Вечером 29 октября с горячих кошельков Binance вывели активы на $6,3 млрд. Деньги ушли через десять сетей, и TON среди них нет. Балансы бирж в TON за этот вечер и следующие сутки изменились не больше, чем в обычные дни за последние полгода. Самое крупное движение в сети той ночью сделала сама Binance: через три часа после начала атаки она перевела 5,74 млн TON и 59,4 млн USDT из горячего кошелька в холодный.
Что случилось с Binance
Около 20:05 UTC 29 октября атакующие начали выводить активы с горячих кошельков Binance. Горячим называют кошелёк, ключи от которого лежат на серверах биржи: с него автоматически уходят выводы клиентов. По данным TRM Labs, средства двигались через Ethereum, Bitcoin, Tron, XRP Ledger, Solana, Arbitrum, Avalanche, Optimism, Base и Polygon.
Binance оценила ущерб примерно в $6,3 млрд, остановила ввод и вывод по всем сетям и назвала причиной взломанный ноутбук сотрудника. Около $3 млрд в стейблкоинах заморозили их эмитенты. Биржа зарезервировала $6,34 млрд собственных средств, чтобы покрыть потери клиентов. TRM Labs и Elliptic связывают атаку с северокорейской группой TraderTraitor. Ни Binance, ни власти эту версию пока не подтвердили.
Той же ночью разошёлся список, в котором к Binance добавили Bybit, Bitget и Swyftx, каждой по миллиарду или около того. Все три биржи взлом отрицают. Отдельная история случилась в тот же вечер с Polymarket: вредоносный скрипт увёл с кошельков пользователей около $2,7 млн, и с Binance это не связано.
Что это значит для держателей TON
TON на собственных кошельках, будь то Tonkeeper, MyTonWallet или Кошелёк в Telegram, к этой атаке отношения не имеет: взломаны были ключи биржи, а не сеть. TON и жетоны на балансе Binance сейчас не вывести, но причина в общей остановке выводов, которую биржа ввела по всем сетям сразу.
Что Binance сделала в TON
В 23:01 UTC горячий кошелёк Binance отправил 5 735 454 TON на адрес UQD4uGNd…TYCQx. В ту же минуту туда ушли 655 млн HMSTR и 2 млн CATI, а в 23:55 — 59,4 млн USDT, 2,17 млрд NOT и 517 млн DOGS. На горячем кошельке осталось 3 TON.
Получатель — не атакующий, а холодный кошелёк самой биржи, ключи от которого хранятся вне серверов. Это видно по его истории: 20 октября с него на тот же горячий кошелёк пришли 84,6 млн USDT, 27 октября — 2,57 млн TON и 652 млн DOGS, а весь октябрь горячий кошелёк сбрасывал на него излишки DOGS, CATI и HMSTR. Сейчас на нём около 59,1 млн TON. После 29 октября он не отправил ни одной монеты.
Если ключи могли утечь с ноутбука сотрудника, всё, что лежит на горячих кошельках, под угрозой, пока ключи не заменят. Поэтому биржа опустошает горячие кошельки во всех сетях, включая те, где атаки не было. Заменят ключи — горячий кошелёк в TON, скорее всего, будет новым.
Балансы бирж в TON за полгода
Каждая линия — сумма TON на всех известных кошельках одной из трёх бирж с самым большим запасом TON. Две последние точки — 29 и 30 октября, до атаки и после неё. Спад Binance в октябре начался задолго до взлома: 1 октября на её кошельках было 67,6 млн TON, к 29-му осталось 59 млн. За ночь атаки линии трёх бирж не сдвинулись. Перевод Binance из горячего кошелька в холодный на ней не виден: оба адреса принадлежат бирже, и сумма от такого перевода не меняется.
За сутки 29 октября баланс Binance в TON вырос на 0,1 млн, у Bybit и Bitget почти не изменился. OKX потерял 0,9%, KuCoin 1,8%, MEXC 2,3%. Больше всех убыло у Kraken: 0,51 млн TON, или 7,3%. 13 мая с кошельков той же Kraken за сутки ушло 15% баланса, а у Binance в тот день — 4 млн TON, 7,6%. Bitget 27 мая лишилась трети своих TON за день.
К вечеру 30 октября у пяти бирж из семи TON столько же или больше, чем было 29-го. У Kraken на 6% меньше, у KuCoin на 7%.
Потоки USDT в сети TON те же два дня тоже прошли в пределах обычного. 30 октября у Bybit и Bitget USDT прибыло, а не убыло: плюс 4 млн и плюс 3,1 млн. За предыдущую неделю дневное сальдо отдельных бирж доходило до 18 млн в обе стороны.
