Взлом Binance на $6,3 млрд: три условия восстановления доверия

Обещание Binance компенсировать последствия взлома отвечает на вопрос, кто намерен оплатить ущерб. Оно пока не отвечает на два других: устранен ли механизм атаки и сможет ли клиент получить свои активы тогда, когда они ему потребуются. Восстановление доверия зависит от всех трех условий, а не только от размера объявленного покрытия.

Факты и заявления проверены по состоянию на 00:58 по Баку, 31 октября 2026 года.

В сообщении об инциденте Binance оценила похищенные активы примерно в $6,3 млрд и пообещала покрыть потери за счет SAFU и корпоративных средств. Компания относит начало компрометации горячих кошельков к 29 октября, 20:05 UTC. По времени Баку это уже 30 октября, 00:05.

Наш анализ разделяет три процесса, которые нельзя считать взаимозаменяемыми: восстановление активов компании, возврат похищенного и безопасное исполнение клиентских операций. У каждого свой срок, свои риски и свой способ проверки.

Проблема контроля шире вопроса об утечке ключей

Самое существенное техническое признание содержится в объяснении Ричарда Тенга: делегирование полномочий кошелька не прошло обычные процедуры согласования Binance. Первоначальная версия о скомпрометированном ноутбуке впоследствии дополнилась другими точками проникновения. Это изложение компании, а не завершенная независимая экспертиза.

Упомянутый Тенгом стандарт Ethereum EIP-7702 позволяет аккаунту через подписанное разрешение делегировать выполнение операций коду смарт-контракта. Такое делегирование сохраняется до изменения или отзыва. Поэтому контроль должен оценивать не только отдельный перевод, но и разрешение, которое меняет возможности управления средствами.

Разница принципиальна: корректная для блокчейна подпись не означает, что операцию одобрил законный владелец в соответствии со своими внутренними правилами. Защита ключа и защита процесса использования ключа являются разными задачами. Даже если сам секрет не был скопирован, злоумышленное использование инфраструктуры подписания может привести к исполнению нежелательной операции.

Binance заявила, что пока не обнаружила свидетельств утечки приватных ключей. Однако это не закрывает вопрос о причинах атаки. Для содержательного технического отчета потребуется установить, какие именно согласования были обойдены, какие ограничения действовали независимо от системы подписания и почему они не остановили делегирование. Обновление инфраструктуры станет доказанным исправлением только после проверки этих механизмов.

Зарезервировать стоимость и подготовить нужные токены не одно и то же

В заявлении Тенга названы две суммы: более $6,34 млрд выделенных корпоративных средств и $5 млрд, уже находящихся в соответствующих похищенным токенах. Оставшиеся активы Binance приобретает на рынке и внебиржевыми сделками.

Пересчет этих округленных чисел дает около 79%: $5 млрд относительно ориентира $6,34 млрд. Арифметическая разница составляет около $1,34 млрд. Это оценка масштаба оставшегося приведения состава активов к заявленному ориентиру, а не установленная нехватка финансирования. Средства могут быть выделены, но еще находиться в других инструментах.

Для клиента состав имеет значение. Обязательство выдать один ETH нельзя автоматически считать исполненным наличием его долларового эквивалента в другом активе. Пока конвертация не завершена, остаются риски изменения цены, глубины рынка и исполнения сделки. По одному совокупному долларовому показателю нельзя определить готовность биржи обслужить вывод каждой отдельной монеты.

Следующая содержательная проверка заключается в сопоставлении количества доступных токенов с обязательствами в тех же токенах. Отдельно необходимо учитывать, кому принадлежат средства, свободны ли они от обременений и не включены ли одни и те же активы одновременно в несколько обещаний покрытия. Публичные суммы пока не заменяют такую сверку.

Замороженные $3 млрд еще не являются возвращенными деньгами

В том же обновлении Binance сообщила о заморозке примерно $3 млрд. Относительно оценки хищения в $6,3 млрд это около 48%. Но заморозка ограничивает распоряжение средствами, а не подтверждает их поступление обратно бирже.

Чтобы показать финансовую разницу, мы рассчитали три условных сценария. Они меняют только долю возврата из объявленного замороженного объема.

Расчет по округленным заявлениям Binance при неизменной долларовой оценке активов. Другие возвраты, изменение цен, расходы и последствия остановки услуг не учитываются. Это не прогноз, не подтвержденный баланс и не оценка окончательного бухгалтерского убытка.

Даже возврат всего объявленного замороженного объема оставляет $3,3 млрд хищения, не компенсированных именно этим возвратом. Дальнейшее взыскание других активов может уменьшить остаток. Корпоративное покрытие при этом решает другую задачу: позволяет восстанавливать обеспечение, не дожидаясь завершения взыскания.

Поэтому нельзя складывать $6,34 млрд выделенных средств и $3 млрд замороженных активов как уже доступный резерв. Первая сумма описывает заявленное финансирование восстановления, вторая зависит от фактического возврата и его условий. Их сложение завысило бы объем средств, которыми можно распоряжаться сейчас.

Последствия вышли за пределы одной биржи

Совет безопасности Arbitrum сообщил, что экстренной мерой заблокировал 8 425 ETH и около 74,56 млн ARB, связанных с атакой. Для дальнейшего перемещения этих средств требуется решение управления ArbitrumDAO. Это наглядный пример различия между прекращением контроля атакующего и возвратом активов потерпевшей стороне.

Другой механизм описан в отчете команды управления рисками LlamaRisk на форуме Aave. По его состоянию на 01:00 UTC 30 октября, связанный с атакующим кошелек внес 60 млн USDT и занял 19 762 WETH. В ответ были заморожены новые операции внесения средств и заимствования на затронутых рынках. Погашения, вывод и ликвидации продолжали работать. Это не конфискация залога и не возврат его Binance.

Оба эпизода показывают, почему инцидент на централизованной площадке превращается в проблему общей финансовой инфраструктуры. Реагировать приходится сетям, кредитным протоколам и механизмам управления, которые не принимали клиентские средства Binance на хранение. Возможность остановить операции снижает один риск, но создает зависимость от процедуры снятия ограничений и решения о дальнейшей судьбе активов.

Для оценки устойчивости важна не только скорость экстренной блокировки. Не менее важны полномочия тех, кто ее проводит, проверяемость решения и понятные условия восстановления обычной работы. Иначе эффективность защиты невозможно отделить от неопределенности для остальных участников.

Подтверждение резервов необходимо, но его недостаточно

Методика Proof of Reserves Binance предусматривает проверку включения клиентских остатков в расчет и сопоставление с активами на определенный момент. После крупного хищения такой отчет важен: он позволяет проверять конкретные данные вместо общего заверения о безопасности.

Но у проверки есть границы. Подразделения SEC в разъяснении от 27 июля 2023 года предупреждали, что Proof of Reserves не равнозначен аудиту финансовой отчетности и может не раскрывать полную картину обязательств. Это общее предупреждение о методе, а не заключение о нынешнем финансовом состоянии Binance.

В нашем анализе нужны три отдельных доказательства. Первое: заявленные активы существуют и сопоставлены с обязательствами. Второе: ими можно распоряжаться, чтобы исполнить клиентский вывод. Третье: система, которая разрешает распоряжение, больше не воспроизводит выявленный сценарий компрометации. Снимок балансов не заменяет проверку второго и третьего условий.

Обратная ошибка тоже недопустима: сам факт взлома или временная остановка вывода не доказывают неплатежеспособность. Для такого вывода нужны сведения о полном объеме активов, обязательств и доступной ликвидности, которых опубликованные заявления не предоставляют.

Проверять нужно исполнение, а не только обещания

Binance обещает результаты Proof of Reserves к 2 ноября, а возобновление вывода связывает с завершением проверок безопасности. В обновлении от 30 октября вывод оставался приостановленным, депозиты работали. Объявленные планы нельзя считать подтверждением состоявшегося восстановления.

Для пользователей и бизнеса в Азербайджане практический риск не ограничивается возможным уменьшением баланса. Если площадка используется для хранения операционного резерва или расчетов, временная недоступность средств может нарушить платежный график даже при последующей полной сохранности активов. Сохранность и доступность следует оценивать отдельно.

Содержательными признаками восстановления станут сопоставленные по токенам активы и обязательства, фактически работающий вывод и технический отчет с проверкой исправленных процедур согласования. Для оценки последствий также потребуется отделить прямое хищение от сопутствующих расходов и потерь из-за перерыва в работе: обещание возместить первое не следует автоматически распространять на второе.

Наш вывод: способность покрыть крупный ущерб является финансовым ресурсом, но не доказательством устранения причины взлома. Доверие восстанавливается, когда подтверждены и наличие средств, и возможность безопасно ими распорядиться. Объявленный объем покрытия является началом этой проверки, а не ее результатом.

Обложка: редакционная ИИ-иллюстрация FinFly.news.