Досье · состояние на 31 октября 2026 · событию двое суток

Как у Binance вынесли 6,3 миллиарда долларов

Binance — самая большая в мире «касса» для цифровых денег. Вечером 29 октября вор забрал из неё $6,36 млрд, основную часть примерно за 20 минут. Это самое большое ограбление в истории криптовалют. Ниже — весь план ограбления, нарисованный по шагам, и ответ на главный вопрос: помогал ли вору искусственный интеллект.

ЧтоКража из горячих кошельков
Когда29.10 · 22:05 Вильнюс
Сколько$6,36 млрд
За сколькоосновное ≈ 20 минут
Кто (по аналитикам)TraderTraitor, КНДР
Помогал ли ИИНе доказано

↳ все цифры ниже со ссылками, источники в конце

Лист 1

Как устроена касса Binance

Представь большой банк. Деньги в нём лежат в двух местах: в сейфе в подвале и в кассах у окошек. А чтобы касса выдала деньги, на бумажке должна стоять печать.

Сейф в подвале

Холодный кошелёк. Не подключён к интернету, достать трудно. Украли не отсюда: все источники говорят о горячих кошельках.

cold wallet

Кассы у окошек

Горячие кошельки. Подключены к интернету, чтобы быстро выдавать деньги людям. Украли отсюда, из касс в 10 разных сетях.

hot wallets · 10 блокчейнов

Печать директора

Система подписи. Без её «печати» касса ничего не выдаст. Вор добрался именно до неё.

signing infrastructure

Лист 2

План ограбления по шагам

Вор не взламывал сейф ломом. Он тихо пробрался к столу, где лежит печать, и сам наставил печатей на бумажки «выдать всё».

  1. 1

    Заразил ноутбук инженера

    Сначала вор попал в рабочий ноутбук одного сотрудника Binance.

    По-взрослому: так объяснила сама Binance. Как именно заразили ноутбук, не сказано.

    ? вот здесь мог быть ИИ: фальшивое письмо или собеседование. Не доказано
  2. 2

    Пролез во внутреннюю систему

    Через ноутбук он открыл «служебную дверь» внутрь компании.

    По-взрослому: доступ к сервисному контейнеру, откуда можно отправлять транзакции вывода. Позже Binance сообщила о «дополнительных точках взлома».

  3. 3

    Добрался до «печати»

    Ключи-пароли он, похоже, не украл. Он заставил машину Binance саму ставить подписи.

    По-взрослому: TRM — компрометация инфраструктуры подписи горячих кошельков; Blockaid — неавторизованная подпись ключами Binance. Binance: «утечки приватных ключей не обнаружено».

  4. 4

    Заготовил 50 «доверенностей»

    Как будто заранее подписал 50 бумажек: «этот кошелёк теперь слушается меня».

    По-взрослому: одна транзакция типа 4 с 50 авторизациями EIP-7702, подписанными пачкой заранее. Одна сработала.

  5. 5

    Включил робота-пылесоса

    Кошелёк Binance превратился в пылесос, который всасывает деньги и отдаёт вору.

    По-взрослому: sweeper-контракт, принимает команды только от оператора. Развёрнут в 15:59 UTC, за 4 часа до кражи.

  6. 6

    Опустошил 10 касс

    Биткоины, эфир, доллары-монеты, XRP: основное ушло за 20 минут, потом были ещё волны.

    По-взрослому: 10 блокчейнов, основная часть примерно за 20 минут, вторая волна около 23:05 UTC.

  7. 7

    Начал прятать добычу

    Рассыпал деньги по тысячам карманов и перекладывает их туда-сюда, чтобы потерять след.

    По-взрослому: обмен через UniswapX, займы в Aave, JustLend в Tron, peel chain для биткоина, THORChain.

Лист 3

Гонка: вор против охраны

Слева то, что делал вор. Справа то, что успевала охрана. Время по Гринвичу (UTC). В Вильнюсе на 2 часа больше: вор начал в 22:05, когда дети уже спят.

ворохрана и спасателите самые ≈20 минут
Готовится. Получил деньги через «миксер» Tornado Cash, готовился минимум 36 часов
28.10
Ставит пылесос: свой смарт-контракт
15:59
Первые кассы: 233 млн XRP (~$0,3 млрд)
20:05
Биткоины: 18 270 BTC (~$1,47 млрд)
20:20
50 «доверенностей» EIP-7702, одна сработала
20:21
Главный удар: один перевод ~$2,5 млрд
20:24
≈20:26
Blockaid заметил слив, раньше любых новостей
Ещё 10 касс в 4 сетях, всё на тот же адрес
до 20:36
Добирает: ~$0,8 млрд в USDC
20:41
21:01
Tether заморозил 971 млн USDT
21:04
Circle заморозил 823 млн USDC
≈21:15
Binance: «расследуем», вывод денег остановлен
Вторая волна переводов
≈23:05
30.10 00:30
Заморожено ~$2,7 млрд (TRM)
30.10
Binance: виноват ноутбук инженера; отложено $6,34 млрд, чтобы вернуть людям
30–31.10
ФБР и Секретная служба США подключились к поиску

Минуты сведены из TRM, Blockaid и Cointelegraph. Строки 15:59, 21:15 и 23:05 подтверждает только один источник.

Лист 4

Сколько это и куда делось

Самые большие кражи: в одном масштабе

Binance, 2019
$0,04 млрд
Мост BNB Chain, 2022
$0,57 млрд
Bybit, 2025 (прошлый рекорд)
$1,5 млрд
Binance, 2026
$6,36 млрд

в 4 с лишним раза больше прошлого рекорда

Из каких касс (сетей) взяли

Ethereum
$3,79 млрд
Bitcoin
$1,47 млрд
Tron
$0,63 млрд
XRP Ledger
$0,30 млрд
Ещё 6 сетей
$0,17 млрд

TRM Labs. Ещё 6 сетей: Solana, Arbitrum, Optimism, Base, Avalanche, Polygon. Сумма $6,36 млрд.

Сколько успели заморозить

$2,7 млрд
≈ $3,3–3,6 млрд
0$6,36 млрд
заморожено (TRM, 30.10 00:30)ещё ~$0,3 млрд по Binanceне заморожено

Почему часть получилось «заморозить»? Цифровые доллары USDT и USDC выпускают компании Tether и Circle. Они могут нажать кнопку, и эти монетки у вора перестанут работать. У биткоина и эфира хозяина нет, их так не выключишь. Поэтому вор первым делом меняет доллары-монеты на эфир.

По-взрослому: $2,7 млрд к 00:30 UTC по TRM (Tether ~1,77 млрд USDT, Circle ~825 млн USDC, Ripple, WLFI, Arbitrum Council); Binance позже — около $3 млрд. У вора остаётся больше 420 000 ETH и 18 270 BTC (~$2,4 млрд).

Словарик

Как прячут деньги: пять инструментов

Все пять позволяют двигать крипту без банка и без паспорта, поэтому их трудно остановить. Вор идёт по порядку: избавляется от монет, которые можно заморозить, меняет их на те, что не замораживаются, потом дробит и уводит в другую сеть.

USDT / USDCможно заморозить→ UniswapX, Aave, JustLendпревратить в ETH→ THORChainETH в BTC→ Peel chainраздробить биткоин→ мосты, обменники, OTCналичные (прогноз TRM)

1. UniswapX — обменник по объявлению

Вор вывешивает объявление «меняю цифровые доллары на эфир, отдам со скидкой», и профессиональные менялы мгновенно соглашаются.

По-взрослому: протокол обмена от Uniswap: ты подписываешь заявку, маркет-мейкеры (fillers) соревнуются, кто её исполнит. Вор: продал ~325 млн USDT за эфир со скидкой больше 10%, получил около $285 млн в ETH (TRM, Chainalysis), лишь бы успеть до заморозки.

2. Aave — ломбард

Сдал игрушку в ломбард и получил деньги на руки. Даже если игрушку потом отберут, деньги уже у тебя.

По-взрослому: крупнейший протокол кредитования: залог и заём без проверки личности. Вор: положил 60 млн USDT в залог и взял ~19 760 ETH. Заморозка USDT теперь бьёт по Aave, поэтому Aave временно заморозила эти рынки.

3. JustLend — такой же ломбард в сети Tron

Тот же приём, только в другом блокчейне.

Вор: отправил туда около 300 млн USDT. Скорее всего, цель та же, что с Aave; подробностей в источниках пока нет. Про «1 TRX»: новый адрес в Tron надо активировать, а за переводы платить в TRX. Поэтому в каждый новый «карман» сначала кладут 1 TRX, как проездной. Тысячи таких адресов подряд — признак работы программы (Chainalysis).

4. Peel chain — чистка луковицы

От огромной кучи монет отщипываешь горстку в новый карман, остаток перекладываешь в следующий. И так сотни раз.

По-взрослому: это приём, а не сервис: каждая биткоин-транзакция отправляет немного «наружу», сдачу — на новый адрес. Аналитики умеют по нему идти, но это долго. Вор: так дробит 18 270 BTC (~$1,47 млрд); биткоин заморозить нельзя.

5. THORChain — обменник между «странами»

Отдаёшь эфир в одной стране, получаешь настоящий биткоин в другой. Без паспорта, и никто не может сказать «стоп».

По-взрослому: децентрализованный обмен «родных» монет между блокчейнами, управляется независимыми узлами, кнопки «заморозить» нет. Вор: по данным ZachXBT, деньги Binance и прошлой кражи Bitget пришли через THORChain на один адрес. Через THORChain же прогнали большую часть денег Bybit в 2025 году.

И до кражи: Tornado Cash — миксер

Общая копилка, где монеты многих людей перемешиваются, и уже не видно, чья откуда пришла.

Вор: пополнил через него свой рабочий кошелёк за сутки до кражи (TRM, Blockaid).

Лист 5

Кто вор: узнали по почерку

Детективы узнают художника по манере рисовать. Аналитические компании TRM Labs и Chainalysis «с высокой уверенностью» говорят: это TraderTraitor, хакеры из Северной Кореи. Вот их улики:

Тот же приём, что у Bybit

Заранее подписанные разрешения и долгая подготовка, как при краже $1,5 млрд у Bybit в 2025. ФБР тогда назвало эту же группу.

Деньги смешались с чужой добычей

Украденное у Binance сливается с деньгами от взлома Bitget, который тоже приписали КНДР (Chainalysis).

Вход через «миксер»

Кошелёк вора пополнили через Tornado Cash за сутки до кражи. Подготовка заняла минимум 36 часов (TRM).

Один адрес для двух краж

Детектив блокчейна ZachXBT: деньги Binance и Bitget через THORChain пришли на один адрес. Один источник.

Сама Binance пока никого не называет. ФБР официально группу не назвало. Северная Корея обычно всё отрицает.

Лист 6

Детектор ИИ: был ли искусственный интеллект?

ИИ за руку не поймали

Ни Binance, ни следователи, ни аналитики ничего не говорят об ИИ. Громкие заголовки вида «хакеры использовали ИИ» выдают за ИИ обычную автоматику. Проверяем каждый этап отдельно:

Этап 1

Как пробрались внутрь

Не доказано

Если ИИ где-то и был, то скорее всего здесь: фальшивое письмо или собеседование с «человеком», которого не существует. Но как заразили ноутбук, пока никто не знает.

Кто говорит: эксперты EXANTE и Check Point рассуждают в общем: «The person on the other end of the interview may not exist». По этому взлому данных нет.

Этап 2

Как добрались до печати

Нет признаков

Специалист по безопасности прямо говорит: следов ИИ здесь не видно.

Кто говорит: Гонсалу Магальяйнш, Immunefi: «There's no sign AI was used here». The National: «There is no evidence that artificial intelligence was used».

Этап 3

Как вынесли за 20 минут

Заготовка, следов ИИ нет

Быстро, но это не ум, а заготовка. Как домино: поставил заранее, толкнул, и всё упало само.

Кто говорит: TRM и Blockaid описывают заранее подписанные разрешения и контракт-пылесос. Об ИИ ни слова.

Этап 4

Как прячут деньги

Автоматика да, ИИ — догадка

Тысячи переводов, в каждый новый карман сначала кладут ровно 1 монету TRX. Это делает программа. А вот умная ли это программа, никто не показал.

Кто говорит: Chainalysis: «Laundering shows signs of automation». Ведущий Yahoo Finance Скотт Мелкер: «obviously AI has been used here to some degree», но тут же сам: «not necessarily the case here».

Этап 5

Кто заметил вора

ИИ у охраны

Компания Blockaid заметила слив примерно через 2 минуты после главного перевода и пишет, что ей помогали «продвинутые модели ИИ».

Важно: ИИ есть только в заголовке их поста, в тексте написано «automated analysis». Это реклама, проверить нельзя.

Будильник — это автоматика

Звонит сам каждое утро, но ничего не думает. Скрипт вора такой же: делает тысячи переводов сам, по заранее написанному правилу.

ИИ — это робот, который придумывает

Сочиняет письма, подделывает лица и голоса, ищет дыры в программах. Сделал ли он что-то из этого здесь, пока неизвестно.

Сильнейший довод «за»: профессор Крис Берг (RMIT) напоминает, что последний месяц было много взломов и найденных дыр «driven by frontier AI models», и говорит: «The hackers will definitely be using AI because everybody is using AI». Хакеры КНДР в 2026 году уже подделывают лица на видеособеседованиях, об этом 31 июля предупредили 11 стран. Но это другая группа (Famous Chollima) и другая схема.

Лист 7

А что с людьми, которые хранили там деньги?

Binance платит из своего кармана

«User funds are safe»: биржа обещает покрыть все потери. На это отложено больше $6,34 млрд, из них $5 млрд уже в тех же монетах, что украли.

Выводить деньги временно нельзя

Вывод остановили в ночь кражи. Обещали вернуть в течение 40–48 часов. Возобновили ли на 31.10, данных нет.

Биржа не обанкротится

Аналитики Fundstrat: «this does not currently appear to create meaningful solvency risk for Binance».

Рынок испугался

Биткоин упал примерно на 4–5%, до $76 368. Эфир на 4,6–5,7%, монета BNB примерно на 6–8%.

Лист 8

Чего пока никто не знает

  1. Как именно заразили ноутбук инженера: письмом, фальшивым собеседованием, вредной программой? Ответ на вопрос про ИИ спрятан здесь.
  2. Что Binance называет «дополнительными точками взлома»?
  3. Почему система подписи выдала 50 странных разрешений и никакая проверка не сработала?
  4. Сколько украдено в итоге и сколько вернут через суд?
  5. Когда людям снова дадут выводить деньги?
Источники

Откуда цифры

  1. TRM Labs: сумма, сети, минуты, атрибуция
  2. Chainalysis: автоматика отмывания, связь с Bitget
  3. Blockaid: EIP-7702, хронология по секундам
  4. Reuters через Yahoo: ФБР, Секретная служба, заморозка
  5. NBC News: заявления Binance, Tether, CZ
  6. CNBC: что дальше, Fundstrat
  7. Al Jazeera: «дополнительные точки взлома»
  8. TechCrunch: ноутбук инженера
  9. ABC News: резерв $6,34 млрд, профессор Берг про ИИ
  10. The National: «нет признаков ИИ»
  11. Yahoo Finance, видео: версия «ИИ прятал деньги»
  12. Trending Topics: эксперты про ИИ-обман
  13. The Block и Silicon UK: кражи 2019 и 2022