Что произошло и почему Binance называет причину предварительной?

Binance пишет, что около 20:05 UTC 29 октября были скомпрометированы её горячие кошельки — подключённые к интернету хранилища, используемые для выводов. Потери биржа оценила примерно в $6,3 млрд в токенах. Она временно остановила выводы, но, по её словам, депозиты продолжали работать.

Причину инцидента Binance описывала как предварительную версию. В обновлении от 30 октября биржа предположила, что атака могла быть связана со взломом ноутбука DevOps-инженера, через который атакующий мог получить доступ к служебному контейнеру и отправить несанкционированные выводы. В следующем обновлении того же дня Binance сообщила, что расследование выявило и другие точки проникновения. Утечки приватных ключей компания тогда не обнаружила.

Откуда взялись деньги на покрытие?

Binance заявляла, что возьмёт на себя финансовые последствия этих потерь, а не пользователи. 30 октября компания сообщила, что выделила более $6,34 млрд собственных средств. В том числе $5 млрд — в тех же токенах, которые были украдены: USDC, USDT, BTC, ETH и BNB. По оценке биржи, к тому времени было покрыто около 80% затронутой суммы. Остальные активы она докупала на рынке и через внебиржевые сделки. Ранее мы писали об этом решении.

Средства поступили из трёх источников: части фонда SAFU, предназначенного для защиты пользователей, излишка фьючерсного страхового фонда сверх требуемого уровня и корпоративной казны. Binance обещает вернуть фонд SAFU примерно к $1 млрд.

К 1 ноября покрытие, по данным биржи, достигло около 95%. Оставшиеся 5% приходились на менее ликвидные токены вне первой десятки, которые было сложнее купить в нужном объёме. К 4 ноября биржа сообщила, что возместила около 98%. 12 ноября она объявила о завершении покрытия.

Что изменится для пользователей: выводы и резервы?

Первую фазу вывода Binance планировала провести 1 ноября с 06:00 до 09:00 UTC. В неё вошли BTC, ETH, USDT, USDC, BNB, SOL, XRP и другие активы и сети. Биржа выбрала их с учётом спроса за предыдущую неделю. Она предупредила о возможных задержках из-за нагрузки и посоветовала повторить неудачный вывод позже.

Затем Binance открывала вывод отдельно для каждой пары «сеть — актив». С 6 ноября биржа возвращала эту возможность поэтапно. 9 ноября, сообщила она в X, вывод Alpha-токенов снова стал доступен в сетях BSC, Ethereum, Base и Arbitrum. В объявлении от 12 ноября полного списка нет. Доступность конкретного токена и сети можно проверить на странице вывода или странице статуса сетей.

Proof of Reserves — проверка того, что активы биржи покрывают балансы клиентов. Новый снимок резервов сделан 12 ноября в 00:00 UTC и охватывает 198 токенов. В снимке от 4 ноября их было 44. По оценке Binance, полное криптографическое доказательство будет готово примерно через 40–50 часов. После этого держатели затронутых токенов смогут самостоятельно проверить, что их активы обеспечены как минимум в соотношении 1:1.

Кто стоит за кражей и что пока неизвестно?

Binance сообщала, что работает с правоохранительными органами и аналитическими компаниями, чтобы установить личности нападавших. Имена исполнителей биржа не называла. Оценки сроков и метода атаки расходятся: Security Alliance (SEAL) считает, что злоумышленники находились в системе около восьми недель до кражи, а Binance относит начало кампании к июню. Подробнее об оценке SEAL — в нашем материале.

По данным Elliptic, около 42 млн XRP из украденных средств обменяли преимущественно через THORChain на биткоин. В другом разборе аналитики описали, как часть средств провели через мемкоины в сети NEAR. По оценке Elliptic, к этой схеме причастны связанные с КНДР участники. Это оценка Elliptic, а не установленная вина конкретных лиц.

Binance заявляла, что к 30 октября в блокчейне заморозили около $3 млрд. Биржа обещала опубликовать подробный технический разбор после завершения расследования.