От портфейли на Binance, използвани за ежедневните операции, са изведени криптоактиви на стойност около 6,3 млрд. долара. Според наличния анализ нападателите са използвали системите на борсата, за да бъдат одобрени неразрешени преводи. Случаят не изглежда като обикновена кражба на пароли, а като компрометиране на процеса, който разрешава и подписва преводите.
Проверено към 1 ноември 2026 г. Binance съобщава, че е попълнила около 95% от засегнатите активи и възстановява тегленията поетапно. Федералното бюро за разследване на САЩ (ФБР) приписва атаката на севернокорейската група TraderTraitor. Техническите подробности все още се изясняват; Binance обещава подробен доклад след приключване на разследването.
Какво се случи
На 29 октомври 2026 г. от оперативните портфейли на Binance са изведени криптоактиви на стойност около 6,3 млрд. долара. Независимият анализ на Bitquery проследява движението от 17 портфейла в девет блокчейн мрежи. Преводите са продължили почти четири часа, но по-голямата част от средствата е излязла в рамките на около 20 минути.
Става дума за т.нар. горещи портфейли — онлайн портфейли, използвани за ежедневните операции на борсата. Те осигуряват бърз достъп до активите, но изискват строг контрол върху системите, които могат да поискат или одобрят превод.
Частният ключ може да не е изтекъл, но процесът за одобрение е бил компрометиран
Първоначалната хипотеза на Binance е била за компрометиран лаптоп на инженер, който поддържа вътрешните ИТ системи (DevOps инженер). В следващото си официално съобщение компанията посочва, че разследването е установило и други възможни точки на проникване. Към 30 октомври Binance заявява, че няма доказателства за изтичане на частните ключове. Това обаче не обяснява окончателно как нападателите са успели да задействат неразрешените преводи.
Независимите анализи насочват вниманието към EIP-7702 — възможност в мрежата Ethereum, въведена с обновлението Pectra. Тя позволява на обикновен акаунт да упълномощи код на интелигентен договор да изпълнява действия от негово име. Това е легитимна възможност на Ethereum, а не пробив в самата блокчейн мрежа.
Bitquery описва подписани разрешения, чрез които програмен код е могъл да изпълнява операции от името на основен портфейл на Binance в Ethereum. Това е техническа реконструкция въз основа на видимите преводи, а не официално потвърдено пълно обяснение от Binance. EIP-7702 се отнася само до частта от инцидента в Ethereum и сама по себе си не обяснява преводите в останалите мрежи.
Изводът за организациите е ясен: защитата на ключовете не е достатъчна, ако нападателят може да повлияе на системата, която решава кога и за какво да ги използва.
Блокирани активи и надпревара с времето
Емитентите на някои стабилни криптовалути могат да блокират токени на конкретни адреси. Така Tether и Circle са успели да обездвижат част от средствата. Според проследяването на Bitquery към 31 октомври около 2,7 млрд. долара са били блокирани или спасени чрез действия на емитенти и партньори. Това е моментна оценка, а не окончателно възстановена сума; стойността се променя при нови движения и блокирания.
Преди блокирането част от доларовата стабилна криптовалута на Tether (USDT) е преместена към нови адреси или разменена за други активи. Анализаторите проследяват и операции през протоколи за децентрализирани финанси (DeFi). Когато токени се внесат в общ пул за кредитиране или обмен, те вече не стоят пряко в първоначалния портфейл и проследяването им се усложнява.
Нападателите са преместили и значителни количества етер (ETH) между адреси. Причината не е потвърдена. Предположението, че целта е била да се попречи на емитентите да блокират токените поради липса на ETH за мрежови такси, не се подкрепя от описания начин на работа: административното блокиране от страна на емитента не изисква таксата да бъде платена от портфейла на нападателя.
ФБР свързва атаката с групата TraderTraitor
На 31 октомври ФБР официално посочва Северна Корея като отговорна за кражбата и назовава тази дейност с кодовото име TraderTraitor. Според бюрото нападателите преобразуват откраднатите активи предимно в етер (ETH). ФБР очаква да използват протоколи за децентрализирани финанси и услуги за незабавна размяна, за да прикрият произхода на средствата. Това е официалната оценка на американските власти; публичните данни все още не разкриват цялата техническа последователност.
Bitquery оценява, че към 31 октомври около 3,1 млрд. долара все още са били под контрола на нападателите. Сумата е моментна оценка и може да се променя с всяко преместване или замразяване на активи.
Какво означава попълването на 95% от засегнатите активи
Binance заяви, че ще поеме финансовите загуби, без да ги прехвърля върху клиентите. Компанията набавя засегнатите криптоактиви чрез покупки на пазара и чрез преки сделки извън борсите. За целта използва собствени средства и своя Фонд за защита на потребителските активи (SAFU).
В съобщението си от 1 ноември Binance посочва, че е попълнила приблизително 95% от засегнатите активи. Салдата в няколко основни криптовалути са обезпечени изцяло — в съотношение едно към едно. Останалите 5% са по-слабо търгувани токени, които се набавят по-бавно. Борсата възстановява тегленията поетапно, след проверки на сигурността и готовността на всяка услуга.
Това не означава, че са открити или върнати 95% от откраднатото. Става дума за осигуряване на достатъчно активи, така че клиентските салда да останат покрити. Проследяването и опитите за връщане на откраднатите криптоактиви са отделен процес.
Най-голямата кражба ли е все пак?
Mt. Gox обяви липсващи активи през февруари 2014 г.: първоначално около 850 000 биткойна (BTC). По-късно бяха открити около 200 000 BTC, а приблизително 650 000 останаха неоткрити. При Binance през октомври 2026 г. са изведени около 18 270 BTC, а общата стойност на всички засегнати криптоактиви е оценена на 6,3 млрд. долара. По първоначално обявения брой BTC случаят Mt. Gox е около 46 пъти по-голям; по остатъчните липси — около 36 пъти.
Само за любопитство: при цена около 77 874 долара за BTC на 1 ноември 2026 г. (Binance.US), 850 000 BTC биха стрували приблизително 66,2 млрд. долара, а 650 000 BTC — около 50,6 млрд. долара. Това е преизчисление по днешната цена, не стойността на липсващите биткойни през 2014 г.
Какво знаем — и какво още чакаме
Потвърдени са мащабът на инцидента, ангажиментът на Binance да покрие финансовите загуби, поетапното възстановяване на тегленията и официалната оценка на ФБР за отговорността на Северна Корея. Обяснението чрез EIP-7702, част от движенията през протоколи за децентрализирани финанси и причината за преместването на ETH са независими реконструкции или хипотези, а не окончателни заключения на Binance.
Binance обеща да публикува технически доклад след приключване на разследването. Ще допълваме този материал при нови потвърдени данни.
Източници
- Binance — второ официално съобщение за инцидента, 30 октомври 2026 г.
- Binance — четвърта актуализация: поетапно възстановяване на тегленията, 1 ноември 2026 г.
- ФБР — Северна Корея е отговорна за атаката срещу Binance, 31 октомври 2026 г.
- Bitquery — проследяване на откраднатите активи и блокираните средства
- CoinDesk — анализ на възможната роля на EIP-7702
- Ethereum.org — описание на EIP-7702 и обновлението Pectra
- Комисията по ценните книжа и борсите на САЩ — обобщение на случая Mt. Gox
- Mt. Gox — съобщение за откритите 199 999,99 BTC, 20 март 2014 г.
- Bitcoin.org — сигурност на протокола и риск при съхранение на борса
- Binance.US — цена на BTC към 1 ноември 2026 г.
Актуалност: 1 ноември 2026 г. Данните за активите и блокчейн проследяването са моментни оценки. Част от техническите подробности са независими реконструкции; разследването продължава. Ще актуализираме статията при нови потвърдени данни.