Binance заявляет, что восстановил 95% активов, похищенных в ходе атаки 29 октября, которые, по первоначальной оценке биржи, составили около 6,3 миллиарда долларов. Обновление от 1 ноября превысило показатель в 90%, сообщённый днём ранее, и сопровождается объявлением о поэтапном возобновлении вывода средств. Покрытие после взлома Binance обеспечивается за счёт покупки замещающих токенов на корпоративные средства и внутренние фонды: это не означает, что злоумышленники вернули похищенное.
Мы изучили официальные обновления Binance от 30 и 31 октября и от 1 ноября, а также предупреждение ФБР, которое приписывает атаку группировке TraderTraitor, связанной с Северной Кореей. Материалы Reuters цитируются только через результаты поиска и перепубликацию, доступную на Euronext.
С 90% до 95%: новое обновление
31 октября Binance сообщал о покрытии 90% стоимости задействованных активов. Компания указывала, что Bitcoin, Ether, USDT, BNB, Solana, USDC, XRP, USD1, RLUSD и Zcash снова покрыты на 100%, а оставшийся разрыв касался менее ликвидных токенов за пределами десятки крупнейших, которые биржа приобретала на рынке и через внебиржевые операции.
В четвёртом обновлении, опубликованном 1 ноября, Binance довёл заявленный показатель покрытия до 95%. Сообщение повторно фиксирует предыдущий переход с 80% до 90%, затем уточняет, что доля выросла до 95% и остаётся приобрести ещё 5%. Именно эта последняя цифра отражает актуальное состояние дел, не отменяя прогрессию, которую компания последовательно раскрывала.
Показатель описывает количество замещающих активов, которые Binance заявляет о приобретении, но не является процентом отслеженных или возвращённых похищенных средств. Биржа сообщает, что покрытие финансируется из корпоративных средств, части фонда SAFU для пользователей и части страхового фонда Futures. В обновлении от 30 октября Binance сообщал о резервировании более 6,34 миллиарда долларов, из которых около 5 миллиардов уже хранились в тех самых задействованных токенах.
«Покрыто» не значит «возвращено»
Это разграничение принципиально. Рыночная покупка способна восстановить соответствие между активами биржи и её обязательствами перед клиентами, однако не возвращает контроль над токенами, которые перешли к злоумышленникам. Binance обещает принять на себя экономический удар от кражи, не перекладывая его на пользователей. Сами похищенные средства по-прежнему отслеживаются в рамках расследования.
Поэтому данные о заморозке следует рассматривать отдельно. В обновлении от 30 октября Binance сообщал, что около 3 миллиардов долларов были заморожены в блокчейне благодаря взаимодействию с правоохранительными органами, аналитическими компаниями, эмитентами и партнёрами отрасли. Reuters в материале от 1 ноября, согласно данным поиска, говорит примерно о 3 миллиардах, локализованных к пятнице. Локализованный актив не обязательно заморожен, и ни один из этих терминов не означает завершённого возврата средств.
Этот инцидент вписывается в более широкий контекст атак на биржи и процедур хранения активов. На SpazioCrypto мы публиковали первоначальное сообщение об атаке на Binance, а другие подобные случаи собраны в разделе о крипто-взломах. Разница между хранением активов у посредника и управлением личным кошельком рассмотрена в нашем руководстве по хранению криптовалют.
ФБР приписывает атаку группировке TraderTraitor
По сути, 31 октября ФБР официально приписало Северной Корее кражу более 6 миллиардов долларов в виртуальных активах с Binance, произошедшую около 29 октября. Агентство обозначает эту конкретную кибератаку под названием TraderTraitor. Это официальная атрибуция ФБР, а не судебное решение и не полный технический отчёт о вторжении.
Согласно предупреждению ФБР, американские агентства-партнёры наблюдали, как операторы конвертировали похищенные активы преимущественно в Ethereum. Агентство предупреждает о возможных дальнейших конвертациях через сервисы DeFi и мгновенные свопы в рамках отмывания средств. В сообщении не указан объём уже конвертированного в ETH. Binance, в свою очередь, заявил о сотрудничестве с властями и отраслевыми партнёрами для отслеживания фондов.
ФБР также обратилось к операторам нод, сервисам DeFi, биржам мгновенного обмена и провайдерам услуг с виртуальными активами с просьбой блокировать транзакции по адресам, опубликованным в предупреждении. Эта мера направлена на противодействие дальнейшим перемещениям средств, однако сама по себе не является доказательством их возврата. Подробности о том, как была осуществлена компрометация, остаются неполными: Binance упоминал несколько точек доступа и открытое расследование.
Общую картину инцидентов безопасности можно отслеживать в архиве раздела Безопасность на SpazioCrypto. Недавний случай с задекларированными потерями и неактивными адресами: CoinDCX. Для понимания специфики кошельков также доступен анализ утечек данных, связанных с аппаратными кошельками.
Вывод средств: поэтапное возобновление
Согласно четвёртому обновлению Binance, начало первого этапа запланировано на период с 06:00 до 09:00 UTC 1 ноября. Компания перечислила 15 сетей: Bitcoin, Ethereum, BNB Chain, Tron, Solana, XRP, Dogecoin, Polygon, Avalanche, Arbitrum, Base, Optimism и Sui. Доступность зависит от конкретной комбинации сети и актива, и отдельные пары могут быть возобновлены в разное время.
Binance рекомендует пользователям проверять страницу вывода средств или статус сети для уточнения фактической доступности. В официальном сообщении упоминаются возможные задержки на начальном этапе, а также поясняется, что остальные активы будут возобновлены постепенно, после проверки стабильности и безопасности. Объявленное временное окно уже истекло на момент написания материала, однако в изученном коммюнике не подтверждается, что каждая сеть полностью завершила процедуру повторного открытия.
Приостановка была представлена как превентивная мера для локализации инцидента, оценки его масштаба и проверки инфраструктуры вывода средств. Постепенное возобновление сервиса является операционным показателем, отдельным от восстановления резервов: платформа может возобновить часть переводов, продолжая при этом докупать недостающие активы и разыскивать похищенные.
Binance: краткий итог
Что подтверждено, а что нет
- Подтверждено: Binance заявляет о покрытии в 95%; ФБР атрибутирует атаку группе TraderTraitor.
- Не указано: показатель 95% не означает объём средств, возвращённых от злоумышленников; предупреждение ФБР не содержит количественной оценки конвертированных ETH.
- За чем следить: фактическая доступность вывода по каждой сети, процесс докупки оставшихся 5% активов и технический отчёт об инциденте.
Общая картина
Редакционная позиция SpazioCrypto состоит в следующем: Binance решает два вопроса одновременно. Первый, поддержание полного покрытия балансов клиентов, зависит от финансовых возможностей биржи по замещению утраченных активов. Второй, сдерживание движения похищенных средств, требует скоординированных действий регуляторов, эмитентов и операторов, способных выявлять или блокировать транзакции. Прогресс по первому направлению не является автоматическим свидетельством успеха по второму.
Конкретные сигналы, которые стоит отслеживать: публикация актуальных и верифицируемых доказательств резервов, реальное возобновление каждой пары сеть и актив, доля токенов, ещё не выкупленных, а также обновления от регуляторов относительно отслеженных или замороженных средств. Binance пообещала выпустить отчёт об инциденте после завершения расследования. До этого момента показатель 95% остаётся заявлением биржи об уровне покрытия, а атрибуция группе TraderTraitor, как сообщает ФБР, остаётся версией американского ведомства.
