Увечері 29 жовтня криптовалюта на суму в мільярди доларів почала залишати гаманці Binance. Упродовж кількох хвилин баланси гаманців на XRP Ledger, Ethereum, Bitcoin, Tron, Solana та трьох інших мережах були перераховані на адреси, контрольовані одним зловмисником. Друга хвиля о 23:05 UTC охопила гаманці Binance у мережах Avalanche та Polygon.

Binance повідомила про проведення розслідування потенційної проблеми безпеки та запобіжне призупинення виведення коштів. Біржа заявила, що кошти користувачів у безпеці.

TRM пов'язує цю атаку з північнокорейським угрупованням TraderTraitor. Компанія ґрунтує цю оцінку на надійних джерелах інформації як у ланцюжку блоків, так і поза ним. Почерк атаки збігається з попередніми зламами (включаючи Bybit у лютому 2025 року та KelpDAO у квітні 2026 року):
● Невеликі виведення через Tornado Cash для фінансування операційного гаманця, що розпочалися задовго до крадіжки; ● Попередня підготовка заздалегідь, збір підписів та їх одночасна реалізація; ● Масштабне відмивання коштів через маркетмейкерів та протоколи кредитування, що відрізняється від схеми з інтенсивним використанням мостів, яка була характерною для випадку з Bybit.
TRM поділиться подальшими висновками в міру розвитку розслідування.

TRM відстежила кожен переказ із гаманців, пов’язаних із Binance, на адреси, контрольовані зловмисниками, у десяти блокчейнах. Якщо оцінювати кожен переказ за ціною активу на момент його викрадення, загальний обсяг викраденого на момент атаки становить близько $6,36 млрд ($6,23 млрд за поточним курсом):

Підготовка до операції розпочалася щонайменше за 36 годин до викрадення коштів. З ранку 28 жовтня на операційний гаманець зловмисника надійшли три невеликі виведення коштів із Tornado Cash, який використовується для приховування походження криптовалюти.
На початку дня 29 жовтня оператор розгорнув першу частину шкідливого коду та протестував її на двох гаманцях. Пізніше того ж дня він провів репетицію фінальної версії на третьому гаманці, після чого повернув тестові кошти собі назад. Рівно через чотири години після цієї репетиції той самий код було встановлено на «гарячий» гаманець Binance.
Перша крадіжка тієї ночі відбулася у мережі XRP Ledger. Між 20:05 та 20:09 UTC п'ять гаманців Binance переказали 233,46 мільйона XRP на єдину адресу зловмисника, залишивши на кожному гаманці лише мінімально необхідний баланс. Ці кошти у формі XRP досі залишаються на місці.
Невдовзі після 20:10 UTC аналогічний рух коштів відбувся на гаманцях Binance у мережах Solana та Optimism. О 20:20 UTC «гарячий» Bitcoin-гаманець Binance відправив 18 270 BTC на адресу хакера, який одразу почав дробити кошти на округлені частини по 1 000 та 100 BTC в межах того самого блоку. Ця техніка, відома як «розшарування ланцюжка» (peel chain), суттєво ускладнює відстеження коштів. Протягом двох хвилин «гарячий» гаманець Binance у мережі Tron надіслав зловмиснику 612,7 мільйона USDT та 46,4 мільйона TRX.

«Гарячий» гаманець — це гаманець, підключений до інтернету, який біржа використовує для обробки виведення коштів клієнтів.
Для захоплення Ethereum-гаманця Binance зловмисники використали стандарт EIP-7702, який з'явився в травні 2025 року разом з оновленням Pectra. Він дозволяє звичайному гаманцю тимчасово делегувати управління смартконтракту через підписання спеціальної авторизації. Після цього будь-яка взаємодія з гаманцем виконує код призначеного контракту — і цей зв'язок зберігається доти, доки власник не підпише нову авторизацію.
О 20:20 за UTC зловмисник ініціював транзакцію, що містила 50 підписаних авторизацій, кожна з яких перепоручала управління «гарячим» гаманцем Binance шкідливому контракту-збирачу. Оскільки авторизація прив'язана до поточного лічильника транзакцій (nonce), який у Binance постійно змінюється через високу інтенсивність виведень, набір із 50 послідовних підписів гарантував спрацювання експлойту. Один із підписів влучив у точний nonce — і цього вистачило для виконання атаки.
Через 3 хвилини та 24 секунди після делегування зловмисник дав вказівку «гарячому» гаманцю Binance переказати весь його баланс на підконтрольну йому адресу, опустошивши гаманець на 167 464 ETH та 63 токени (включаючи 1,615 млрд USDT). Оскільки делегування залишалося активним, нові надходження автоматично перехоплювалися у наступних хвилях (о 20:41, 20:59, 21:04, 21:44, 22:39 та 23:56 UTC). Цей гаманець також виконував функції виконавця окремого смартрахунку Binance, що дало зловмиснику можливість вивести з нього 823 мільйони USDC. Circle незабаром після цього заморозила ці USDC.

Первинний аналіз активності в мережі Ethereum вказував на те, що зловмисник міг отримати авторизації шляхом фішингу. Проте ця версія пояснює події лише в Ethereum і залишає без відповідей ситуацію в інших мережах. У той самий часовий проміжок п'ять гаманців Binance на XRP Ledger, гаманці на Arbitrum, Avalanche, Optimism і Base, «гарячий» Bitcoin-гаманець, «гарячий» гаманець у мережі Tron та гаманець на Solana перерахували кошти зловмиснику через стандартні підписані транзакції. Ще один «гарячий» Ethereum-гаманець Binance надіслав аналогічним чином — без жодного делегування — 28 006 ETH, 55,7 млн USDT та 25,9 млн RLUSD. Приблизно через два з половиною години (о 23:05 UTC) за тією ж схемою були спустошені гаманці Binance на Avalanche та Polygon.
Усі ці гаманці функціонують у різних блокчейнах, використовують відмінні типи ключів та схеми підписання. Попри це, протягом пів години для кожного з них були згенеровані валідні підписи на користь зловмисника. За оцінкою TRM, найбільш ймовірним поясненням є те, що хакер отримав контроль над системою підписання «гарячих» гаманців Binance, і це дало йому можливість змусити систему підписання гаманців Binance підписувати транзакції на свій вибір між різними мережами. Наявність пакета із 50 заздалегідь підготовлених авторизацій свідчить про те, що доступ зловмисника міг бути обмеженим за часом або ж підписи доводилося запитувати через окрему внутрішню систему. Офіційних результатів аналізу першопричин від Binance наразі немає.

Компанії, що випускають стейблкоїни, відреагували оперативно, і хвиля заблокувань тривала протягом усієї ночі. Представники Binance повідомили, що станом на 23:35 UTC підтверджена сума заморожених коштів сягнула $2,54 млрд. Враховуючи пізніші блокування, TRM фіксує в ончейні близько $2,7 млрд заморожених активів станом на 00:30 UTC: стейблкоїнів та конвертація активів