Кража $6,3 млрд у Binance: анатомия крупнейшего взлома и его влияние на индекс Кассандры

Разбор события недели с 26.10 по 01.11.2026 по публикациям из 144 источников (в т.ч CNBC и The Guardian). Термины объясняются по ходу, цифры индекса - из открытого публичного слоя Cassandra Index.

В четверг, 29 октября, Binance сообщила, что из её горячих кошельков украли цифровые активы примерно на $6,3 млрд. Предыдущий рекорд - $1,5 млрд у Bybit в феврале 2025 года.

Уточнение, без которого дальше всё читается неправильно: украли не «деньги со счёта», а токены из хранилища, чьи приватные ключи находятся в сети. Горячий кошелёк нужен, чтобы биржа могла мгновенно проводить выплаты. Чем удобнее схема, тем она доступнее для атакующего.

Через два дня ФБР заявило, что за кражей стоит группа TraderTraitor, которую относят к северокорейской разведке. В обиходе её зовут Lazarus Group - в 2014 году её обвиняли в атаке на Sony Pictures после выхода комедии с «убийством» Ким Чен Ына. По данным ведомства, украденное конвертируют в Ethereum, а дальше будут отмывать через децентрализованные финансы и мгновенные обменники.

«90 % вернули», но есть нюанс

Заголовок «Binance покрыла 90 % потерь» означает, что восстановлено обеспечение, «но это не значит, что 90 % средств вернули у атакующего».

Разница между двумя словами практическая:

• покрыто (covered) - биржа заново купила активы и вернула их клиентам за свой счёт;

• возвращено (recovered) - отобрано у того, кто украл. О таком не заявляли.

Откуда деньги: часть SAFU - «Фонда безопасных активов для пользователей», биткоин-резерва примерно на $1 млрд, - часть фьючерсного страхового фонда и корпоративная казна. Всего Binance зарезервировала около $6,34 млрд собственных средств.

Десять самых ходовых активов (BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD, ZEC) обеспечены на 100 %. Оставшиеся 10 % - менее ликвидные токены, их докупают на рынке и через OTC, поэтому медленнее. Выводы при этом сначала остановили, а затем открывали поэтапно: сеть биткоина, потом Ethereum и BNB Smart Chain.

Арифметика здесь важнее формулировок. Резерв - около $1 млрд, дыра - $6,3 млрд. Разницу закрывала корпоративная казна. У биржи с меньшей казной «покрытие» легко превращается в «заморозку выводов на неопределённый срок».

Как произошло хищение

Первая версия Binance: скомпрометированный ноутбук DevOps-инженера - человека, который отвечает за сборку и эксплуатацию сервисов. С него атакующий получил доступ к служебному контейнеру и отправил на подпись несанкционированные транзакции на вывод.

Позже со-руководитель биржи Ричард Тэнг уточнил, что атака была сложнее истории про одного сотрудника с лишними правами, и включала вредоносное ПО, затирающее следы, - чтобы расследование шло медленнее.

Косвенное подтверждение того, что работала та же рука, что и в прошлых кампаниях, дала блокчейн-аналитика TRM Labs. Их аргумент - не эксплойт, а тайминг. Специалисты перечисляют совпадения с взломами Bybit (2025) и KelpDAO (апрель 2026): небольшие выводы через Tornado Cash для пополнения кошелька оператора, подготовка задолго до кражи, подписи, полученные заранее и исполненные одним залпом.

То есть биржу не взламывали «в моменте». Инфраструктуру готовили заранее, доступ к подписям добыли заранее, а вывели всё одним действием.

Отдельно про Tornado Cash, потому что тут легко перепутать: в этой схеме он служит не каналом для миллиардов, а способом незаметно пополнить рабочий кошелёк, чтобы тот не выглядел пустым.

Почему украденное - это военный бюджет

Дальше начинается часть, из-за которой событие попало в разбор недели индекса риска, а не в криптоновости.

The Guardian со ссылкой на панель экспертов ООН (доклад весны 2024 года): панель рассматривала 58 подозрительных кибератак на криптокомпании за 2017-2023 годы на сумму $3 млрд. Вывод - эти деньги дают около половины валютных поступлений КНДР. Одна неназванная страна в своей оценке пошла дальше и заявила, что украденные средства финансируют «40 % программ оружия массового поражения».

Контекст, без которого цифра не читается: около 50 ядерных боеголовок, при этом, по оценке ООН, 40 % населения недоедает, а почти каждый пятый ребёнок отстаёт в росте. Санкции перекрыли банки, корреспондентские счета и экспорт, и крипта осталась обходным путём.

Кьяран Мартин, бывший руководитель британского Национального центра кибербезопасности, объясняет выбор цели без романтики:

Over the last decade, hackers have walked off with nine- or 10-figure sums from crypto hacks on more than 30 occasions. The number of traditional banks who have suffered a loss of more than $100m as a result of a cyber-attack in the same period is zero or one.

(Перевод: за десятилетие хакеры более 30 раз уносили из крипты суммы в 9-10 знаков. Число традиционных банков, потерявших больше $100 млн из-за кибератаки за тот же период, - ноль или один.)

Дело не в том, что банки лучше пишут код. У банков за спиной регулятор, обязательный аудит и отработанная процедура заморозки. У крипты до сих пор во многом «как договоримся».

След в индексе риска

Cassandra Index оценивает уровень и направление риска глобального конфликта по открытым данным. По текущему публичному слою неделя закрылась на 72 из 100, +4 к предыдущей (68).

Кража учтена по критерию Д5.2 «Кибероперации» драйвера «Информационная и киберсфера».

Скор драйвера получается из среднего по эскалационным критериям минус половина среднего по деэскалационным: (1,0 + 0,5)/2 - 0,5 × 0,33 = 0,585. В движении недели драйвер дал +2,3 п.п., его полный вклад в итоговое число - 9,5 п.п.

Дальше начинается региональный эффект. Критерий несёт атрибуцию на Восточную Азию и Северную Америку, поэтому наибольший рост за неделю показала Восточная Азия - 74 (+10), где киберсюжет сложился с испытаниями КНДР и «парадом дронов».

Врезка: событие - критерий - скор - +2,3 п.п.

Схема обложки и краткая расшифровка цепочки - для тех, кто хочет увидеть переход от новости к числу без чтения методологии.

Событие   -  Кража $6,3 млрд у Binance, горячие кошельки, 29.10.2026.
Критерий  -  Д5.2 «Кибероперации»: веса событий 1 + 1 + 0,5, потолок CAP = 5.
Значение  -  min(1, 2,5 / 5) = 0,5.
Скор Д5   -  (1,0 + 0,5)/2 - 0,5 × 0,33 = 0,585.
В индексе -  шаг Д5 в движении недели +2,3 п.п.; индекс 72 (+4).
Регионы   -  Восточная Азия 74 (+10), Северная Америка 74 (+2).

Развёрнуто по шагам:

1. Событие. Кража $6,3 млрд у Binance, атрибуция ФБР группе TraderTraitor. Дата - 29.10.2026.

2. Критерий. Д5.2 «Кибероперации», счётная шкала: три события с весами 1 + 1 + 0,5. Сумма - 2,5.

3. Значение. Сумма весов делится на потолок насыщения CAP = 5. Получается 0,5.

4. Скор драйвера. Среднее по эскалационным критериям минус половина среднего по деэскалационным. Получается 0,585.

5. Вклад. Шаг драйвера Д5 в движении недели - +2,3 п.п. Полный вклад драйвера в итоговое число - 9,5 п.п.

6. Регионы. Атрибуция критерия: Восточная Азия (74, +10) и Северная Америка (74, +2). Это наибольший рост вне Ближнего Востока.

Что это значит для того, кто держит крипту

«Покрыли» - не «вернули». Когда биржа сообщает процент покрытия, имеет смысл смотреть на источник: резерв и корпоративная казна означают, что убыток взяла на себя компания. «Заморозим выводы и разберёмся» означает, что риск переехал на клиента.

Горячий кошелёк - риск, которым вы не управляете. Устройство кошельков биржи пользователю неизвестно. В его власти немногое: не держать всё на одной площадке и не держать на бирже то, что не планируется продавать в ближайший месяц.

Guardian отдельно отмечает общий фон: растут опасения, что возможности ИИ-моделей начнут подрывать криптографию и протоколы ИТ-безопасности. К этому взлому это отношения не имеет, но запас прочности у отрасли сокращается.

Что осталось неясным

• Как именно получили доступ: официальная версия менялась от «ноутбук DevOps» к «сложной атаке», деталей нет.

• 10 % активов ещё докупают: часть украденного не восстановлена за счёт биржи.

• Что с заморозкой: ФБР призвало блокировать транзакции с адресов TraderTraitor, но публичного отчёта «заморожено столько-то» не было.

• Докажет ли суд атрибуцию: заявление ФБР - не судебное решение.

Выводы, которые стоит забрать

1. Компенсация - решение компании, а не свойство системы. Binance выделила на покрытие около $6,34 млрд собственных средств. Пользователи уцелели не потому, что так устроен блокчейн, а потому, что у конкретной компании оказалась казна нужного размера. Размер вашего риска определяется балансом биржи, а не только её технологиями.

2. Страховой фонд оказался меньше одной атаки. Резерв SAFU - около $1 млрд, потери - $6,3 млрд. Даже у лидера отрасли специально созданная подушка закрыла бы примерно шестую часть убытка. Фраза «у нас есть страховой фонд» без цифры рядом почти ничего не значит.

3. Атакующий действовал по расписанию, значит, защищаться надо на этапе подготовки. Пополнение кошелька оператора небольшими выводами через миксер, получение подписей заранее, вывод одним залпом - всё это происходит до того, как появляется новость. Для команд мониторинга рабочая зона - подготовительные транзакции и доступы инженеров, а не только крупные переводы.

4. Компенсация не отменяет рыночных потерь. BTC потерял около 5 %, ETH - около 6 %, BNB - около 10 % на новости. Даже для тех, кого биржа полностью компенсировала, цена актива уже изменилась. Отдельный риск - блокировка адресов: ФБР просит частные компании не обслуживать связанные транзакции, и средства на таких адресах могут оказаться замороженными без решения суда.

5. Один инцидент может занять четверть целого блока оценки риска. Критерий Д5.2 получил 0,5, и на него пришлось 27 % веса драйвера Д5. Это количественная иллюстрация того, почему кибероперации давно не «техническая новость»: они измеримо меняют картину недели.

Что сделать практически

• Проверить у своей площадки не наличие «страхового фонда», а его размер относительно возможных потерь и правила, по которым компенсируют.

• Провести тестовый вывод небольшой суммы заранее. В день инцидента выводы останавливаются первыми.

• Не держать на бирже то, что не планируете продавать в ближайший месяц, и не концентрировать всё на одной площадке.

• Не торговать на панике вокруг взлома: движение цены в такие дни - реакция на новость, а не на изменения в самой технологии.

• Для команд безопасности: смотреть на стадию подготовки - небольшие пополнения через миксеры, необычные доступы DevOps, следы вредоносного ПО, затирающего логи.

Вместо вывода

Крупнейшая кража в истории крипты закончилась для пользователей хорошо только потому, что у атакованной компании нашлись свои $6,34 млрд. Такой исход - исключение, а не правило. Часть украденного не вернули, атрибуцию ещё предстоит проверять, а индекс риска уже посчитал этот эпизод частью картины недели: 0,5 по критерию и +2,3 п.п. движения драйвера.

Дальше по цепочке - казна изолированного государства и испытания боеголовок, о которых писала эта же неделя. Звенья этой цепочки видны в открытых источниках; то, что её можно разорвать, сегодня никем не гарантировано.

Короткий глоссарий

Горячий кошелёк - хранилище с ключами в сети: удобно для выплат, доступно для атаки.

SAFU - резервный фонд биржи (~$1 млрд в BTC) на случай взлома.

Покрытие - биржа заново купила активы и держит их 1:1 к обязательствам клиентов.

OTC - внебиржевая сделка крупным объёмом, минуя стакан.

DeFi - финансовые сервисы без банка-посредника.

Миксер - сервис, смешивающий потоки монет, чтобы разорвать связь адресов.

Атрибуция - установление авторства атаки: заявление спецслужбы или аналитиков.

Материал не является инвестиционной рекомендацией.

Источники: CNBC (31.10.2026) - «Binance resumes withdrawals following $6.3 billion hack…»; The Guardian (01.11.2026) - «Binance says 90 % of losses from $6.3bn hack covered…»; The Guardian (30.10.2026) - «How crypto hacking funds isolated North Korea’s nuclear programme»; Cassandra Index, публичный слой недели 2026-11-01 (latest.json, weeks/2026-11-01.json).