Кто ограбил Binance: правда про взлом на $6,3 млрд и фейк про северокорейскую шпионку

Коротко: Binance ограбили не «шпионка» и не случайный сотрудник. Блокчейн-аналитики TRM Labs и Chainalysis, а затем и ФБР связали атаку с TraderTraitor, северокорейской хакерской группировкой, которую также называют частью Lazarus Group (APT38). Эта же группа ранее была связана со взломом Bybit на $1,5 млрд. А вирусная история о том, что инженер Binance встречался с агентом КНДР и оставил ей ноутбук, оказалась фейком. Её опровергла сама биржа.

Ниже разбираем, что известно на 3 ноября 2026 года, откуда взялась «шпионская» версия и что эта история значит для тех, кто держит крипту на биржах.

Материал носит информационный характер. Расследование ещё идёт: Binance обещала опубликовать полный технический разбор (post-mortem) позже, и некоторые детали могут уточниться.

Что произошло: цифры взлома

По данным TRM Labs, 29 октября 2026 года злоумышленник вывел с кошельков Binance около $6,36 млрд в десяти блокчейнах. Основная часть ушла примерно за 20 минут, начиная с 20:05 UTC (23:05 по Москве). Chainalysis оценивает украденное примерно в $6,4 млрд, сама Binance говорит о $6,3 млрд.

Для масштаба: это крупнейшая кража в истории криптовалют, примерно в четыре раза больше, чем взлом Bybit на $1,5 млрд в феврале 2025 года.

Что именно украли, по данным TRM Labs, которые приводит CoinDesk:

• 18 270 BTC (около $1,47 млрд);
• 200 630 ETH, 1,875 млрд USDT и 823 млн USDC в сети Ethereum;
• 233,46 млн XRP, 970 500 SOL и USDT в других блокчейнах.

Хронология: от первой транзакции до опровержения фейка

Когда (UTC)	Что произошло
29 октября, ~20:05	Начинается вывод средств с кошельков Binance; большая часть уходит примерно за 20 минут (TRM Labs)
29 октября, ~21:14	Эмитенты стейблкоинов начинают замораживать украденные USDT и USDC (Chainalysis)
29 октября, 22:23	Binance публикует Security Incident Update, депозиты и выводы приостановлены
30 октября, ночь	TRM Labs и Chainalysis связывают атаку с северокорейской TraderTraitor
30 октября, 04:51	ZachXBT показывает, что деньги Binance и Bitget сошлись на одном адресе
30 октября, 07:36	Binance обновляет заявление: вероятная точка входа — ноутбук DevOps-инженера
31 октября	ФБР официально называет виновником КНДР; Binance сообщает о покрытии 90% украденного
1 ноября	Поэтапное открытие вывода, покрыто ~95%; вирусный пост о «шпионке», опровержение Binance
3 ноября	КНДР отвергает обвинения США; Ричард Тенг обещает опубликовать post-mortem

Кто стоит за атакой: TraderTraitor и Lazarus

TRM Labs с высокой уверенностью приписала атаку TraderTraitor, северокорейскому государственному хакерскому подразделению, которое также отслеживают под именами Lazarus Group и APT38. Chainalysis пришла к тому же выводу. Главный аргумент: в реальном времени аналитики увидели, как украденные у Binance деньги смешиваются с деньгами, похищенными месяцем ранее у биржи Bitget. Тот взлом уже приписывали КНДР.

ZachXBT, известный независимый ончейн-детектив, 30 октября опубликовал похожую находку. По его данным, средства с Binance и со взлома Bitget (около $388 млн) прошли через кросс-чейн протокол THORChain и оказались на одном и том же Ethereum-адресе. Его вывод: за обоими инцидентами, вероятно, стоит один и тот же исполнитель.

31 октября ФБР заявило, что за кражей более $6 млрд у Binance стоит Северная Корея, и назвало эту активность TraderTraitor. По данным бюро, вместе с Секретной службой США и налоговой полицией IRS-CI оно наблюдало, как хакеры конвертируют украденное в основном в ETH.

Пхеньян, как обычно, всё отрицает. 3 ноября Ким Ё Чжон, сестра лидера КНДР, через государственное агентство ЦТАК назвала обвинения США «абсурдной риторикой» и «грубой политической провокацией».

Как это произошло: версия самой Binance

В первом заявлении о безопасности (Security Incident Update) Binance написала:

Первоначальное расследование показывает, что инцидент может быть связан со скомпрометированным ноутбуком DevOps-инженера. Это позволило злоумышленнику получить доступ к сервисному контейнеру и отправить неавторизованные транзакции на вывод. Признаков утечки приватных ключей кошельков не обнаружено.

Позже биржа сообщила, что нашла дополнительные точки взлома, и подчеркнула, что всё ещё собирает факты. Co-CEO Binance Ричард Тенг уточнил:

Злоумышленник не просто воспользовался правами одного инженера, и это не было действием «в один клик». Атака была более сложной. Наше расследование не возлагает ответственность на какого-либо конкретного человека.

Chainalysis описывает техническую сторону так: в Ethereum атакующий через кошелёк, пополненный через Tornado Cash, отправил подписанные авторизации, которые позволили горячему кошельку Binance выполнить код злоумышленника и вывести активы. Другие кошельки, судя по всему, отправляли средства обычными подписанными переводами.

Дальше началась гонка с заморозками. Стейблкоины вроде USDT и USDC эмитент может заблокировать, а BTC и ETH нет. Поэтому, по данным Chainalysis, атакующий почти за 20 минут обменял $325 млн в стейблкоинах на $285 млн в ETH. По данным TRM Labs, Tether, Circle, Ripple и World Liberty Financial заморозили около $2,67 млрд в стейблкоинах, а Security Council сети Arbitrum заблокировал ещё 8 426 ETH и 74,6 млн ARB. Всего около $2,7 млрд. Chainalysis называет около $2,8 млрд, Binance — около $3 млрд. Но у хакеров, по оценке TRM, остались более 420 000 ETH и 18 270 BTC, примерно $2,4 млрд, которые заморозить уже нельзя.

Фейк про северокорейскую шпионку: что утверждали и почему это неправда

1 ноября в X завирусился пост аккаунта @doomerfied: якобы DevOps-инженер Binance состоял в романтических отношениях с северокорейской шпионкой и в день атаки оставил ноутбук без присмотра. В конце стояло имя ZachXBT, будто это его расследование. Ту же историю как «новые, непроверенные обвинения» подхватил аккаунт AlphaWire.

История выглядит правдоподобно, потому что склеена из двух реальных фактов и одной выдумки:

• правда: Binance сама говорила о скомпрометированном ноутбуке инженера;
• правда: аналитики и ФБР связали атаку с КНДР;
• выдумка: роман, шпионка и ноутбук, «оставленный без присмотра».

Почему это фейк:

1. Сама Binance опровергла. Сооснователь и co-CEO биржи Йи Хэ ответила AlphaWire в X: «Эта история драматичнее, но она не соответствует действительности. ZachXBT этого не говорил». Команда Binance заявила The Crypto Times: «Это утверждение полностью ложное. Его следует удалить и пометить как ложную информацию».
2. ZachXBT такого не писал. Его публичные посты об инциденте касаются движения средств через THORChain и связи с Bitget. Ни слова о романе, ноутбуке или конкретном сотруднике.
3. Ни у кого нет доказательств. Ни Binance, ни ФБР, ни TRM Labs, ни Chainalysis не публиковали ничего, что подтверждало бы «шпионскую» версию. Сам вирусный пост не ссылался ни на какие документы.
4. Это противоречит официальной позиции. Тенг прямо сказал, что атака была сложнее, чем права одного инженера, и что вина ни на кого конкретно не возложена.

Вердикт фактчека The Crypto Times: ложно и вводит в заблуждение. Как именно был скомпрометирован ноутбук, пока неизвестно. Ответ должен дать post-mortem Binance.

Мораль простая: если громкую «сенсацию» приписывают известному расследователю, но не дают ссылку на его пост, почти наверняка перед вами фейк.

Что с деньгами пользователей Binance

По заявлениям биржи, клиенты убытки не несут:

• Binance покрывает украденное из фонда SAFU, страхового фонда фьючерсов и корпоративных средств;
• к 31 октября было восполнено 90% затронутых активов, к 1 ноября — около 95%. Оставшиеся 5% приходятся на менее ликвидные токены, которые биржа докупает через рынок и OTC;
• 1 ноября Binance начала поэтапно открывать вывод, в первую очередь BTC, ETH, USDT, USDC, BNB, SOL и XRP;
• по данным Reuters, чистый отток с биржи к 2 ноября составил $4,72 млрд, около 3% активов на платформе.

Что это значит для обычного пользователя

Даже у самой крупной биржи мира может пропасть $6 млрд за 20 минут. В этот раз Binance хватило денег всё компенсировать, но на два-три дня вывод был закрыт. У площадок поменьше такого запаса может не оказаться. Главный вывод старый, но после этого взлома особенно наглядный: монеты на бирже принадлежат вам ровно настолько, насколько биржа может и готова их вернуть.

Практические правила безопасности

1. Не храните сбережения на бирже долго. Биржа нужна для сделок, а не как сейф. Купили или обменяли — выведите на свой кошелёк.
2. Крупные суммы держите на холодном кошельке. Аппаратный кошелёк (Ledger, Trezor и аналоги) хранит ключи офлайн. Подробнее в статье «Холодный и горячий кошелёк: где хранить криптовалюту».
3. Seed-фраза только на бумаге или металле. Без фото, облака и заметок в телефоне. Её никогда не спрашивает ни биржа, ни обменник, ни поддержка.
4. Включите 2FA через приложение-аутентификатор, а не через SMS. Поставьте антифишинговый код и белый список адресов вывода, если биржа их поддерживает.
5. Проверяйте адрес целиком перед каждым переводом. Не только первые и последние символы: мошенники подбирают похожие адреса (address poisoning). Перед крупной суммой отправьте тестовый перевод и проверьте адрес на AML.
6. Остерегайтесь фишинга на волне новостей. После громких взломов всегда появляются письма и боты о «компенсации пострадавшим», «срочной верификации» или «возврате средств». Заходите на биржу только по закладке. Подробнее в статье «Как не попасть на скам при обмене криптовалюты».
7. Держите компьютер в чистоте. Если даже ноутбук инженера крупной биржи может стать точкой входа, обычному пользователю тем более стоит обновлять систему и не ставить сомнительные программы и расширения на устройство, с которого работаете с криптой.
8. Проверяйте новости по первоисточникам. Как показала история со «шпионкой», вирусный пост — не доказательство.

Если нужно быстро обменять монеты и сразу забрать их на свой кошелёк, не оставляя баланс на бирже, можно воспользоваться обменником. В WhiteX курс виден в калькуляторе до создания заявки, а монеты приходят прямо на указанный вами адрес.

Итог

• Binance ограбили на ~$6,3–6,4 млрд. Это крупнейшая кража в истории крипты.
• TRM Labs, Chainalysis и ФБР связывают атаку с северокорейской TraderTraitor (Lazarus); КНДР это отрицает.
• По версии Binance, всё началось со скомпрометированного ноутбука DevOps-инженера, но атака была сложнее и включала дополнительные точки взлома.
• История про роман инженера с северокорейской шпионкой — фейк: её опровергли Binance и фактчекеры, а ZachXBT ничего подобного не писал.
• Для пользователей главный урок: не держать сбережения на бирже, использовать холодный кошелёк и проверять всё, что читаете и куда переводите.

Источники

• BleepingComputer: Binance links $6.3 billion crypto theft to compromised DevOps laptop
• Chainalysis: The $6.4 Billion Binance Hack: Tracing the North Korea Link
• The Crypto Times: Fact Check: Binance Hack was A Spy Romance?
• KryptoNews: Binance Co-CEO Yi He Denies Viral ‘North Korean Spy Romance’ Claim
• CoinDesk: Binance begins phased withdrawals starting with bitcoin
• Reuters via Investing.com: Binance co-CEO says company is in very strong financial health
• AP News: North Korea denies role in $6B Binance cryptocurrency heist