Взломы криптовалют 2026. Кража $6,3 млрд у Binance, рекордные атаки и при чём здесь ИИ

Сколько взломов криптовалют было в 2026 году и сколько уже украли

Взломы криптовалют 2026 года побили рекорд. По подсчёту TRM на 30 октября, за год украли $8,7 млрд, и $6,36 млрд из них дал взлом Binance. Без Binance десять месяцев 2026-го стоят около $2,3 млрд, столько же потеряло одно первое полугодие 2025 года.

TRM Labs насчитала 207 инцидентов за первое полугодие 2026 года против примерно 83 годом ранее, а сумма упала до $972 млн против $2,3 млрд в первом полугодии 2025-го. Сама TRM предупредила, что падение объясняется лишь отсутствием кражи масштаба 2025 года.

Взлом Binance поднял годовой итог TRM до рекордных $8,7 млрд, это около 31% из примерно $28 млрд, похищенных в крипте за всю историю. Если вычесть $6,36 млрд Binance по оценке TRM (такой цифры не публикует ни один вендор), 2026 год остаётся около $2,3 млрд.

Падение на 57% у TRM и рост на 28% у CertiK расходятся из-за методологии. TRM держит кражу Bybit на $1,5 млрд в базе 2025 года, а CertiK её убирает и получает рост. Дашборд CertiK за третий квартал, обновлённый до Binance, добавляет $1,28 млрд на 255 инцидентах. Вендоров напрямую мы не сравниваем.

Наш собственный подсчёт по публичным отчётам об инцидентах, опубликованный 3 ноября, близок к TRM: $8,78 млрд украдено в 328 взломах, и 72% этой суммы приходится на Binance.

2026 год уже худший в истории: $8,78 млрд украдено в 328 взломах. Больше, чем за 2021-2023 годы вместе взятые. Один Binance дал 72% этой суммы.

На Северную Корею приходится 85% украденного в 2026 году с учётом Binance и около 45% без неё по подсчёту TRM, это $7,4 млрд за год и $12,8 млрд за всю историю. TRM отмечает, что лишь 13 из её 100 краж КНДР с 2017 года шли через код контракта.

Смарт-контрактные эксплойты дали у TRM 125 из 207 инцидентов полугодия, но гораздо меньшую долю денег, а собственный отчёт Blockaid за первое полугодие 2026 года связывает с атаками на операционную безопасность 74% из $1,1 млрд, украденных в 212 инцидентах. Инциденты Polymarket в 2026 году укладываются в ту же картину: пользователи теряли деньги через сайт, а не через контракты, как мы разбираем в обзоре взломов Polymarket.

Публичный портфель Lazarus Group от DropsTab Research фиксирует прежние кражи, приписанные группе, во главе с кражей у Bybit в 2025 году. Как за ним следить, разбираем в последнем разделе.

Взлом Binance и что показала кнопка заморозки

Взлом Binance 29 октября 2026 года унёс около $6,3 млрд, это крупнейшая кража крипты в истории. Эмитенты заморозили около 42-45% добычи в первые часы, почти всё в стейблкоинах. Binance возвращает клиентам деньги с собственного баланса, замороженное пока не двигалось.

Как взломали Binance

Сумма зависит от того, кто считал: около $6,34 млрд у Binance, $6,36 млрд у TRM, около $6,4 млрд у Chainalysis и $6,43 млрд по 11 сетям у Elliptic. Основной вывод занял около 20 минут с 20:05 UTC по подсчёту TRM, но код атакующего управлял главным кошельком Binance в Ethereum до 23:56 UTC.

TRM, Fireblocks и Blockaid относят взлом к компрометации инфраструктуры подписания без смарт-контрактного эксплойта. В 20:20 UTC одна транзакция несла 50 заранее подписанных авторизаций EIP-7702 от горячего кошелька Binance, собранных так, «чтобы хотя бы одна оказалась валидной при обработке», в трактовке Fireblocks. EIP-7702, обновление аккаунтов Ethereum с мая 2025 года, позволяет одной подписью отдать код кошелька контракту.

Батч передал кошелёк контракту-«свиперу» атакующего, который одной транзакцией увёл 167 464 ETH и $1,615 млрд USDT, затем со второго кошелька ушли 780 млн USDC. По данным TRM, подготовка шла минимум 36 часов, с финансированием через Tornado Cash.

Версия Binance о точке входа менялась дважды. Свой первый пост биржа посвятила одному взломанному компьютеру.

Предварительное расследование Binance предполагает, что инцидент безопасности может быть связан со взломанным ноутбуком инженера DevOps. Через него атакующий получил доступ к сервисному контейнеру и отправлял несанкционированные транзакции вывода. Признаков утечки приватных ключей кошельков мы не обнаружили.

Второй пост Binance в тот же день сообщил о дополнительных точках проникновения.

Обновление расследования. Первоначально мы предполагали, что инцидент мог быть связан со взломанным ноутбуком, однако последующая проверка выявила дополнительные точки проникновения. … Оттоки прекратились, когда мы приостановили вывод средств. Мы продолжаем работать с партнёрами над заморозкой затронутых активов и на данный момент заморозили около $3 млрд.

Предварительные выводы Binance, опубликованные 3 ноября в её аккаунте в X, описывают кампанию длиной в несколько месяцев.

• Июнь 2026, заражённый установщик. Инженер Wallet DevOps искал популярный ИИ-инструмент для программирования и скачал подменённую установку Homebrew. Binance это обнаружила, заменила устройство и сменила учётные данные, но атакующие уже узнали, кто работает в команде кошельков.
• Сентябрь, фейковое собеседование. Второго инженера нашли на платформе поиска работы, он прошёл два раунда собеседований с фиктивной компанией и скачал тестовое «задание» на рабочий компьютер. По словам Binance, защита конечных устройств пропустила zero-day-вредонос внутри.
• 20 октября, внутренний ИИ-инструмент как плацдарм. С этого компьютера атакующие через внутренний ИИ-инструмент Binance получили контроль над первым инженером и ещё одним, третьим, а на машине DevOps-инженера нашли токен деплоя контейнеров.
• 29 октября, сервис подписания. С 17:15 до 19:56 UTC они заходили на компьютер третьего инженера, развернули контейнер с украденными учётными данными и запустили скрипт, который добрался до сервиса подписания кошельков.

Отчёт также поправляет фразу от 30 октября о том, что оттоки прекратились с паузой выводов. Делегирования EIP-7702 жили ончейн и продолжали работать вне системы вывода Binance, а у горячего кошелька на MPC (многосторонних вычислениях) не было единого ключа, чтобы отозвать их разом. Это собственные и предварительные выводы Binance, независимая проверка ещё впереди.

Почему атакующий менял стейблкоины на ETH

Атакующий спешил обменять стейблкоины до заморозок эмитентов. По подсчёту Bitquery, $729 млн похищенных USDT ушли до срабатывания заморозок. 495 млн сменили на ETH через UniswapX и 1inch с переплатой около 16%, ещё 234 млн ушли в TRX на SunSwap, и спешка обошлась атакующему примерно в $119 млн относительно рыночных цен. Elliptic и Hacken оценивают конвертацию до заморозок примерно в $786 млн.

Aave позволила превратить замораживаемый USDT в ETH. Атакующий внёс 60 млн USDT в Aave V3 и занял 19 762 WETH (около $44,6 млн), по записи управления Aave. Чёрный список кошельков не затрагивает залог в общем резерве протокола, и на 3 ноября позиция оставалась открытой.

Chainalysis описала схему в X по мере её развития.

Взломщики Binance спешат опередить заморозки стейблкоинов. Один отслеживаемый нами метод - прятать стейблкоины в DeFi-протоколах, а затем забирать их на новые чистые адреса. … Circle и Tether уже обеспечили заморозки на $2,8 млрд. … с одной стороны идёт обмен замораживаемых стейблкоинов, с другой незамораживаемого ETH.

Как похищенное двигалось через Tron

На Tron держалось около $628 млн добычи, около 613 млн USDT и 46 млн TRX по подсчёту TRM, а Tether заморозила в этой сети около 379 млн USDT по подсчёту Bitquery. Elliptic намерила выплаты по $7-11 млн в час 31 час подряд примерно на 200 кошельков, «почти наверняка автоматизированные».

Каждый эмитент с кнопкой нажал её в первый час. Глава Tether Паоло Ардоино опубликовал с аккаунта @paoloardoino первый итог заморозок в X в 21:25 UTC 29 октября.

Tether заморозила более 1,567 млрд USDT, связанных с возможным взломом биржи Binance. Защита индустрии и наших партнёров - наш главный приоритет.

Первый итог охватывал все сети и вырос примерно до 1,76 млрд USDT. Circle заморозила 823 млн USDC, WLFI заблокировала 27,8 млн своего USD1, совет безопасности Arbitrum заморозил около $30 млн, а Ripple заморозила 40,5 млн RLUSD. Вместе заморозки дают около $2,7 млрд, или 42% добычи, по подсчёту TRM и $2,85 млрд, или 44-45%, по подсчётам Elliptic и Binance.

За два месяца до Binance сеть Cronos пошла дальше любого эмитента. Её валидаторы остановили сеть и откатили её на 10 961 блок, почти два часа истории, чтобы отменить эксплойт Tectonic. Откат развернул около $111,2 млн, стёр посторонние транзакции из того же окна и не достал около $9,19 млн, которые уже ушли через мосты.

Команда DropsTab собрала 15 таких вмешательств, от форка The DAO в 2016 году до хода совета безопасности Arbitrum со средствами хакера Binance.

Не твои ключи, не твои монеты. Если только сеть не решит иначе. На этой неделе Arbitrum переместил $30 млн хакера Binance. Без ключа, без подписи. Второй раз за год.

Ничего из замороженного к 3 ноября не освободили. Снапшот Bitquery того же дня даёт у атакующего около $3,0 млрд, из них $1,40 млрд в BTC, $1,22 млрд в ETH, $292 млн в XRP и $75 млн в SOL. Стек ETH, около 540 000 токенов, включает ETH, купленные на обменянные стейблы.

Если вы держите USDT или USDC, эмитент может точно так же заморозить ваш баланс.

Кто за атакой и как отвечает Binance

Атрибуция остаётся оценкой аналитиков, и мы подаём её именно так. TRM с высокой уверенностью приписывает кражу северокорейской группе TraderTraitor, а Chainalysis опубликовала свою версию в X.

Наши исследователи увидели, что средства, украденные КНДР при взломе Bitget в прошлом месяце, смешиваются со средствами, украденными у Binance. С высокой степенью уверенности мы считаем, что за взломом Binance на $6,4 млрд стоит КНДР.

Алерт ФБР от 31 октября называет Северную Корею ответственной за кражу более $6 млрд и публикует список адресов атакующих. Отчёт Binance от 3 ноября ссылается на вывод ФБР об ответственности КНДР, а сама КНДР обвинения отвергла.

Binance пообещала покрыть все потери фондом SAFU и средствами компании и сообщает, что к 31 октября 98% затронутых токен-активов восполнены, это видно на её странице Proof of Reserves. Это заявления самой биржи, независимого аудита за ними нет.

Выводы открыли поэтапно с 1 ноября, первыми Bitcoin и Ethereum, и в первый день с биржи вывели более $3,6 млрд.

Как ИИ снижает порог входа для атак

Собственный отчёт Binance ставит ИИ-инструменты на путь атаки. Взлом начался с фейкового установщика ИИ-инструмента для программирования, а дальше атакующие прошли через внутренний ИИ-инструмент. Кражу ИИ не подписывал, и ни один вендор не измерил долю ИИ в потерях от взломов. ИИ измеримо масштабирует скам.

Выводы Binance от 3 ноября стали первым первоисточником, который ставит ИИ на путь рекордной кражи, причём в двух местах. Первая точка опоры появилась, когда инженер искал популярный ИИ-инструмент для программирования и установил подменённый пакет Homebrew, а 20 октября атакующие через собственный внутренний ИИ-инструмент Binance добрались ещё до двух инженеров. Ни один из этих шагов кражу не подписывал. ИИ-инструменты просто оказались доверенной поверхностью, через которую атакующие могли пройти, как и фейковое собеседование. До этого отчёта TRM, Fireblocks и тред на форуме Aave роли ИИ не называли.

Chainalysis нашла, что схемы с ИИ приносят $3,2 млн на операцию против $719 тыс. без ИИ, примерно в 4,5 раза больше. Индекс ИИ в преступности TRM поднялся до 54 из 100 против примерно 28 в 2024 году, и единственная «зрелая» категория в нём это скам. Мошенничество с подменой личности выросло примерно на 1 400% год к году по данным Chainalysis о скаме, эту волну мы разбираем в материале о крипто-скаме с подменой личности.

Именованные потери от AI-агентов остались мелкими. Blockaid связывает потерю Bankr около $216 тыс. с prompt injection в мае, CertiK привязывает потерю Zerion на $100 тыс. к северокорейской социнженерии с ИИ, и это единственные кражи AI-агентов с долларовой оценкой.

Крупнейший взлом 2026 года у ИИ-проекта прошёл через скомпрометированные ключи, а не через ИИ. Сентябрьская несанкционированная эмиссия в ASI Alliance создала около 2,3 млрд токенов FET, к 3 ноября сожжение и переобеспечение не подтверждены, а часть обналичили примерно в 523 ETH по трассировке Bitquery.

Если AI-агент вроде Bankr распоряжается средствами вашего кошелька, это делегирование того же типа, что сработало против Binance, и проверка EIP-7702 из последнего раздела относится и к нему. Бесплатные категории DropsTab x402-экосистема и AI-агенты собирают агентов, которые работают с деньгами через платёжный стандарт x402.

ИИ сделал скам 2026 года прибыльнее, а в рекордной краже ИИ-инструменты стали частью пути к украденному доступу к подписанию. Более дальняя угроза тем же ключам это квантовые компьютеры, им посвящён наш разбор квантово-устойчивых блокчейнов.

Что происходит с токеном после взлома

Взлом биржи не меняет предложение токена, и объём BNB остался равен кэпу 131 511 243. Взлом с эмиссией меняет предложение, и его исход зависит от сжигания, переобеспечения, перевыпуска или миграции и от того, мог ли кто-то заморозить напечатанное.

Российский кейс показывает то же самое. 16 апреля 2026 года биржа Grinex заявила о краже более 1 млрд рублей, и на предложении токенов это не сказалось (Коммерсантъ).

Эмиссионный эксплойт создаёт предложение, которое либо откатывают, либо оно висит над рынком, и октябрь добавил два случая, проект Cysic и сеть Initia. Таблица ведёт все проверенные эмиссии 2026 года с итогом для предложения и без цен. BNB в ней нет, потому что кража с биржи только перемещает балансы.

Баг в смарт-контрактном движке Initia сработал в день запуска, атакующий напечатал 2 млн мостовых AUSD 23 октября и обналичил около $2,7 млн, а Agora заявляет, что у неё нет контрактов AUSD на Initia, так что эмитенту замораживать было нечего.

У токенов без потолка сверяйтесь с датированным срезом предложения. В августе напечатали около 4 млрд ONE, примерно 26% предложения на тот момент по цифрам самой Harmony, это можно проверить на странице токена Harmony. Syscoin свою эмиссию сжёг.

Протокол Drift стоит вне таблицы намеренно. Он потерял около $285 млн на фейковом залоге, и ни один DRIFT напечатан не был.

Immunefi проследила 82 взломанных токена за 2024-2025 годы, около 84% из них через полгода были ниже до-взломной цены при медианном падении 61%. Когда компания рушится с деньгами внутри, наш трекер банкротств криптокомпаний показывает, что возвращают кредиторам.

Токен rsETH от KelpDAO закрыл план восстановления финальным траншем 20 373,72 rsETH, и токен полностью обеспечен с момента снятия паузы.

В приватных сетях целостность предложения бывает невозможно проверить вовсе, с чем держатели Zcash столкнулись между 2022 и 2026 годами, этот кейс разобран в сравнении Zcash и Bitcoin.

Крупнейшие взломы криптовалют 2026 года и их векторы

Четыре из пяти крупнейших краж 2026 года обошлись без бага в смарт-контракте. Binance, Bitget, KelpDAO и Drift прошли через ключи, подписания или атаку на людей. Баг кода у Liquid Network остаётся единственным крупным исключением.

По размеру Binance обходит прошлый рекорд Bybit более чем вчетверо, а все остальные кражи 2026 года остались ниже добычи сети Ronin в $625 млн из 2022 года.

За все годы с 2010-го команда DropsTab насчитала более 1 200 взломанных проектов и около $27,6 млрд украденного и свела крупнейшие из них в одну схему.

Почти вся крипта хотя бы раз была взломана. 1 200+ проектов. $27,6 млрд украдено.

Bitget это второй биржевой взлом года, за пять недель до Binance, и его размер спорный. CEO Gracy Chen оценила кражу 24 сентября в $351,6 млн, Halborn и CertiK в $387,5 млн, ZachXBT в $388 млн. Halborn связала вход с уязвимостью в стороннем security-продукте, которая открыла внутренние учётные данные.

ZachXBT позже связал обе кражи ончейн и написал об этом в X.

Обновление. Похищенные средства взломов Binance на $6,3 млрд и Bitget на $388 млн 45 минут назад смешаны на одном адресе после прибытия через THORChain. Это указывает, что оба инцидента, вероятно, дело одних рук.

Liquid остаётся единственной крупной потерей 2026 года от бага в коде. Пост-мортем Blockstream описывает баг кеширования range-proof в софте Elements, который напечатал около 4 000 необеспеченных L-BTC без компрометации ключей. Самопровозглашённые white hats вернули 3 400 BTC после переговоров, около 602 BTC не возвращены.

Мост KelpDAO доверял одному верификатору протокола LayerZero, схеме 1-из-1, и атакующие скормили ему ложные данные. Атакующие Drift заранее подписали передачу админа, которую Solana позволила исполнить позже. Ни один из этих взломов не жил в коде контрактов.

Tectonic, кредитный протокол в сети Cronos, опустошили через залог. 30 августа атакующий взвинтил цену малоликвидного токена TONIC, внёс его в залог и занял $120,4 млн на девяти рынках, по данным пост-мортема Cronos. Затем сама сеть развернула большую часть потери.

Основатель Aave Стани Кулечов разобрал, как эксплойт KelpDAO оставил кредитный протокол с плохим долгом около $200 млн. Видео на английском, субтитры включаются в настройках YouTube.

Взлом Bybit примерно на $1,5 млрд в феврале 2025 года держал рекорд до Binance. Его иск в США получил предварительный судебный запрет в августе 2026, возвращено $48,4 млн и заморожено $30,5 млн, и это всё ещё во многом символический результат против атакующего уровня государства.

Радиус поражения взлома за пределами токена

Запасы в публично известных кошельках Binance упали на 24,5% за неделю после взлома по данным DefiLlama, это около $41,6 млрд. Большая часть падения выше общерыночного движения. Крупная кража запускает бегство и ротацию, и они стоят дороже самой суммы.

3 ноября мы сняли через DefiLlama TVL публично известных кошельков площадок. На фоне базовой линии −4,4%, среднего Bybit и Robinhood, примерно 20,1 процентного пункта падения Binance, около $34 млрд, приходятся на саму биржу, а кража объясняет лишь около 3,8 пункта. Часть избытка может объясняться ценой BNB.

OKX прибавила 59,8%, около $10,8 млрд, примерно четверть того, что ушло из Binance, за неделю, когда рынок падал.

Протокол Aave пострадал от обоих мегавзломов 2026 года. После KelpDAO в апреле он нёс плохой долг, и его TVL упала примерно с $26,4 млрд до $14,3 млрд за шесть дней, а в октябре его аварийный мультисиг за считанные часы заморозил 292 рынка.

Tether стоит на обоих концах истории с заморозками, как власть и как инвестор. В её профиле инвестора на DropsTab 41 монета, и со взломами этого года связан только Drift, возможно ещё LayerZero.

По данным DropsTab о финансировании, Drift привлёк около $52 млн от Multicoin, Polychain, Jump и Alameda, потерял около $285 млн и затем получил спасительную кредитную линию от Tether, той самой компании, что заморозила похищенный USDT Binance. В наших данных она около $145 млн, при запуске токена возмещения сообщали о $147,5 млн.

Отслеживание предложения и делистинга взломанного токена на DropsTab

Таб Hacked & Exploited Tokens на DropsTab ставит рядом предложение взломанного токена, оценку CertiK и число бирж, алерты Drops Bot показывают, куда движется незамороженная часть добычи, а портфель Lazarus фиксирует приписанные КНДР кражи. Вернуть деньги не помогает ни один из них, и все три бесплатны.

Три бесплатных инструмента помогут следить за ситуацией после взлома.

Проверяйте предложение и площадки в табе Hacked & Exploited Tokens. Таб от DropsTab Research собирает токены, которые ещё торгуются после эксплойта 2026 года, с предложением в обращении и его долей от общего, числом бирж и оценкой CertiK, сортировка и копирование в Tab Builder бесплатны. Сравнивайте предложение с до-взломной цифрой: эмиссия его меняет, а взлом площадки нет. В текущем табе у SAND и FET оценки CertiK уровня AA, у DRIFT стоит BBB, у CYS BB, а у WEMIX покрытия CertiK нет.

Ставьте алерты на опубликованные адреса атакующих в Drops Bot. Телеграм-бот Drops Bot отслеживает любой публичный адрес в Telegram, на бесплатном тарифе 20 кошельков в 30 сетях, включая сеть Tron, с фильтрами направления IN и OUT и суммы, своими метками и без приватных ключей. Гайд по настройке алертов ведёт по конфигурации. Используйте только адреса, опубликованные ФБР, TRM, Chainalysis или Binance. Как проверить, кому принадлежит кошелёк, описывает наш гайд по отслеживанию крипто-китов, а списки адресов быстро устаревают.

Подпишитесь на портфель Lazarus. Трекер Lazarus фиксирует приписанные группе кражи прошлых лет во главе с Bybit. Адреса атакующих Binance перечислены в алерте ФБР от 31 октября, и следить за движением добычи Binance можно алертами на эти адреса. Лента подписок в русском интерфейсе называется «Подписки».

Как проверить делегирования EIP-7702 на своём адресе

Взлом Binance переиспользовал атаку, которая уже бьёт по розничным кошелькам. EIP-7702, живой с апгрейда Pectra у сети Ethereum 7 мая 2025 года, позволяет одной подписью делегировать код кошелька контракту. Делегирование живёт до сброса на нулевой адрес, а подписанное без указания сети действует во всех EVM-сетях.

Список авторизаций EIP-7702 на Etherscan и Revoke.cash показывают делегирования, не трогая средства, а Etherscan ещё и помечает фишинговых делегатов. Отзыв идёт в кошельке, в MetaMask в разделе данных аккаунта и смарт-аккаунта, отдельно по каждой сети, и стоит газа.

Исследование на arXiv от декабря 2025 года просканировало авторизации EIP-7702 в Ethereum и нашло более 26 000 адресов-жертв, почти половина авторизаций держится у делегатов, связанных с преступностью, а крупнейшая единичная потеря превысила 3 300 ETH.