Хакеры вывели $2,5 млрд из кошелька Binance всего за $15

Злоумышленники использовали механизм EIP-7702, чтобы получить контроль над горячим кошельком Binance 14. 29 октября около 20:20 UTC они отправили транзакцию с 50 разрешениями, подписанными скомпрометированной инфраструктурой биржи. Каждое разрешение соответствовало определенному порядковому номеру операции кошелька.

Поскольку адрес продолжал использоваться, атакующие не знали, какая подпись окажется действительной. Сработало одно разрешение, после чего управление кошельком перешло к вредоносному смарт-контракту. За установку делегирования злоумышленники заплатили около $15 комиссии. Транзакция не содержала перевода средств, но позволила распоряжаться активами на адресе Binance 14 без новых подтверждений со стороны биржи.

EIP-7702 позволяет обычным криптовалютным кошелькам делегировать смарт-контрактам право выполнять операции. Механизм появился в Ethereum после обновления Pectra в мае 2025 года. В случае компрометации системы управления кошельком он дает возможность проводить переводы без отдельного подтверждения каждой операции.

Через три минуты и 24 секунды, в 20:24 UTC, атакующие активировали вредоносный контракт. Одной транзакцией они вывели 167 464 ETH, около $1,615 млрд в USDT и примерно 60 других токенов. По оценке Blockaid, общая стоимость активов составила около $2,5 млрд.

Разрешение продолжало действовать непосредственно в блокчейне Ethereum и не зависело от внутренних систем Binance. Пока на адрес поступали новые средства, атакующие могли выводить их без повторного доступа к системе подписания транзакций. По оценке Elliptic, с использованием этого механизма было перемещено около $3,6 млрд. Еще примерно $823 млн вывели из другого кошелька Binance.

Последний несанкционированный перевод прошел в 23:56 UTC 29 октября. Binance удалила вредоносное делегирование в 00:10 UTC следующего дня. В бирже сообщили, что отозвали разрешения, перестроили затронутую инфраструктуру, усилили контроль за подписанием транзакций и добавили инструменты мониторинга и экстренного отзыва полномочий.

Binance сообщила, что при содействии эмитентов токенов и других участников рынка удалось заморозить или перехватить около $2,85 млрд похищенных средств. Биржа взяла на себя финансовые последствия инцидента.

Атака не была связана со взломом криптографической защиты Ethereum. Злоумышленники использовали действительные разрешения, полученные после компрометации внутренних систем Binance. ФБР связало взлом с северокорейской группировкой TraderTraitor, которую считают связанной с Lazarus. Власти КНДР отвергли обвинения.

После возобновления обменных операций в протоколе THORChain связанные со взломом кошельки продолжили конвертировать похищенные активы в биткоин. До этого сбой в работе протокола замедлял перемещение средств.

Редакционная проверка и фактчекинг: Алексей Панасенко, 6 ноября 2026 года.