FSCP

Хронология ограбления Binance на $6.4млрд Судя по реакциям, пост о кейсе Raiffeisen зашел читателям, поэтому решил в подобном стиле изложить некое описание событий вокруг Binance, тем более что они сами вчера, 3 ноября, выложили разбор. Для начала контекст. Вечером 29 октября, после 20:05 UTC, криптоСМИ стали вбрасывать новости, что горячие кошельки Binance начали массово отправлять астрономические суммы на чужие адреса: сначала в XRP, далее Solana, Bitcoin, TRON, Ethereum и т. д. Естественно, первые подозрения были о взломе, но из-за масштабов сумм наиболее рациональными казались теории о запланированных перемещениях между кошельками. Однако почти сразу появился и фидбек от самой Binance, стало четко ясно, что произошла самая крупная в истории человечества кража. За четыре часа ушло $6,4 млрд, в 4 раза больше прошлого рекорда Bybit в 2025 году. Интересен механизм инициации самих транзакций. Очевидно, сама архитектура такой биржи не дает возможности получить полный ключ или seed-фразу, поэтому атакующие несколько месяцев получали доступы, образующие kill chain для распределенной подписи транзакции: - в июне сотрудник команды кошельков в поисках ИИ-инструмента установил по рекламе подменённый Homebrew (пакетный менеджер macOS); - в сентябре инженеру в LinkedIn написали "HR" и "CEO" несуществующей компании и по мейнстримному сценарию атаки на криптанов попросили скачать на компьютер "ПО для тестового задания к собесу"; - 20 октября через внутренний ИИ-инструмент Binance (любимое всеми AI security) атакующие получили контроль над компьютерами двух разработчиков кошельков; - 29 октября оттуда запустили скрипт, который отправлял транзакции в сервис подписи в обход обычной процедуры вывода. Кошельки работают на MPC и, как выше указано, ключ целиком нигде не хранится, но сервис подписи подписывал всё, что запрашивал скрипт. Тот же почерк у КНДР был в DMM (2024) и Bybit (2025). Отдельная история с Ethereum. Горячий кошелёк подписал делегирование по свежему (2025 г.) стандарту EIP-7702 на контракт атакующих и 3 ч 49 мин исполнял их код: всё, что поступало на кошелёк, уходило атакующим. Отозвать делегирование смогли только в 00:10 UTC: в MPC для этого нужны все стороны. Дальше очень красивый, хоть и классический шаг. Как предписано в таких случаях, эмитент USDT Tether заблокировал основной адрес через 37 минут, эмитент USDC Circle — через 24, но это не имело полного эффекта, т. к. атакующие до этого уже, например, внесли 60 млн USDT как залог на Aave и взяли в долг 19 762 ETH. Блокируемые токены остались в пуле, создав проблему для самого Aave, а ETH, полученные под залог стейблов, заблокировать нельзя, о чем, кстати, я писал в посте про грязную крипту. Также до первой блокировки атакующие вывели 700 млн USDT на новые адреса и перекладывали остатки раньше, чем следующие адреса попадали под заморозку. Суммарно из 700 млн в реальности Tether поймал 205 млн, а всего заморожено $2,85 млрд, 44% суммы (у Bybit было около 3%). Где деньги сейчас? Основное отмывание идёт через TRON и кроссчейн-мосты, за 3,5 дня задействовано около 12 тысяч кошельков. 18 270 BTC лежат на 19 адресах нетронутыми. С 1 ноября часть BTC, полученных обменом, пошла в CoinJoin — миксер ончейн-типа: сам процесс оставляет грязный AML, но рвет цепочку. О таком принципе именно для КНДР я тоже писал в посте про миксеры. Средства Bybit в 2025 отмыли за 10 дней и потом месяцами выводили через китайские криптофиатные обменники (не будем намекать, что часть крипты может вылезти и в цепочках криптоинфры соседней подсанкционной страны). Аналитики ждут того же и здесь, а новые заморозки возможны в основном в момент вывода на централизованные площадки. Будем наблюдать. Binance покрывает убытки сама, из фонда SAFU и собственных средств, к 31 октября восполнено 98% токенов. После открытия выводов 1 ноября за сутки с биржи ушло около $6 млрд, но 3 ноября поток уже развернулся в приток. Funds are SAFU. К посту прикреплен файл с более наглядной инфографикой, числами, датами и прочими интересными вещами. Источник: https://t.me/xtr4channel/82 @F_S_C_P