2026 жылдың 29 қазанында, шабуыл жасаған адам Binance-тан 31 минут ішінде шамамен 6,15 млрд долларды алып кетті – бұл крипто тарихындағы ғана емес, бүкіл интернет тарихындағы ең ірі ұрлықтардың бірі саналады.
Binance шығынды алғашында 6,3 млрд доллар деп бағалаған болатын, ал блокчейн талдаушы компания BitOK бір транзакциядан екіншісіне бақылау жасап, тоғыз блокчейнде жалпы 6,15 млрд доллар екенін анықтады.
Шабуылшы ешқашан Binance-тың жеке кілттерін ұрлаған жоқ. Оның орнына, олар Binance-тың өз жүйелерін ұрлықты мақұлдату үшін пайдаланды. Бұл нұсқаулық қарақшылық әрекетті кезең-кезеңімен сипаттайды және жол бойындағы әрбір техникалық терминді түсіндіреді. Уақыттардың барлығы UTC бойынша берілген.
Негіздері: Биржа ақшаны қалай жылжытады
Ыстық әмияндар – бұл биржаның онлайн әмияндары, олар үнемі қосылып тұрады, сондықтан қаражаттарды тез аударуға мүмкіндік береді.
Қол қою. Әрбір аударым әмиянның жеке кілтімен – құпия санмен – расталуы керек. Биржалар тәулігіне мыңдаған төлемдерді автоматтандырылған жүйелер арқылы қол қоя отырып жөнелтеді.
Нонс. Нонс – Ethereum әмиянының транзакция санауышы. Көп пайдаланылатын әмиянның нонсы үнемі өсіп отырады.
Мұздатылатын коиндер. Стейблкоин эмитенттері, мысалы, Tether (USDT) және Circle (USDC) мекенжайларды мұздата алады. Ал BTC, ETH немесе TRX сияқты негізгі коиндерді ешкім мұздата алмайды.
28 қазан: Хакерлікке дайындық
Әрбір блокчейн транзакциясы үшін шағын комиссия төленеді. Әмияндарына ақша із қалдырмай түсуі үшін, шабуылшы Tornado Cash қолданды – бұл көптеген пайдаланушылардың монеталарын араластырып, аударымдарды салымдармен байланыстыруға жол бермейтін «миксер» қызметі.
Оператормен және екі көмекшінің әмиянына алты Tornado Cash арқылы қаражат жіберілді.
29 қазан, 02:28–16:47 UTC: Екі жаттығу
Binance-ке қол тигізбей тұрып, шабуылшы өз әмияндарына тәжірибе жүргізді – бұл ұрының өз есігінің құлпын алдымен өзі ашып көруі секілді.
Құрал – ақылды келісімшарт болды: Ethereum желісінде орнатылатын және кодындағы нұсқауды дәл орындайтын бағдарлама. Бұл келісімшарт, оған рұқсат берген кез келген әмиянды түгелдей босатуға арналған еді. (Ethereum-ның EIP-7702 мүмкіндігі дәл осындай рұқсат береді; төменде толығырақ қаралды.)
- 02:28 — шабуылшы тауарды босататын бағдарламаның сынақ нұсқасын жариялайды.
- 13:51–14:24 — бірінші жаттығу. Өз әмияндарының екеуіне USDT және USDC-ден аздаған сома салып, сынақ бағдарламасына әмиянды басқаруға рұқсат беріп, іске қосады. Екі әмиян да босайды. Құрал жұмыс істейді.
- 15:59 — кейін Binance-те қолданылған финалдық нұсқаны жариялайды.
- 16:20–16:47 — финалдық нұсқамен екінші жаттығуды қайталайды.
Финалдық нұсқаның басты ерекшелігі – әмиянға тек токен жіберуді ғана емес, кез келген әрекет жасатуды да бұйыра алады. Сол түні шабуылшы осы арқылы Binance әмиянынан 823 млн USDC шығаруға бұйрық берді. Осынша дәл дайындалған құрал, шабуылшының Binance әмияндары қалай ұйымдастырылғанын алдын ала білгенін аңғартады.
«Екі нұсқаның айырмасы өте маңызды еді. Негізгі келісімшарт әмияннан ӯзінде басқару құқы бар кез келген функцияны орындауға мүмкіндік беретін функцияны қамтыған. Кейін шабуылшы осы функция арқылы Binance-тың смарт-әмиянынан 823 млн USDC шығарды», – дейді BitOK түсіндірмесінде.
29 қазан, 20:04 UTC: 31 минуттық босату
20:04:52 мен 20:35:53 аралығында шабуылшы Binance-тың ыстық әмияндарын XRP Ledger, Solana, Bitcoin, Ethereum, Tron, Base, Optimism, Arbitrum және Avalanche желілерінде толық босатты. Олжаның ішінде келесілер болды:
- 18 270,2 BTC,
- 197 540 ETH,
- 2,49 млрд USDT,
- 823 млн USDC,
- 233,46 млн XRP,
- 970 522 SOL және ондаған басқа токендер.
Әр транзакцияға Binance-тың өз әмияндары қол қойған. BitOK оларды тану үшін ерекше белгілерді байқаған: әдеттегіден 2 – 2,7 есе жоғары комиссия, Binance төлем бағдарламасы қолданбайтын транзакция форматы және Ethereum желісінде – шынайы клиенттік төлемдердің арасында жалған аударымдар болуы.
Шабуылшы DevOps инженерінің ноутбугі арқылы жүйеге кіріп, Binance жүйесіндегі қызметтік контейнерді (ішінде бөлек бағдарлама жұмыс істейтін арнайы орта) қолдана отырып жалған шығару бұйрықтарын жіберді.
20:20 UTC: 50-кілт айласы
Бұл – түндегі ең тапқыр қимыл болды. Нысана – Binance 14 деп аталатын, жиі пайдаланылатын Ethereum ыстық әмияны.
Жоспар. EIP-7702 функциясын қолдана отырып, әмиян рұқсат қағазын (авторизация) қол қояды. Бұл рұқсат смарт келісімшартқа әмиянның атынан әрекет етуге құқық береді. Егер Binance 14 шабуылшының келісімшарт-ын атаған қағазға қол қойса, әмиян толық шабуылшының бақылауына өтеді.
Мәселе. Рұқсат қағазы тек әмиянның ағымдағы транзакция нөмірі – нонсы дұрыс болған жағдайда жарамды. Binance 14 үздіксіз клиенттерге төлем жасайтын болғандықтан, бұл сан үнемі өзгеріп тұрады. Дұрыс нонсы көрсетілмеген рұқсат автоматты түрде еленбейді.
Айла. 20:20:59-да, шабуылдаушы Binance-тің қолтаңба қою жүйесіне бір уақытта 50 слипті қолтаңбалауды тапсырды, әрқайсысының нөмірі әртүрлі. Мұны құлыпқа бір уақытта 50 кілт салып көрумен салыстыруға болады: тек біреуі сәйкес келсе болды. Біреуі сәйкес келді. Енді Binance 14 шабуылдаушының келісімшартынан бұйрық алатын болды, дегенмен, ол әдеттегідей жұмысын жалғастырды, сондықтан қаражаттың ағысы тоқтамады.
Сыйақы. Бірнеше минуттан кейін бір ғана транзакция 65 түрлі токенді, 2,2 млрд доллардан астам құндылықтағы активті босатты, оның ішінде 1,615 млрд USDT және 167 464 ETH бар. 20:41 мен 20:59-да, келісімшарт тағы бір Binance әмиянынан 823 млн USDC шығарды.
Binance 16. Екінші ыстық әмиян әлдеқайда оңай тәсілмен тонауға ұшырады. Binance жүйесіне тоғыз жалған аударым жіберілді, олар жүйе тарапынан қолтаңбаланып, шынайы клиент төлемдерімен бірге жіберілді. Осылайша, 28 005,6 ETH және 55,7 млн USDT тәркіленді.
20:30–21:14 UTC: Тоңазытылмайтын коиндерге жарыс
Ethereum-да негізгі қабылдап алушы адрестерден алты минут ішінде 500 млн USDT шығарылды. 20:34 пен 21:09 аралығында, шабуылдаушы 435 млн USDT-ні Uniswap-қа ауыстырды, орталықтандырылмаған, код басқаратын биржа арқылы енді ETH-қа айналды. Сонымен бірге, 60 млн USDT-ні Aave-ге, қарыз беру протоколына, депозитке салып, соған қарсы 19 762 ETH қарыз алды, осылайша тоңазытылатын кепілдікті сонда қалдырды.
Tron желісінде Binance-Hot 7 әмиянынан 612,7 млн USDT шығарылды. SunSwap, Tron-ның негізгі орталықтандырылмаған биржасында, 16 айырбас барысында шабуылдаушы 234 млн USDT-ні 638,2 млн TRX-қа айырбастаған.
Тоңазытумен жарыс
USDT-ді тоңазыту үшін, Tether үш қолтаңбалы мультисиг-әмиян қолданып, бірнеше адамның растауын талап етті. Әр тоңазытуға 2 минут 36 секундқа дейін кетті, ал күтіліп тұрған сұраныстар он-чейнде көрініп тұрды. Шабуылдаушы тоңазыту өтетінін алдын ала байқап, бірінші қадам жасауға мүмкіндік алды: бір әмиян 130 млн USDT-ні тоңазытудан 48 секунд бұрын жылжытты. Дегенмен, бір адрестерде шабуылдаушы кідіріп қалып, 175 млн USDT-ін жоғалтты.
823 млн USDC толығымен бір ғана адресте қалып, бір транзакцияда тоңазытылды.
| Tether мен Circle тоңазытқан сома | Саны |
|---|---|
| Ethereum USDT | 1,38 млрд доллар |
| Ethereum USDC | 823 млн доллар |
| Tron USDT | 378,7 млн доллар |
| Avalanche USDt | 8,4 млн доллар |
| Жалпы | 2,59 млрд доллар |
Басқа эмитенттер USD1, XAUt, PAXG, wBETH және FDUSD-ті тоңазытты, ал BEAM эмитенті 984 млн ұрланған токенді өртеп жіберді. Arbitrum-ның Қауіпсіздік Кеңесі, 12 мүшелі төтенше орган, 8 426 ETH және 74,56 млн ARB тәркіледі.
Барлығы 2,79 млрд доллардай қаражат тоңазытылып, өртеліп немесе тәркіленді. Дегенмен, 669 млн USDT-і ETH және TRX-қа айырбасталып үлгерген еді.
21:43–00:10 UTC: Үнемі тонауға ұшыраған әмиян
Binance 14 әлі де шабуылдаушының бақылауында болған.
- 21:43:59 — Binance-тің әдеттегі толықтыруы арқылы 200 млн USDT Binance 14-ке жіберілді. Он екі секундтан кейін келісімшарт оны сыпырып алып кетті. USDT тоңазытылған адреске түсті, бірақ шамамен 370 ETH қашып кетті.
- 22:39 — тағы бір сыпырып алу 128,49 ETH-ті иелікке алды.
- 23:56 — 2 961,91 ETH жаңа түскеннен бір минут өткенде сыпырылып кетті.
- 00:10:35, 30 қазан — Ақыры Binance тапсыруды тоқтатты.
Шабуылдаушы әмиянға төрт сағатқа жуық иелік етіп тұрды.
18 270 BTC қайда кеткені туралы
20:20:06-да, 11 транзакция арқылы Binance ыстық әмиянынан 18 270,2 BTC шығарылып, әдеттегіге қарағанда екі есе комиссия төленді. Бұл монеталар 19 адресте бөлініп, оның 17-сі 1 000 BTC-ден ұстады. 30 қазанға дейін олардың ешқайсысы қозғалған жоқ. Bitcoin-нің ашық тізбегі оларды бақылауға мүмкіндік береді, алайда тоңазытуға ешкімнің құзыры жоқ.
30 қазан, 04:02: Bitget байланысы
BitOK-тың ең ірі жаңалығы: ұрланған Binance қаражаты бұған дейін 2026 жылғы қыркүйектегі Bitget бұзылуынан түскен табысты жинаған дәл сол Ethereum мекенжайына жетті.
Хакер TRX пен USDT-ты THORChain арқылы, яғни коиндерді блокчейндер арасында айырбастайтын протокол арқылы жіберіп, 0x15104a9ce0f08a8f0075a0869ae80e795fe0feb7 мекенжайынан ETH алды.
Аталған мекенжай бұған дейін Bitget бұзылуына байланысты алынған ETH-ты қабылдаған еді. Бұл Bitget жариялаған хакердердің әмияндары тізіміндегі Bitcoin мекенжайларынан келген, 23 қазаннан бері белсенді болып, Binance-тен ешқашан ұрланбаған ZEC коинінен басталған.
06:20-ға дейін Bitget-ке байланысты сегіз (349,46 ETH) және Binance-ке қатысты бес (13,63 ETH) төлемді қабылдап, аралас қаражатты жаңа әмияндарға жіберген еді. Бір ғана ортақ мекенжай бұл екеуін кім жасағанын анықтамайды.
Солтүстік Корея ұйымдастырды ма?
Екі шабуыл да жеке кілттерді ұрламай, ішкі жүйелерге заңсыз кіру арқылы жасалған, әрі Bitget өз бұзылуы үшін Солтүстік Кореяны айыптаған еді. BitOK сонымен қатар репетиция, Tornado Cash-пен қаржыландыру, қатырып тастауға болатын токендерден жылдам айырбас жасау мен UTC+9 жұмыс уақытында дайындалу секілді Солтүстік Корея топтарына тән белгілерді атап көрсетті.
«Жаңадан анықталған ортақ жылыстату мекенжайы тактикалық ұқсастықтардан гөрі, операциялық байланыстың әлдеқайда айқын дәлелі. BitOK екі ұрлықтың Солтүстік Кореялық бір топқа қатысы бар болуы ықтимал және бір оператор жылыстатуды бақылаған деген қорытынды жасайды. Алайда, бұл нақты әр қатысушының шынайы жеке басы дәлелденді дегенді білдірмейді», – деді BitOK.
Binance-тің жауабы
Binance 20:36 шамасында өз Bitcoin және Tron ыстық әмияндарынан қаражат шығаруды тоқтатып, депозиттерді қабылдай берді. Барлық клиент шығынын SAFU төтенше қорынан және өз қаражаты есебінен өтеймін деп уәде етті.
Толық нарық бойынша Coinglass мәліметінше, 24 сағат ішінде 1,58 млрд доллар көлемінде левереджделген позициялар жойылды.
Хакерлерде қазір қандай қаражат бар?
30 қазан күні 06:20-дағы жағдай бойынша BitOK хакерді келесілерге байланыстырды:
- 197 460 ETH,
- 18 270,2 BTC,
- 233,46 млн XRP,
- шамамен 970 500 SOL,
- 675,9 млн TRX,
- және 1,61 млн AVAX.
Тек ETH, BTC, XRP және SOL құны шамамен 2,95 млрд долларды құрады.
Хакерлер Binance қаражаттарын шығаратын жүйені иемденген. BitOK криптоиндустрияға Binance бұзылуынан қандай сабақ алуға болатынына қатысты тұжырымдамалар бөлісті.
«Binance оқиғасы жеке кілттердің қауіпсіздігі жеткіліксіз екендігін көрсетеді. Биржалар қол қою өкілеттігін бақылап, күдік тудыратын шығару нұсқауларына қарсы қорғаныс пен бұзылған рұқсаттарды жылдам қайтарып алу және желілер бойынша активтердің қозғалысын үздіксіз қадағалауды қамтамасыз еткен жөн».
