Binance спря тегленията след хак за 6,3 млрд. долара

Binance спря тегленията и депозитите в множество мрежи вечерта на 29 октомври 2026 г., след като неоторизирани преводи източиха част от горещите портфейли на борсата. По собствена оценка на компанията щетата е около 6,3 млрд. долара, а до момента са замразени около 3 млрд. Ако числата се потвърдят, това е най-големият крипто обир в историята — предишният рекорд беше 1,5 млрд. долара от Bybit през февруари 2025 г.

Няколко часа по-рано същия ден и Polymarket спря търговията на международната си платформа заради зловреден JavaScript, стигнал до сайта през доставчик на трета страна.

Какво се случи с Binance

Първите подозрителни преводи започват около 16:24 ч. източно време. Една единствена транзакция изкарва приблизително 167 464 ETH и 1,615 млрд. USDT от портфейла, известен в блокчейн анализите като „Binance 14”. До 40 минути по-късно един получаващ адрес вече е събрал около 3,52 млрд. долара, а преводите продължават през Ethereum, Bitcoin и Tron.

Оценките за общата сума се разминават според методиката: Arkham Intelligence проследи 5,78 млрд. долара в 55 адреса, Chainalysis изчисли 5,912 млрд. долара по цени към момента на кражбата, а BleepingComputer описа разпределение от 1,77 млрд. в USDT, 1,44 млрд. в биткойн, 876 млн. в Ethereum и 823 млн. в USDC. Собствената цифра на Binance — 6,3 млрд. долара — е най-високата досега.

„User funds are safe. Binance will cover all hacking losses”, заяви съоснователката Yi He. Говорителят Ross O’Leary потвърди пред TechCrunch, че тегленията са спрени „превантивно” в няколко мрежи. Основателят Changpeng Zhao беше по-директен: „It does look like a hack on Binance.”

Лаптоп на инженер, не изтекъл ключ

Най-интересното за всеки, който мисли за собствената си инфраструктура, е механизмът. Според първоначалното разследване на Binance атакуващият е компрометирал лаптопа на DevOps инженер и през него е получил достъп до сервизен контейнер, от който е можел да подава заявки за теглене. Доказателства за изтекъл частен ключ няма.

Това съвпада с анализа на Blockaid, чийто изпълнителен директор Ido Ben-Natan говори за „компрометиране на инфраструктурата за подписване”, а не за открадната ключова двойка. Веригата показва и механизма на самото източване: делегиране по EIP-7702, което позволява на обикновен адрес да се държи като смарт контракт — в транзакцията има 50 такива оторизации за „Binance 14”, от които е сработила само една. Както при уязвимостите, които тръгват на масова експлоатация за дни, разликата между „счупена криптография” и „счупен работен процес” е огромна, а почти винаги вторият е виновникът.

Кой замрази колко

Централизираните емитенти реагираха в рамките на час. Tether блокира адреса получател в 17:01 ч. и обяви замразени над 1,567 млрд. USDT, Circle спря над 800 млн. USDC, Ripple — около 200 млн. в RLUSD, а по-малки суми бяха блокирани в USD1 (27 млн. долара) и от Security Council на Arbitrum (30,5 млн.). Aave превантивно замрази част от пазарите си за кредитиране, след като атакуващият вече беше изтеглил около 44,6 млн. долара назаем срещу депозирани 60 млн. USDT.

Пазарът го усети веднага: биткойнът падна до около 77 000 долара — шестседмично дъно, Ethereum загуби 6%, а BNB около 8%. Binance.US, която е отделна структура, не беше засегната.

Polymarket: чужд скрипт, собствени разрешения

Инцидентът с Polymarket е по-малък по размер, но по-поучителен като схема. В 13:50 ч. източно време започват зловредни транзакции, в 14:05 ч. платформата минава в режим само за отмяна на поръчки, в 14:37 ч. обявява проблема за решен, а в 15:05 ч. търговията е напълно възстановена.

Снимка: Polymarket

Зловредният код се сервира от cdn.debugbear.com/C7xcKKrjUnXK.js — инфраструктурата на DebugBear, услуга за измерване на производителността на сайтове (Real User Monitoring). Скриптът е отвличал активните сесии на влезлите потребители, продавал е позициите им и е пращал парите към адрес на атакуващия:

0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18

Смарт контрактите на Polymarket не са докосвани. Атаката е използвала разрешенията, които браузърът на всеки влязъл потребител вече е имал — класическа кражба на сесия, само че с крипто накрая. Проследените към портфейла активи са около 2,5 млн. долара, а оттам около 28,6 млн. POL токена са разпратени към още три адреса.

„Един от нашите доставчици на трета страна беше компрометиран и предадохме случая на органите на реда”, съобщи Polymarket и обеща пълно възстановяване на всички засегнати търговци. DebugBear от своя страна призова клиентите си да премахнат embed кода от сайтовете си.

Какво следва

Binance не е обявила срок за възстановяване на тегленията — само че това ще стане „веднага щом проблемът със сигурността бъде напълно решен”. Разследването ще трябва да отговори на два въпроса, които още са отворени: как точно е компрометиран лаптопът на инженера и дали зад атаката стои държавно свързана група, както при Bybit.

За останалата част от индустрията изводите са по-прости. Горещите портфейли на най-голямата борса паднаха не заради криптография, а заради една работна машина, а независима платформа загуби милиони заради скрипт, който никой не е писал сам. Същата схема вече удари и геймърските студиа — различен е само размерът на сумата накрая.