Взлом Binance: куда ушли украденные деньги, как их отмывают и сколько удастся вернуть

Коротко: прошло пять дней после взлома 29 октября 2026 года, и $6,43 млрд, украденные из горячих кошельков Binance, разошлись на три части. Около $2,85 млрд (44%) заморожено или изъято. Почти всё это стейблкоины, а их эмитенты умеют блокировать токены. Около $3,24 млрд всё ещё лежит на адресах атакующих, в основном в ETH и BTC, и большая часть этих денег пока не двигалась. Мы проверили адреса из списка ФБР 3 ноября: ни один из 18 270 украденных биткоинов не потрачен. Остаток, примерно $0,34 млрд, ушёл через Tron, кроссчейн-мосты и THORChain или потерян на спешных обменах. По оценке аналитиков Elliptic, в наличные пока выведена ничтожная сумма.

Прошлые случаи настраивают менее оптимистично. После прежних взломов, связанных с КНДР, заморозить или вернуть удавалось от 0% до 6% украденного. Binance здесь исключение: больше половины похищенного было в стейблкоинах, которые можно заморозить. С пользователями Binance ситуация другая. Биржа сообщает, что уже покрыла 95% убытка из своих денег и пользователи его не понесут.

Данные актуальны на 3 ноября 2026 года, 10:00 UTC. Статья продолжает наш материал «Взлом Binance в октябре 2026 года: что произошло и как это отразилось на криптофьючерсах». Цифры по такому свежему делу меняются каждый день, поэтому у каждой указано, кто её сообщил.

Где сейчас деньги, украденные у Binance?

Компания блокчейн-аналитики Elliptic насчитала $6,43 млрд, украденных в 11 блокчейнах с 20:05 до 23:56 UTC 29 октября (Elliptic, 2 ноября). Сама Binance оценивает ущерб примерно в $6,3 млрд, TRM Labs насчитала $6,36 млрд в 10 сетях. На 2 ноября Elliptic раскладывает эти деньги так:

• $2,85 млрд заморожено или изъято. 94% из них приходится на стейблкоины.
• Около $3,24 млрд лежит на адресах, связанных с атакующими, в основном в ETH и BTC, по ценам 2 ноября.
• Оставшиеся ~$0,34 млрд складываются из того, что ушло дальше по цепочкам отмывания, потерь на обменах по невыгодным ценам и изменения курсов токенов после кражи. Выведенными в деньги их считать нельзя: по словам Elliptic, в наличные, скорее всего, пока попала лишь «ничтожная сумма».

3 ноября мы сами проверили балансы атакующего по 628 адресам, которые ФБР опубликовало 31 октября (608 в Ethereum, 19 в Bitcoin, 1 в Solana):

• Bitcoin: 18 270,2 BTC на 19 адресах, ничего не потрачено. На семнадцати адресах лежит примерно по 1 000 BTC. Эти монеты не двигались с первых получаса кражи. По $77 030 за BTC это около $1,41 млрд.
• Ethereum: 551 612 ETH на 608 адресах из списка ФБР, около $1,25 млрд. На девяти крупнейших адресах лежит 93% этой суммы, и, по данным Elliptic, с 30 октября они не двигались.
• XRP: все 233 млн XRP, около $0,29 млрд, 2 ноября переведены на шесть новых адресов и с тех пор лежат там.

Всего выходит около $2,95 млрд. Оценка Elliptic в $3,24 млрд шире: она учитывает ещё SOL, NEAR и адреса, которых нет в списке ФБР.

Сколько украденных денег удалось заморозить?

$2,85 млрд, или 44%, по подтверждённому подсчёту Elliptic. Binance называет около $3 млрд. Для взлома криптобиржи это много, и объясняется это составом активов. Из $6,43 млрд $3,46 млрд (54%) были в стейблкоинах вроде USDT и USDC, а их эмитенты могут заморозить токены на любом адресе.

Эмитенты сработали быстро:

• Tether заморозила основной Ethereum-кошелёк атакующего с 1,18 млрд USDT через 37 минут после того, как туда пришли токены. В следующие 17 минут под заморозку попали ещё четыре адреса.
• Через три минуты Circle заморозила все 823 млн украденных USDC, атакующий не успел обменять ни одного. 1 ноября Circle сообщила, что заморозила больше $1,1 млрд USDC, связанных с инцидентом (CNBC). Откуда взялась разница, компания не объяснила.
• Свои токены также заморозили Ripple (RLUSD), World Liberty Financial (USD1), Paxos, First Digital и эмитенты более мелких токенов. Binance заморозила собственный обёрнутый ETH.
• Два блокчейна изъяли токены атакующего голосованием в своих органах управления. Совет безопасности Arbitrum (Arbitrum Security Council) забрал около $30 млн в ETH и ARB, а управление Optimism 31 октября изъяло около 44 млн OP (~$5 млн).

В сетях Bitcoin, XRP Ledger, Solana и NEAR не заморожено ничего. Как формулирует Elliptic, Ripple может заморозить RLUSD, но не XRP. У нативных монет вроде BTC, ETH и XRP нет эмитента, который мог бы их заблокировать. Поэтому первым делом атакующий пытался обменять стейблкоины на них.

Гонка с заморозками

В минуты перед заморозками атакующий обменял стейблкоинов примерно на $786 млн (Elliptic):

• 434 млн USDT на 160 451 ETH через Uniswap, 1inch и маркетмейкеров, которые дают котировки по запросу. За скорость он переплатил 12–26% к рыночной цене;
• 59,9 млн USDT внёс в Aave как залог и занял под него 19 762 ETH. Их Tether заморозить не может. 1 ноября кредит всё ещё был открыт и был близок к ликвидации;
• 234 млн USDT на 638 млн TRX на SunSwap в сети Tron;
• около 150 других токенов на ETH на децентрализованных биржах. Эти обмены закончились к 06:36 UTC 30 октября.

Chainalysis приводит пример того, сколько стоила спешка: $325 млн в стейблкоинах примерно за 20 минут превратились в ETH на $285 млн (Chainalysis).

Как отмывают украденные деньги?

Пока деньги шли в основном через Tron и кроссчейн-мосты, с короткой остановкой в THORChain. Ниже маршрут по дням, по данным отслеживания Elliptic в реальном времени и нашим проверкам (время UTC):

• 29 октября, 20:05–23:56. Кража. В 20:24 одна транзакция вывела две трети потерь в Ethereum, $2,53 млрд. Заморозки начались примерно через час.
• 30 октября, с 02:19. После пяти тихих часов в Tron распределительный кошелёк начал рассылать 684,6 млн TRX небольшими суммами примерно на 7 700 адресов. Уже через два с половиной часа первые переводы прошли через шесть кроссчейн-мостов, в основном с выплатой в ETH в сети Ethereum. Через мосты из Tron ушло не меньше $147 млн. Все AVAX обменяли на USDC и перевели в Ethereum через собственный мост Circle, CCTP.
• 31 октября. ФБР назвало виновником северокорейскую группировку TraderTraitor и опубликовало адреса атакующего. Часть TRX обменяли на USDD, стейблкоин, который рекламирует себя как не поддающийся заморозке. Ещё 128 млн TRX прогнали через кредитное хранилище JustLend: зашли с одного адреса, вышли на 16 новых. К 22:41 UTC больше всего денег из кошельков в Tron ушло через THORChain, около $31 млн. Следом шли SunSwap ($5,3 млн) и Bitget Swap ($1,8 млн) (Elliptic).
• 1 ноября. После 1 113 переводов за 51 час в Tron стало тихо. Началось первое микширование: с 05:55 биткоины, купленные на обменянные средства, пошли в coinjoin по протоколу Wasabi. К следующему утру через 18 раундов прошло около 28 BTC ($2,2 млн). Это не те 18 270 украденных биткоинов, они лежат на месте. Половина SOL ушла на новый адрес. Ончейн-трекер Lookonchain сообщает, что примерно половину из $95,9 млн украденных SOL обменяли на BTC через мост Relay.
• 2 ноября. С 02:12 до 04:00 все 233 млн XRP переведены на шесть новых адресов.

Здесь бросаются в глаза две вещи. Первая: скорость и масштаб. Около 12 000 кошельков в 11 сетях и больше 40 000 транзакций меньше чем за четыре дня, то есть примерно новый кошелёк каждые 25 секунд. В Tron каждый доллар перекладывали в среднем девять раз. Деньги Bybit в 2025 году отмывали в человеческом ритме, а эти двигаются круглосуточно. Elliptic называет это обычной автоматизацией и пишет, что «ничто из увиденного не говорит о том, что решения принимает ИИ-агент».

Вторая: около $16 млн ушло на адреса, где лежат деньги со взлома Bitget в сентябре 2026 года. По таким связям аналитики и приписали оба случая одной группировке.

Почему остановился THORChain?

THORChain — протокол кроссчейн-обменов. Через него кто угодно может обменять нативный BTC на ETH и другие монеты без аккаунта и проверки личности. После взлома Bybit в 2025 году 84% украденных ETH превратились через него в биткоины (Decrypt).

На этот раз протокол остановился сам. 31 октября в 11:34 UTC реорганизация одного блока в Ethereum стёрла депозит в 10 ETH, который THORChain уже учёл. Протокол вернул его дважды, и защитная система приостановила обмены в 10 сетях, в том числе в Bitcoin, Ethereum, Solana и Tron (Cointelegraph). Мы запросили API THORChain 3 ноября в 10:12 UTC: все десять сетей всё ещё стояли, уже около 71 часа. По словам Chainalysis, пауза «непреднамеренно задержала» отмывание значительной суммы.

В оповещении ФБР прямо названы операторы нод THORChain, мгновенные обменники и DeFi-сервисы: их просят блокировать транзакции, связанные с адресами атакующего. Пойдут ли они на это, неясно. THORChain называет себя нейтральной инфраструктурой. Его сооснователь Джон-Пол Торбьорнсен, который говорит, что больше не участвует в проекте, высказался за то, чтобы операторы нод не выполняли просьбу ФБР.

Как КНДР обычно отмывает украденную криптовалюту?

ФБР приписывает взлом Binance группировке TraderTraitor. Её же ФБР называло виновницей взлома Bybit в 2025 году и DMM Bitcoin в 2024-м (FBI). Государственные СМИ КНДР обвинение отвергли. По подсчёту TRM Labs, связанные с КНДР хакеры с 2017 года украли $12,8 млрд, из них $7,4 млрд в 2026 году (TRM Labs).

Аналитики раз за разом описывают одну и ту же схему. TRM Labs перечисляет шаги. Сначала кошелёк оператора пополняют через Tornado Cash. Потом деньги дробят по свежим кошелькам, обменивают и через мосты переводят в биткоин (после Bybit и KelpDAO в основном через THORChain). Дальше их прогоняют через миксеры и в конце выводят в наличные через внебиржевых (OTC) брокеров. Среди них есть китайскоязычные сети, которые со скидкой скупают краденую криптовалюту, часто за USDT в Tron.

Chainalysis изучила кражи КНДР с 2022 по 2025 год и увидела цикл примерно в 45 дней, который идёт тремя волнами (Chainalysis, 18 декабря 2025):

1. Дни 0–5, расслоение. DeFi-протоколы и миксеры, чтобы оборвать след.
2. Дни 6–10, первая интеграция. Кроссчейн-мосты, биржи со слабой проверкой личности, миксеры второго эшелона.
3. Дни 20–45, длинный хвост. Биржи без проверки личности, китайскоязычные гарант-сервисы, мгновенные обменники и OTC-брокеры, которые превращают криптовалюту в наличные.

Ещё северокорейские отмыватели предпочитают небольшие суммы. Больше 60% их объёма проходит переводами меньше $500 000, тогда как другие хакеры переводят по $1–10 млн за раз.

Если мерить этим шаблоном, деньги Binance сейчас в конце первой волны. Отличие в маршруте одно: на этот раз атакующий много пользовался кредитными протоколами (Aave, JustLend) и продажами на DEX. В прошлых случаях северокорейские группировки прибегали к ним реже. TRM Labs тоже отмечает, что маршрут не похож на маршрут Bybit. Шаблон описывает прошлые случаи и не предсказывает этот. Для сравнения: после Bybit все 499 000 украденных ETH отмыли за 10 дней, а вывод в наличные через USDT в Tron и китайские OTC-площадки занял месяцы.

Сколько украденной криптовалюты удаётся вернуть?

Очень мало, если за взломом стоит КНДР. Ниже то, что удалось заморозить, изъять или вернуть у атакующих после крупнейших взломов, связанных с КНДР. Сюда не входит то, что пострадавшим вернула сама биржа или проект.

Источники: Elliptic; Bybit через Decrypt; The Block; Cointelegraph; Decrypt; ФБР. Цифры по WazirX и Drift взяты из вторичных источников.

Эти цифры объясняют три закономерности:

• Замораживают стейблкоины. Bybit потеряла в основном ETH, и, по подсчёту Elliptic, в первые недели там заморозили около 3%. Binance потеряла в основном стейблкоины, и 44% заморозили за несколько часов.
• Нативные монеты в руках КНДР почти никогда не возвращаются. Если судить по прошлым случаям, меньше всего шансов вернуться у 18 270 BTC и у ETH, которые ещё лежат на адресах атакующего.
• Высокий процент возврата бывает ещё в двух случаях, и оба нетипичны. Первый: сама сеть готова замораживать средства. Валидаторы Sui заморозили около 73% из $223 млн, украденных у Cetus в мае 2025 года. Это была атака на код, с КНДР её не связывают. Второй: следователи находят людей спустя годы. В 2022 году Минюст США изъял около 94 000 из 119 754 BTC, украденных у Bitfinex в 2016-м, примерно 78%.

Если брать все взломы, возвращают тоже мало. Immunefi насчитала всего 0,4% возвращённых потерь в первом квартале 2025 года, когда взломали Bybit. Годом раньше было около 21% (Immunefi).

Вернёт ли Binance замороженные деньги?

Пока об этом никто не объявлял. Заморозка ещё не возврат: замороженные USDT и USDC заблокированы на адресах атакующего, и эмитенты не сказали, перевыпустят ли их для Binance. Вознаграждение за помощь в заморозке или отслеживании средств Binance тоже не объявляла. Bybit в 2025 году предлагала 10% от любых средств, которые удалось заморозить с помощью со стороны.

Binance ждать не стала. Она выделила больше $6,34 млрд из средств компании и сообщает, что убытки покрыты на 80% на 30 октября, на 90% на 31 октября и на 95% на 1 ноября. Последние 5% приходятся на неликвидные токены за пределами первой десятки, следует из её объявлений (Binance, 1 ноября). Деньги взяли из трёх источников:

• Половина аварийного фонда SAFU. Мы проверили адрес SAFU в блокчейне: 30 октября на нём было 15 000 BTC, сейчас 7 500 BTC. Binance обещала восстановить SAFU примерно до $1 млрд.
• Часть страхового фонда фьючерсов. Это резерв, который покрывает убытки от ликвидаций. Binance говорит, что взяла из него только излишек сверх требуемого уровня.
• Корпоративная казна.

«Эти убытки не будут переложены на пользователей», — заявила Binance. Если эмитенты позже вернут замороженные стейблкоины, эти деньги получит Binance. Пользователям убыток уже покрыт.

Что взлом значит для трейдеров криптофьючерсов

Факты последних пяти дней, которые важны, если вы торгуете бессрочными фьючерсами:

• Вывод был закрыт примерно два с половиной дня, торговля при этом шла. Binance приостановила вывод около 22:15 UTC 29 октября и открыла его для основных монет в первой фазе 1 ноября в 06:00 UTC, примерно через 56 часов. Вторая фаза, ещё несколько десятков токенов, началась 3 ноября в 04:00 UTC. Спот и фьючерсы всё это время торговались. Трейдер с хеджем на двух биржах не мог перевести маржу с Binance на другую сторону.
• Большинство пользователей остались. За первые девять с половиной часов после открытия вывода вывели $4,65 млрд и внесли $1,01 млрд. Чистый отток составил $3,64 млрд, или 2,1% от $171 млрд, которые Binance держала по последнему подтверждению резервов до взлома (The Block). DefiLlama, которая отслеживает кошельки бирж, показывает активы Binance на 3 ноября в $128,1 млрд против $144,9 млрд до взлома. В этом снижении смешаны кража, оттоки и движение цен.
• Часть счёта оплатил страховой фонд фьючерсов. Этот фонд покрывает убытки, когда ликвидации проходят плохо. Он срабатывает раньше, чем биржа включает автоделеверидж (ADL), то есть принудительно закрывает прибыльные позиции на другой стороне. Binance говорит, что фонд остаётся выше требуемого уровня, и в своём FAQ добавляет, что ни одна биржа не может полностью исключить автоделеверидж.
• У подтверждения резервов есть пределы. Binance опубликовала новый срез на 31 октября, а 2 ноября выложила доказательство с нулевым разглашением: топ-10 токенов обеспечены как минимум 1:1. Страховой фонд фьючерсов в подтверждение резервов (proof of reserves) не входит, и срез не заменяет полный аудит.
• Рынок отреагировал коротко. Ликвидации за 24 часа достигли $1,53–1,55 млрд (CoinGlass, по данным CoinDesk и The Block). На бессрочном фьючерсе BTC на Binance минимум в $76 270 пришёлся на час с 18:00 UTC 30 октября. Из американских спотовых биткоин-ETF в пятницу, 30 октября, ушло $643,3 млн.

Что из этого следует:

• Держите на одной бирже только рабочую маржу. Остальному незачем лежать там, где взлом может заморозить деньги на несколько дней. То же самое мы писали про биржи, которые уходят из страны, в статье «Биржа может уйти за пять дней».
• Следите за ценами на разных биржах. Во время взлома медианный разрыв между фьючерсами Binance и фьючерсами Bybit и OKX составлял 0,6 базисного пункта. Разрыв в несколько процентов по одной и той же монете означал бы, что рынок сомневается в выводе средств. Бесплатный скринер Binam показывает Binance, Bybit и OKX на одном экране.
• Не верьте тем, кто предлагает вернуть ваши средства. После крупных взломов появляются фальшивые «сервисы возврата» и сообщения о «компенсации». Пользователи Binance свои балансы не потеряли. Любой, кто просит комиссию или ваш логин, чтобы вернуть деньги, мошенник. Читайте объявления только в приложении биржи или на её сайте, открытом из своей закладки.

Затронул ли взлом трейдеров Binam?

Нет. Binam — крипто-проп-компания. Отбор у нас проходит на демо-счетах с реальными котировками, на Bybit или на Binance через терминал CScalp. Поэтому во время челленджа трейдер рискует только стоимостью челленджа, своего депозита на бирже у него нет. Как устроен вариант с Binance, описано в статье «Binance Prop Firm Challenge: How to Trade It in CScalp».

Частые вопросы

Куда ушли деньги после взлома Binance?

По данным Elliptic на 2 ноября 2026 года, из $6,43 млрд заморожено или изъято $2,85 млрд. Около $3,24 млрд всё ещё лежит на адресах, связанных с атакующими (в основном ETH и BTC). Остальное ушло через Tron, кроссчейн-мосты и THORChain или потеряно на спешных обменах. В наличные, скорее всего, выведена лишь ничтожная сумма.

Перемещались ли украденные у Binance биткоины?

Нет. 3 ноября мы проверили 19 биткоин-адресов, которые опубликовало ФБР: на них 18 270,2 BTC, и ничего не потрачено. 28 BTC, которые 1–2 ноября прошли через coinjoin-микширование, куплены на другие обменянные средства.

Сколько денег заморозили после взлома Binance?

Около $2,85 млрд, или 44%, по подтверждённому подсчёту Elliptic. Binance называет около $3 млрд. 94% замороженной суммы составляют стейблкоины. Tether заморозила основной кошелёк через 37 минут после поступления USDT, а Circle заморозила все 823 млн украденных USDC, пока их не успели обменять. В сетях Bitcoin, XRP Ledger, Solana и NEAR не заморожено ничего.

Кто взломал Binance?

31 октября 2026 года ФБР приписало взлом северокорейской группировке TraderTraitor и опубликовало 628 связанных с ней адресов. TRM Labs, Chainalysis и Elliptic пришли к тому же выводу. КНДР свою причастность отрицает.

Вернёт ли Binance украденные деньги?

Об этом не объявлено. Замороженные стейблкоины заблокированы на адресах атакующего, и эмитенты не сказали, перевыпустят ли их для Binance. Если судить по прошлым взломам, связанным с КНДР, незамороженные BTC и ETH вряд ли вернутся. После Bybit, Ronin, Harmony, Atomic Wallet, WazirX и DMM Bitcoin удавалось вернуть от 0% до 6%.

Потеряли ли деньги пользователи Binance?

Binance говорит, что нет. По её данным, к 1 ноября 95% убытка покрыто из половины фонда SAFU, части страхового фонда фьючерсов и денег компании, и на пользователей убытки не переложат. Вывод средств открывали поэтапно с 1 ноября.

Как отмывают украденную криптовалюту?

Обычно атакующий обменивает токены, которые можно заморозить, на нативные монеты и раскидывает их по тысячам новых кошельков. Потом переводит между сетями через мосты и сервисы обмена вроде THORChain, прогоняет через миксеры и в конце продаёт за наличные через OTC-брокеров. По данным Chainalysis, северокорейским группировкам на полный цикл нужно около 45 дней.

Можно ли отследить украденную криптовалюту?

Да. В публичных блокчейнах виден каждый перевод, поэтому аналитики могут вести деньги Binance от кошелька к кошельку. След обрывается на миксерах, в приватных сетях и там, где криптовалюту продают за наличные вне блокчейна. Отследить деньги ещё не значит их вернуть.

Почему THORChain остановил обмены?

31 октября реорганизация одного блока в Ethereum заставила THORChain дважды вернуть один и тот же депозит, и защитная система приостановила обмены в 10 сетях. 3 ноября пауза всё ещё действовала, и это замедлило отмывание денег Binance.

Какой взлом криптобиржи самый крупный в истории?

Взлом Binance 29 октября 2026 года, около $6,3–6,4 млрд. Предыдущий рекорд принадлежал Bybit: в феврале 2025 года у неё украли около $1,46–1,5 млрд.

Как мы собирали данные

Балансы атакующего. Bitcoin: балансы 19 адресов из оповещения ФБР от 31 октября 2026 года через открытый API mempool.space (поступления минус траты). Ethereum: балансы 608 адресов через публичную ноду Ethereum (eth_getBalance на блоке 26 333 588). Оба замера сделаны утром 3 ноября 2026 года. Стоимость посчитана по ценам Binance около 10:10 UTC 3 ноября: BTC $77 030, ETH $2 265,89, XRP $1,2548. SAFU: баланс биткоин-адреса SAFU Binance на mempool.space. Статус THORChain: эндпоинт inbound addresses в THORNode в 10:12 UTC 3 ноября. Минимум биткоина: часовые свечи бессрочного фьючерса BTCUSDT из API фьючерсов Binance.

Всё остальное взято из обновлений Binance о покрытии убытков, оповещения ФБР, данных Elliptic, Chainalysis, TRM Labs и СМИ по ссылкам выше, на 3 ноября 2026 года. «Замороженные» суммы показывают то, что аналитики смогли подтвердить в блокчейне. Эмитенты могли заморозить больше.

Торговля криптофьючерсами связана с риском. Статья носит информационный характер и не является инвестиционной или юридической рекомендацией.