29 октября около 20:05 UTC с горячих кошельков Binance начали уходить средства. К утру 30 октября биржа оценила ущерб примерно в $6,3 млрд — это примерно в четыре раза больше взлома Bybit в 2025 году и крупнейшая кража криптовалюты в истории.
Что известно
По предварительной версии Binance, атака началась со скомпрометированного ноутбука DevOps-инженера. С него злоумышленник попал в service container, откуда смог отправить несанкционированные транзакции на вывод. Co-CEO Ричард Тенг подчеркнул, что это не было «одним кликом» и не сводилось к правам одного сотрудника: расследование выявило и другие точки входа. Ответственность на конкретного человека компания пока не возложила.
Приватные ключи кошельков, по заявлению Binance, не утекли. Депозиты продолжают работать. Убытки обещают покрыть из фонда SAFU и средств компании. Примерно $3 млрд уже заморожено on-chain совместно с эмитентами и блокчейн-аналитиками. Точную сумму ущерба биржа называет предварительной и обещает технический post-mortem.
Кто за этим стоит
Сам Binance группу не называет. TRM Labs и Chainalysis независимо связали кражу с TraderTraitor — северокорейской группировкой, известной также как Lazarus Group и APT38. TRM оценивает объём в $6,36 млрд и отмечает, что большая часть выведена примерно за 20 минут.
Что делать
- Пользователям — проверить историю операций, включить whitelist адресов вывода и двухфакторную защиту. Binance обещает вернуть средства, но фишинг «от имени поддержки» после таких событий почти неизбежен.
- Разработчикам и DevOps — это напоминание, что ноутбук инженера с доступом к продакшену остаётся одной из самых дорогих точек входа. Стоит проверить, какие сервисные учётки доступны с рабочих машин, и не хранить долгоживущие токены в локальных конфигах.
At around 20:05 UTC on 29 October, funds began leaving Binance hot wallets. By the morning of 30 October the exchange estimated the damage at roughly $6.3 billion — about four times the 2025 Bybit hack and the largest crypto theft on record.
What is known
Binance’s preliminary account says the attack started with a compromised DevOps engineer’s laptop. From there the attacker reached a service container and was able to submit unauthorised withdrawal transactions. Co-CEO Richard Teng stressed that this was not a single “one-click” action and not simply one engineer’s permissions: the investigation uncovered additional breach points. The company has not attributed responsibility to any individual.
According to Binance, no wallet private keys leaked. Deposits remain operational. Losses will be covered by the SAFU fund and company funds. About $3 billion has already been frozen on-chain together with issuers and blockchain analytics firms. The exchange calls the loss figure preliminary and promises a technical post-mortem.
Who is behind it
Binance itself does not name a group. TRM Labs and Chainalysis independently linked the theft to TraderTraitor, a North Korean unit also tracked as Lazarus Group and APT38. TRM puts the total at $6.36 billion and says most of it moved in about 20 minutes.
What to do
- Users should review transaction history, enable withdrawal address whitelisting and two-factor authentication. Binance says it will reimburse affected funds, but phishing “from support” is almost certain to follow an incident of this size.
- For developers and DevOps teams, the case is a reminder that an engineer’s laptop with production access remains one of the most expensive entry points. Audit which service accounts are reachable from workstations and avoid long-lived tokens in local configs.