, який повертає вартість законному власнику або на узгоджену адресу відновлення.
Використовуючи округлені цифри біржі, 3 мільярди доларів, поділені на 6,3 мільярда доларів, дорівнюють приблизно 47,6%. Залишкова різниця становить 3,3 мільярда доларів, або 52,4% від початкової оцінки.
Ці розрахунки описують співвідношення між двома оголошеними цифрами Binance. Вони не встановлюють, що 3,3 мільярда доларів зникли без можливості повернення, або що весь заморожений баланс можна негайно використати для відшкодування клієнтам.
Знаменник може змінюватися в міру того, як слідчі ідентифікують перекази, усувають подвійний облік або оновлюють ціни. Чисельник може змінюватися в міру того, як емітенти знаходять більше токенів або органи влади дозволяють транзакцію відновлення.
Ранній звіт TRM оцінював заморожені або забезпечені активи приблизно в 2,7 мільярда доларів, що нижче за подальшу оцінку Binance. Його цифри були застарілим знімком відстеження, і пізніший підсумок компанії не слід додавати до нього так, ніби вони описують окремі пули.
Така сама обережність стосується оголошень емітентів. Заморожування Tether і заморожування Circle можуть бути складовими сукупного показника Binance, тому додавання обох до підсумку біржі призвело б до подвійного обліку деяких активів.
Стейблкоїни, які були обміняні до того, як емітент вжив заходів, створюють ще одну складність. Емітент доларового токена може бути здатний заблокувати цей токен, але його засоби контролю не переходять за власником до іншого нативного активу автоматично.
Тому облік відшкодування потребує як балансів токенів, так і їхнього статусу. Ідентифіковані активи, заморожені активи, активи, передані під опіку в рамках відшкодування, та активи, використані для відновлення балансів клієнтів, — це чотири різні описи.
Binance назвала кошти компанії поряд із SAFU
Зобов’язання Binance полягає в покритті збитків за допомогою свого Фонду безпечних активів для користувачів та ресурсів компанії. Вона не заявляла, що SAFU самотужки поглине весь інцидент.
Раніше конвертація біткоїн-резерву фонду була завершена в лютому, коли Binance повідомила про 15 000 BTC вартістю приблизно 1,005 млрд доларів на той час. Оголошення про конвертацію описувало історичний баланс та оцінку, а не нову жовтневу заяву про доступні страхові ресурси.
Навіть гіпотетичний фонд у 1 млрд доларів покрив би лише 15,9% від валового інциденту на 6,3 млрд доларів. Віднімання 1 млрд доларів від 6,3 млрд доларів дає 5,3 млрд доларів, але ця арифметика не є оцінкою фактичного дефіциту фінансування Binance, оскільки відшкодування та поточний баланс фонду залишаються окремими вхідними даними.
Вибір біржі включити кошти компанії, отже, є частиною самої обіцянки. Клієнтам повідомили, що Binance візьме на себе збиток, а не сказали чекати, доки слідчі повернуть кожен викрадений токен.
Зобов’язання не визначає точний склад готівки, криптовалюти чи інших ресурсів компанії, які будуть використані. Воно не встановлює термінів будь-яких відшкодувань, контрольованих емітентом, або бухгалтерського обліку заморожених балансів.
Відшкодування клієнтам і остаточний чистий збиток компанії можуть рухатися за різними графіками. Binance може замінити відсутній актив клієнта з власних ресурсів до того, як оригінальний актив буде повернуто, залишаючи компанії подальше стягнення.
Якщо емітент згодом поверне актив, який уже було замінено, це відшкодування вплине на власний фінансовий ризик Binance. Його не слід зараховувати як повторне відшкодування того самого збитку клієнта.
Оновлення резервів надасть датований огляд забезпечення
Binance пообіцяла оновлений доказ резервів після усунення наслідків. Її серпневий знімок резервів повідомляв про коефіцієнти резервів 100,25% для Bitcoin і Ethereum, з вищим коефіцієнтом для USDT.
Серпневий коефіцієнт не може встановити забезпечення біржі після жовтневого інциденту. Баланси клієнтів, резервні активи та постраждалі активи потрібно виміряти на нову дату знімка.
Дослідження видання щодо практик звітності бірж про резерви пояснює, що ці системи порівнюють покриті активи з покритими балансами клієнтів. Вони не включають автоматично кожне корпоративне зобов’язання і не встановлюють, що контролі функціонують безперервно між знімками.
Коефіцієнт понад 100% означає, що активи, включені в цей розрахунок, перевищують відповідні баланси клієнтів, включені до нього. Він не вимірює якість системи виведення коштів і не показує, як зловмисник отримав дійсний дозвіл.
Обіцяне Binance оновлення резервів і технічний постмортем, отже, слугують різним цілям. Перше може задокументувати забезпечення на зазначений час, тоді як друге покликане пояснити компрометацію та кроки, вжиті для закриття маршруту, використаного зловмисником.
Той самий актив не слід подавати одночасно як вільно доступну ліквідність для виведення коштів і як заморожене майно для відшкодування без пояснення його статусу. Заморожені токени можуть зберігати заявлену доларову вартість, залишаючись недоступними для звичайного виведення коштів клієнтами.
Обіцянка відшкодування залишає графік відновлення відкритим
Найсильнішою заявленою відповіддю Binance є її зобов'язання покрити всі збитки, підкріплене як SAFU, так і коштами компанії. Повідомлені заморожування надають зусиллям з відновлення ідентифікований пул активів, якими зловмисники не можуть вільно розпоряджатися згідно з застосовними засобами контролю.
Жодне із зобов'язань не надає остаточної цифри збитків. Binance ще не опублікувала повну звірку між викраденими активами, замороженими балансами, поверненими активами та ресурсами компанії, виділеними на заміну коштів клієнтів.
Публічний запис також містить змінний операційний статус. Початкове повідомлення про безпеку описувало призупинення депозитів і виведення коштів, тоді як подальші повідомлення описували депозити як функціонуючі, а виведення коштів — як таке, що підлягає подальшій роботі з безпеки.
Повідомлення належать до відповідних часів їх публікації. Здатність клієнта вивести кошти залежить від поточного повідомлення про обслуговування для відповідної мережі, а не від того, чи відновила роботу інша мережа.
Оцінка відновлення є цільовим показником компанії, доки послугу фактично не відновлено. Це не є крайнім терміном, що вимагає від кожного клієнта діяти, і розглянута заява Binance про безпеку не встановлює універсального вікна для виведення коштів клієнтами.
Технічний звіт стосуватиметься попередньої точки входу
Посилання біржі на скомпрометований ноутбук залишається попереднім. Її заява визначає можливий шлях від пристрою інженера до внутрішнього контейнера, але не публікує завершеного пояснення того, як зловмисник отримав кожен дозвіл у постраждалих мережах.
Аналіз Blockaid надає докази щодо виконання на Ethereum, тоді як розслідування TRM охоплює перекази та атрибуцію в більшій кількості мереж. Їхня робота не замінює обіцяного Binance викладу внутрішніх засобів контролю доступу.
Binance.US, окрема американська афілійована структура біржі, заявила, що її діяльність не постраждала від інциденту.
На що звернути увагу
Повернені активи: Підтверджений переказ на зберігання для відновлення встановив би інший статус, ніж заморожування емітентом.
Повідомлення про виведення коштів: Оновлення послуг для конкретних мереж встановлять, які виведення коштів фактично відновлено.
Знімок резервів: Дата, охоплені активи та обробка заморожених балансів визначать, що встановлює новий звіт.
Технічний постмортем: Остаточний виклад має пов'язати внутрішній доступ, авторизацію підпису та перекази в блокчейні.
Звірка збитків: Розкритий внесок Binance та відновлені активи визначать її остаточний фінансовий вплив.
FAQ
Скільки, за словами Binance, було постраждало?
Binance оцінює приблизно в 6,3 мільярда доларів. Окреме відстеження TRM оцінило початкові перекази приблизно в 6,36 мільярда доларів за цінами на момент їхнього відправлення.
Скільки було заморожено?
Binance каже, що приблизно 3 мільярди доларів. Використовуючи округлені цифри біржі, це приблизно 47,6% від оцінених збитків.
Чи означає заморожено — відновлено?
Ні. Сума в 3 мільярди доларів описує активи, переміщення яких було обмежено, тоді як фактичне повернення або відновлення вимагає додаткового кроку.
Чи понесуть клієнти збитки?
Binance зобов'язалася покрити всі збитки з SAFU та коштів компанії. У її заяві названо 2 джерела фінансування без публікації їхніх остаточних внесків.
Чи викрав зловмисник приватний ключ?
Binance заявляє, що не знайшла доказів витоку приватного ключа гаманця. Blockaid виявила 50 авторизацій EIP-7702 в атаці на Ethereum, але повна внутрішня компрометація все ще розслідується.
Чи всі перекази були здійснені через EIP-7702?
Ні. Blockaid описала інші звичайні підписані перекази, а TRM відстежила відтоки через 10 мереж, включно з Bitcoin і Tron.
Чи можна вважати баланс SAFU за лютий поточним?
Ні. Заявлений баланс у 15 000 BTC та його лютнева оцінка належать до того попереднього оголошення, а не до нового жовтневого звіряння.
Що Binance пообіцяла опублікувати далі?
Binance пообіцяла оновлений звіт про резерви та технічний post-mortem — 2 розкриття, які стосуються відповідно забезпечення та компрометації. Це освітній аналіз, а не інвестиційна порада.
