Внутренний сговор в Binance
«Взлом» Binance, скорее всего, был инсайдерской операцией
Ключевые моменты
- Кражу на сумму $6,3 млрд в Binance списывают на хакерскую атаку Северной Кореи, но самый важный факт указывает на обратное.
- Сама Binance подтвердила, что приватные ключи кошельков не были скомпрометированы. Атака была осуществлена через доступ к инфраструктуре подписи — именно такой доступ уже есть у инсайдера.
- Публичные заявления Binance колебались между «средства пользователей полностью в безопасности» и «мы покроем все убытки», а их история о «взломанном ноутбуке» является самообслуживающей и неподтвержденной.
- Это не первый опыт Binance. В собственной автобиографии CZ подозревал внутреннее подкуп в ходе взлома 2019 года, а компания признала себя виновной в 2023 году в умышленном содействии отмыванию денег.
«Высокая уверенность» в причастности Северной Кореи — это сопоставление паттернов, а не доказательство, — а жертва контролирует повествование.
Официальная версия, вкратце
Поздно вечером 29 октября 2026 года из горячих кошельков Binance на десяти блокчейнах — Bitcoin, Ethereum, Tron, Solana и других — было выведено около 6,3 миллиарда долларов США, причём большая часть средств была выведена в течение двадцати минут. По любым меркам, это крупнейшая кража в истории криптовалют: почти в четыре раза больше предыдущего рекорда — убытков Bybit в размере 1,5 миллиарда долларов США в феврале 2025 года.
В течение нескольких часов компании по анализу блокчейна TRM Labs и Chainalysis с высокой степенью уверенности приписали атаку группе TraderTraitor, связанной с северокорейской операцией Lazarus. По версии самой Binance, ноутбук инженера DevOps был скомпрометирован, злоумышленник использовал его для доступа к сервисному контейнеру, а затем отправил несанкционированные транзакции на вывод средств. Около 3 миллиардов долларов США были заморожены при поддержке Tether, Circle и Ripple. Binance заявляет, что полностью компенсирует убытки каждого пользователя из своего фонда SAFU и корпоративных резервов.
Дело закрыто, казалось, говорило рынок. Биткоин упал, BNB снизился, и история приняла привычную форму: ещё одно государство-нация подверглось атаке, ещё одна биржа оплатила счёт. Но в этой удобной истории есть трещина, проходящая прямо сквозь неё.
Признак: закрытые ключи не были скомпрометированы
Самое важное предложение в собственном раскрытии информации Binance было заглушено шумом. Binance неоднократно заявляла, что расследователи не нашли никаких доказательств утечки приватных ключей любого кошелька.
Остановитесь и подумайте, что это означает. Вор, который проникает извне, должен что-то забрать: ключ, сид-фразу, пароль, секрет подписи. Именно так в криптоиндустрии понимается «взлом». Но здесь ничего не было похищено. Вместо этого, как утверждается, злоумышленник использовал инфраструктуру подписи — механизм подписи EIP-7702 на Ethereum, предварительно авторизованные транзакции — для перемещения средств. Простыми словами: деньги были перемещены, потому что что-то внутри собственной конвейерной системы подписи Binance авторизовало это перемещение.
Это фундаментальное различие. Скомпрометированная инфраструктура подписи — это не «нас ограбили». Это «кто-то с легитимным доступом к подписи перевёл средства». И люди, обладающие легитимным доступом к подписи, по определению находятся внутри здания — или были впущены кем-то, кто уже внутри.
Внешнему государственному актору пришлось бы невероятно усердно работать, чтобы незаметно добраться до этого уровня. Инсайдер или инсайдер, действующий в партнёрстве с внешним лицом, уже стоит на нём. История про «взятый ноутбук» удобна именно тем, что объясняет исчезновение украденного ключа, — но это собственный неподтверждённый аккаунт Binance, и он заслуживает того же скепсиса, что и первая версия событий от любого потерпевшего.
Противоречивый, эгоистичный нарратив
Посмотрите на собственные коммуникации Binance, и вы увидите, как история колеблется. В одном сообщении говорилось, что средства пользователей "полностью в безопасности". В следующем компания заявляла, что "возместит все убытки". Эти два утверждения не могут быть случайными. Латиноамериканский аккаунт компании подтвердил ущерб в размере "около 6,3 млрд долларов", предупредив, что эта цифра "может продолжать расти". Заявления появлялись отрывочно, иногда противореча друг другу, что отметили несколько изданий.
Ничто из этого не доказывает правонарушений. Компании в кризисе часто коммуницируют плохо. Но когда сущность, рассказывающая историю, также контролирует расследование, общественность получает ровно одну версию событий — и у этой версии есть встроенный стимул обвинять иностранного противника, а не дыру в собственном доме.
История, которую никто не хочет упоминать
Вот где теория о сговоре изнутри перестаёт быть спекуляцией и становится закономерностью.
Во-первых, 2019 год. В мае 2019 года хакеры вывели 7 000 биткоинов — примерно $40 млн на тот момент — из горячего кошелька Binance. В своей автобиографии основатель Чанпэн Чжао пишет, что он сильно подозревал северокорейскую группу Lazarus и что злоумышленники могли подкупить инсайдера. Это говорит не внешний критик. Это основатель, зафиксировавший в печати, что вариант с инсайдером рассматривался.
Во-вторых, 2023. Binance и Чжао признали себя виновными по федеральным обвинениям и выплатили урегулирование на $4.3 миллиарда — крупнейшее корпоративное урегулирование в истории финансового-криминального правоприменения казначейства США. Министерство юстиции подробно описало, как Binance намеренно не предотвращала преступные финансовые потоки: примерно $106 млн в биткоинах, поступающих напрямую с рынка Hydra (darknet), сотни миллионов дополнительно через сервис микширования Bestmixer, и схема по сокрытию пользователей США за меткой "UNKWN" после публичного заявления о блокировке. Собственные слова Чжао из внутреннего чата: "Лучше просить прощения, чем разрешения".
В-третьих, более широкая отраслевая картина. Кражи с бирж случаются не только извне. В 2019 году южнокорейская Bithumb пришла к выводу, что её потери в $19 млн были инсайдом со стороны бывшего сотрудника с доступом к горячему кошельку. Речь не в том, что все взломы — внутренние. Речь в том, что «хакер от государства» — это нарратив по умолчанию, потому что именно он всем — включая жертву — наиболее удобен и его проще всего утверждать.
Если у компании задокументирована история сокрытия того, что она делает, её неподтверждённое сообщение о собственном взломе нельзя принимать на веру. Это не теория заговора. Это базовая проверка.
Что могло бы положить этому конец
Вопрос о том, было ли это инсайдом, разрешим, и ответ будет основан на доказательствах, которые контролирует Binance, — что и является именно проблемой. Достоверное разрешение ситуации включало бы: независимый отчет сторонней криминалистической экспертизы (а не послесмертный анализ, написанный самой компанией); личность и круг доступа каждого лица, обладающего правом подписи, которое было задействовано в течение двадцатиминутного окна; а также публичный отчет о том, какие внутренние системы авторизовали вывод средств.
Пока эти доказательства не появятся, честная позиция заключается в том, что это, скорее всего, было инсайдом — или инсайдером, направляющим внешнюю сторону. Приписывание вины Северной Корее не является доказательством; это вывод, сделанный на основе сходства с прошлыми инцидентами. Сходства не являются отпечатками пальцев.
Неудобный вывод: крупнейшее украденное в истории криптоиндустрии может вообще не являться взломом. Возможно, дверь открыли изнутри. И компания с историей Binance заслужила каждое слово критики, которая следует за этим.
FAQ
Сколько именно было украдено у Binance? Примерно $6,3 млрд было переведено из горячих кошельков Binance через десять блокчейнов примерно за двадцать минут 29 октября 2026 года. Около $3 млрд заморожено; Binance заявляет, что покроет все потери клиентов из своего фонда SAFU и собственных резервов.
Почему некоторые считают, что это была инсценировка? Потому что Binance подтвердила, что приватные ключи кошельков не были скомпрометированы. Средства были переведены через скомпрометированную инфраструктуру подписи — авторизованный доступ, а не украденные ключи. Такой доступ есть у инсайдера, и у Binance есть история, которая делает её историю о «взломанном ноутбуке» трудно воспринимаемой на веру.
О какой истории идёт речь? В своей мемуарах CZ заявил, что взлом Binance в 2019 году мог быть связан с подкупленным инсайдером. В 2023 году Binance и CZ признали себя виновными по федеральным обвинениям и выплатили 4,3 млрд долларов за умышленное содействие отмыванию денег и сокрытие пользователей из США от регуляторов.
Разве Северная Корея официально не обвиняется? Да — TRM Labs и Chainalysis приписывают атаку группе северокорейских трейдеров TraderTraitor «с высокой степенью уверенности». Однако это вывод, основанный на сходстве с прошлыми инцидентами, а не доказательство. Жертва контролирует расследование, и независимый отчет о криминалистической экспертизе не был опубликован.
Какие доказательства могли бы это прояснить? Независимый отчет сторонней криминалистической экспертизы, полное описание того, какие подписывающие лица были задействованы, и публичное объяснение того, какие внутренние системы авторизовали вывод средств. Ничего из этого не было опубликовано.