Криптохаки 2026, злам Binance на $6,3 млрд, рекордні атаки і роль ШІ

Скільки криптовалюти викрали хакери у 2026 році станом на 3 листопада

Криптохаки 2026 року принесли рекордні $8,7 млрд збитків за підрахунком TRM станом на 30 жовтня. Злом Binance 29 жовтня дав $6,36 млрд з цієї суми. Без нього десять місяців 2026 року коштували близько $2,3 млрд.

Перше півріччя 2026 року стало рекордом за кількістю атак. TRM Labs нарахувала 207 інцидентів за січень-червень проти близько 83 роком раніше, з викраденими $972 млн проти $2,3 млрд за перше півріччя 2025 року, і попередила, що падіння сум пояснюється лише відсутністю крадіжки масштабу 2025 року.

Злом Binance підняв річний підсумок TRM до рекордних $8,7 млрд, це близько 31% з приблизно $28 млрд, коли-небудь викрадених у крипті. Якщо відняти збиток Binance у $6,36 млрд за тією ж TRM, 2026 рік тримається близько $2,3 млрд. Цієї цифри без Binance не публікує жоден вендор.

Розбіжні заголовки про півріччя пояснюються методологією. TRM залишає крадіжку Bybit на $1,5 млрд у базі 2025 року, тому її падіння читається як −57%, а CertiK виключає Bybit і бачить +28%. Дашборд CertiK за третій квартал, останнє оновлення перед зламом Binance, додає $1,28 млрд на 255 інцидентах. Дані різних вендорів ми між собою не порівнюємо.

Наш власний підрахунок, зібраний із публічних звітів про інциденти і опублікований 3 листопада, близький до TRM: $8,78 млрд у 328 зломах, з яких на Binance припадає 72%.

2026 рік уже найгірший в історії: $8,78 млрд викрадено у 328 зломах. Більше, ніж 2021-2023 роки разом. Тільки на Binance припадає 72%.

На криптохаки Північної Кореї TRM відводить 85% вартості, викраденої у 2026 році разом із Binance, і близько 45% без неї, це $7,4 млрд за рік і $12,8 млрд за весь час. Лише 13 зі 100 крадіжок КНДР з 2017 року, за даними TRM, використовували код контракту.

TRM нарахувала експлойти смарт-контрактів у 125 інцидентах зі 207, але грошей ці атаки принесли значно менше. Власний звіт Blockaid за перше півріччя 2026 року пов'язує з атаками на операційну безпеку 74% з $1,1 млрд, викрадених у 212 інцидентах. Інциденти Polymarket у 2026 році вкладаються в ту саму картину: користувачі втрачали гроші через сайт, а не через контракти, як ми розбираємо в огляді зламів Polymarket.

Відкритий портфель Lazarus Group від DropsTab Research фіксує раніше приписані групі крадіжки, найбільша з яких - злам Bybit 2025 року. Як на нього підписатися, розбираємо в останньому розділі.

Злам Binance. Як викрали $6,3 млрд і що вдалося заморозити

Злом Binance 29 жовтня 2026 року вивів близько $6,3 млрд і став найбільшою крадіжкою крипти в історії. Заморозки емітентів заблокували приблизно 42-45% суми, переважно стейблкоїни. Binance виплачує клієнтам власні кошти.

Як зламали Binance

Розмір залежить від того, хто рахував: близько $6,34 млрд за Binance, $6,36 млрд за TRM, близько $6,4 млрд за Chainalysis і $6,43 млрд на 11 мережах за Elliptic. Ядро виведення, за TRM, тривало близько 20 хвилин з 20:05 UTC (22:05 за Києвом), але код зловмисника керував основним гаманцем Binance у мережі Ethereum до 23:56 UTC (01:56 за Києвом).

TRM, Fireblocks і Blockaid класифікують злом як компрометацію інфраструктури підписання, без експлойту смарт-контракту. О 20:20 UTC (22:20 за Києвом) одна транзакція несла 50 попередньо підписаних авторизацій EIP-7702 від хот-гаманця біржі. За читанням Fireblocks, зловмисник розраховував, що хоча б одна авторизація пройде при обробці. EIP-7702, оновлення акаунтів Ethereum, активне з травня 2025 року, дозволяє одним підписом віддати код гаманця зовнішньому контракту.

Пакет передав гаманець sweeper-контракту зловмисника, який однією транзакцією забрав 167 464 ETH і $1,615 млрд USDT, а потім 780 млн USDC з іншого гаманця. TRM простежує підготовку щонайменше на 36 годин назад, фінансування йшло через Tornado Cash.

Пояснення Binance щодо точки входу змінювалося двічі. Перший пост у X назвав один скомпрометований комп'ютер.

«Початкове розслідування Binance вказує, що інцидент безпеки може стосуватися скомпрометованого ноутбука DevOps-інженера. Через нього зловмисник отримав доступ до сервісного контейнера і надсилав несанкціоновані транзакції виведення. Доказів витоку приватних ключів гаманця ми не знайшли.»

Наступний пост Binance того ж дня повідомив про нові точки проникнення.

«Оновлення розслідування. Початкове розслідування вказувало, що інцидент міг стосуватися скомпрометованого ноутбука, однак подальша перевірка виявила додаткові точки проникнення. ... Відтоки припинилися, коли ми зупинили сервіс виведення. Ми працюємо з партнерами над заморозкою зачеплених активів і на цей момент заморозили близько $3 млрд.»

Попередні висновки Binance, опубліковані 3 листопада в її акаунті X, описують кампанію, що тривала місяцями.

• Червень 2026, отруєний інсталятор. DevOps-інженер команди гаманців шукав популярний інструмент ШІ-кодування і завантажив підроблену інсталяцію Homebrew. Binance це виявила, замінила пристрій і змінила облікові дані, але зловмисники вже дізналися, хто працює в команді гаманців.
• Вересень, фейкова співбесіда. До другого інженера звернулися на платформі пошуку роботи. Він пройшов два раунди співбесід у вигаданій компанії і завантажив тестове «завдання» на робочий комп'ютер. За словами Binance, захист кінцевих пристроїв не помітив zero-day шкідника всередині.
• 20 жовтня, внутрішній інструмент ШІ як трамплін. З цього комп'ютера зловмисники через внутрішній інструмент ШІ Binance взяли під контроль першого інженера і ще одного, третього, а на машині DevOps-інженера знайшли токен для розгортання контейнерів.
• 29 жовтня, сервіс підписання. Між 17:15 і 19:56 UTC (19:15 і 21:56 за Києвом) вони зайшли на комп'ютер третього інженера, розгорнули контейнер з викраденими обліковими даними і запустили скрипт, який дістався до сервісу підписання гаманця.

Звіт також виправляє тезу з поста 30 жовтня, що відтоки припинилися після паузи виведення. Делегування EIP-7702 жили ончейн і працювали поза системою виведення Binance, а з MPC-хот-гаманцем (multi-party computation, багатосторонні обчислення) не було одного ключа, щоб відкликати їх разом. Висновки належать самій Binance і є попередніми, до незалежної перевірки.

Навіщо зловмисники міняли стейблкоїни на ETH

Зловмисник гнав обміни, поки емітенти не встигли натиснути заморозку. За підрахунком Bitquery, $729 млн викраденого USDT втекли до заморозок. З них 495 млн конвертували в ETH через UniswapX і 1inch із переплатою близько 16%, ще 234 млн пішли в TRX на SunSwap, і поспіх коштував зловмиснику близько $119 млн відносно ринкових цін. Elliptic і Hacken оцінюють конвертацію до заморозок приблизно у $786 млн.

Aave дозволив перетворити заморожуваний USDT на ETH. Зловмисник вніс 60 млн USDT у Aave V3 і зайняв 19 762 WETH, близько $44,6 млн, за записом governance Aave. Блеклист гаманця не дістає до забезпечення в спільному резерві протоколу, і станом на 3 листопада позиція лишалася відкритою.

Chainalysis відстежувала той самий патерн у реальному часі в X.

«Зловмисники Binance поспішають на крок випередити заморозки стейблкоїнів. Один метод, який ми відстежуємо, полягає в триманні викрадених стейблкоїнів у DeFi-протоколах. Потім їх заявляють на нових чистих адресах. ... Circle і Tether уже дали разом $2,8 млрд заморозок. ... з одного боку йдуть заморожувані стейблкоїни, з іншого - незаморожуваний ETH.»

Як частина коштів пройшла через Tron

Близько $628 млн суми лежало на Tron, це близько 613 млн USDT і 46 млн токенів TRX за підрахунком TRM, і Tether заморозила там приблизно 379 млн USDT за підрахунком Bitquery. Elliptic виміряла виплати по $7-11 млн щогодини 31 годину підряд приблизно на 200 гаманців і назвала їх майже напевно програмними.

Кожен емітент із кнопкою натиснув її протягом першої години. Голова Tether Паоло Ардоїно опублікував перший підсумок заморозок з акаунта @paoloardoino о 21:25 UTC (23:25 за Києвом) 29 жовтня в X.

«Tether заморозила понад 1,567 млрд USDT, пов'язаних із можливим зломом біржі Binance. Захист індустрії та наших партнерів - наш головний пріоритет.»

Перший підсумок покривав усі мережі і далі ріс, до близько 1,76 млрд USDT. Circle заморозила 823 млн USDC, WLFI заблокувала 27,8 млн свого USD1, Рада безпеки Arbitrum заморозила близько $30 млн, а Ripple - 40,5 млн RLUSD. Разом заморозки дають близько $2,7 млрд, або 42% здобичі, за підрахунком TRM і $2,85 млрд, або 44-45%, за даними Elliptic і Binance.

За два місяці до Binance мережа Cronos пішла далі за будь-якого емітента. Її валідатори зупинили мережу і відкотили її на 10 961 блок, майже дві години історії, щоб скасувати експлойт Tectonic. Відкат повернув близько $111,2 млн, стер сторонні транзакції з того самого вікна і не дістав близько $9,19 млн, які вже пішли через мости.

Команда DropsTab зібрала 15 таких втручань, від форку The DAO у 2016 році до кроку Ради безпеки Arbitrum щодо коштів хакера Binance.

Не ваші ключі - не ваші монети. Хіба що мережа вирішить інакше. Цього тижня Arbitrum перемістив $30 млн хакера Binance. Без ключа, без підпису. Удруге за рік.

Станом на 3 листопада жодну заморозку не відпустили. Знімок Bitquery того дня оцінює залишок у зловмисника приблизно у $3,0 млрд, це $1,40 млрд у BTC, $1,22 млрд в ETH, $292 млн у XRP і $75 млн у SOL. Стек із приблизно 540 000 ETH включає ETH, куплені на обміняні стейблкоїни.

Якщо ви тримаєте USDT або USDC, емітент так само може заморозити й ваш баланс.

Хто стоїть за атакою і що відповідає Binance

На питання, хто зламав Binance, є поки лише оцінні відповіді. TRM з високою впевненістю приписує крадіжку підрозділу КНДР TraderTraitor. Chainalysis опублікувала власний висновок в X.

«Наші слідчі побачили, що кошти, викрадені КНДР при зломі Bitget минулого місяця, змішувалися з коштами з Binance. Ми з високим ступенем впевненості вважаємо, що КНДР відповідальна за злом Binance на $6,4 млрд.»

Алерт ФБР від 31 жовтня стверджує, що КНДР відповідає за крадіжку понад $6 млрд, і містить список адрес зловмисників. Звіт Binance від 3 листопада посилається на висновок ФБР про відповідальність Північної Кореї, а сама КНДР звинувачення відкидає.

Binance пообіцяла покрити всі збитки з фонду SAFU і корпоративних коштів і повідомляє, що до 31 жовтня поповнено 98% зачеплених токен-активів, це видно на її сторінці Proof of Reserves. Це заяви самої Binance, незалежного аудиту за ними немає.

Виведення відкривали поетапно з 1 листопада, першими Bitcoin і Ethereum. У перший день клієнти вивели понад $3,6 млрд нетто.

Найбільші криптохаки 2026 року і способи атак

Чотири з п'яти найбільших крадіжок 2026 року обійшлися без багу в смарт-контракті. Binance, Bitget, KelpDAO і Drift пройшли через ключі, підписання або соціальну інженерію. Кодова помилка Liquid Network лишається єдиним великим винятком.

За розміром Binance перевищує попередній рекорд Bybit більш ніж учетверо. Усі інші крадіжки 2026 року лишилися нижче здобичі мережі Ronin у $625 млн від 2022 року.

За всі роки з 2010-го команда DropsTab нараховує понад 1200 зламаних проєктів і близько $27,6 млрд викраденого, а найбільші з цих зламів зведено на одній діаграмі.

Майже всю крипту хоч раз зламали. 1200+ проєктів. $27,6 млрд викрадено.

Bitget - інша хакерська атака на криптобіржу 2026 року, за п'ять тижнів до Binance, і її розмір досі спірний. Глава біржі Грейс Чен оцінила крадіжку 24 вересня у $351,6 млн, Halborn і CertiK - у $387,5 млн, ZachXBT - у $388 млн. Halborn простежила вхід через вразливість у сторонньому security-продукті, яка відкрила облікові дані внутрішньої мережі.

ZachXBT пізніше зв'язав обидві крадіжки ончейн в X.

«Оновлення. Викрадені кошти із зламів Binance на $6,3 млрд і Bitget на $388 млн 45 хвилин тому змішалися на одній адресі після прибуття через THORChain. Це вказує, що за обома інцидентами, імовірно, стоїть один виконавець.»

Liquid Network - єдиний великий злам 2026 року через помилку в коді. Пост-мортем Blockstream описує баг кешування range-proof у програмі Elements, який створив близько 4000 незабезпечених L-BTC, і жоден ключ не було скомпрометовано. Самопроголошені white hats, тобто етичні хакери, повернули 3400 BTC після переговорів, ще близько 602 BTC досі не повернуті.

Міст KelpDAO довіряв єдиному верифікатору протоколу LayerZero, налаштуванню 1-of-1 DVN, і зловмисники підсунули йому фейкові дані. Атакуючі Drift заздалегідь підписали передачу адміна, яку Solana дозволила виконати пізніше. Жодна з цих вразливостей не жила в коді контракту.

Tectonic, кредитний протокол на Cronos, злили через забезпечення. 30 серпня зловмисник завищив ціну малоліквідного токена TONIC, вніс його як забезпечення і позичив $120,4 млн у дев'яти ринках, згідно з пост-мортемом Cronos. Більшу частину збитку потім скасувала сама мережа.

Засновник Aave Стані Кулечов розібрав, як експлойт KelpDAO залишив протоколу кредитування близько $200 млн поганого боргу.

Злам Bybit приблизно на $1,5 млрд у лютому 2025 року тримав рекорд до Binance. Його позов у США домігся попередньої судової заборони у серпні 2026 року, повернуто $48,4 млн і заморожено $30,5 млн. Це досі мізерно проти атакуючого рівня держави.

Що відбувається з токеном після зламу

Злом біржі не змінює емісію токена, і загальний обіг BNB досі дорівнює капу 131,5 млн монет. Несанкціонований мінт навпаки змінює емісію. Наслідок залежить від спалювання, ре-бекингу, повторного випуску або міграції.

Несанкціонований мінт створює емісію, яку або відкочують, або вона висить над ринком, і жовтень додав два випадки, проєкт Cysic і проєкт Initia. Таблиця збирає всі перевірені мінт-події 2026 року з наслідками для емісії і без цін. BNB у ній немає, бо злам біржі лише пересуває баланси.

Баг у рушії смарт-контрактів Initia, використаний у день запуску, дозволив зловмиснику 23 жовтня намінити 2 млн місткових AUSD і вивести близько $2,7 млн, а Agora заявляє, що не має контрактів AUSD на Initia, тож емітент не міг нічого заморозити.

У токенів без капу лишається звіряти емісію з датованим знімком. У серпні зловмисники намінили близько 4 млрд ONE, приблизно 26% емісії на той момент за даними Harmony, і це можна перевірити на сторінці Harmony. Syscoin свій мінт спалив.

Протокол Drift свідомо не потрапив до таблиці. Він втратив близько $285 млн на фейковому забезпеченні, і жодного DRIFT не намінили.

Immunefi простежила 82 зламані токени за 2024-2025 роки, і близько 84% з них через пів року торгувалися нижче ціни до зламу, медіанне падіння 61%. Коли криптофірма лягає з грошима всередині, рух компенсацій кредиторам ми ведемо в трекері криптобанкрутств.

Токен rsETH від KelpDAO закрив план відновлення фінальним траншем 20 373,72 rsETH, і з моменту зняття паузи токен повністю забезпечений.

У приватних мережах цілісність емісії може бути неперевірною взагалі, як тримачі Zcash переконалися між 2022 і 2026 роками, ми розбирали це у порівнянні Zcash і Bitcoin.

Радіус ураження зламу понад викрадену суму

Загальний баланс публічних гаманців Binance за даними DefiLlama впав на 24,5% за тиждень після зламу. Це близько $41,6 млрд, і більша частина перевищує спільний ринковий рух. Справжня шкода мега-злому - це відплив і ротація, які він запускає.

3 листопада ми підтягнули з DefiLlama TVL публічних гаманців. Відносно базової лінії однолітків у −4,4%, середнього руху Bybit і Robinhood, приблизно 20,1 процентного пункту падіння Binance, близько $34 млрд, припадає на саму біржу, а крадіжка пояснює лише близько 3,8 пункту. Частину надлишку може пояснювати ціна BNB.

OKX зросла на 59,8%, приблизно на $10,8 млрд, це близько чверті того, що пішло з Binance, і це за тиждень, коли ринок падав.

Протокол Aave зачепили обидва мега-зломи 2026 року. Після KelpDAO у квітні протокол поніс поганий борг, і його TVL впав з близько $26,4 млрд до $14,3 млрд за шість днів, а в жовтні його аварійний мультисиг за лічені години заморозив 292 ринки.

Tether займає обидва кінці історії заморозок, як влада і як інвестор. Її профіль інвестора на DropsTab налічує 41 монету в портфелі, і з атаками року пов'язані лише Drift і, можливо, LayerZero.

Записи DropsTab про фінансування показують, що Drift зібрав близько $52 млн від Multicoin, Polychain, Jump і Alameda, втратив близько $285 млн і потім потребував порятункової кредитної лінії від Tether, компанії, що заморозила викрадений USDT з Binance. У наших записах на неї припадає близько $145 млн, а на момент запуску recovery-токена повідомляли про близько $147,5 млн.

Що насправді відомо про роль штучного інтелекту

Звіт самої Binance ставить інструменти ШІ на шлях атаки. Прорив почався з підробленого інсталятора для інструменту ШІ-кодування, а далі атакуючі пройшли через внутрішній інструмент ШІ біржі. Крадіжку підписав не ШІ, і жоден вендор не вимірює частку ШІ у хак-збитках. ШІ підтверджено масштабує скам.

З висновками Binance від 3 листопада першоджерело вперше поставило ШІ на шлях рекордної крадіжки, у двох місцях. Перший прорив стався, коли інженер шукав популярний інструмент ШІ-кодування і встановив підроблений пакет Homebrew, а 20 жовтня атакуючі скористалися внутрішнім інструментом ШІ самої Binance, щоб дістатися ще двох інженерів. Жоден крок не підписував крадіжку. Інструменти ШІ були просто довіреною поверхнею, через яку могли рухатися атакуючі, як і фейкова співбесіда. До цього звіту TRM, Fireblocks і тред Aave ролі ШІ не називали.

Chainalysis знайшла, що скам-операції з ШІ витягують у середньому $3,2 млн проти $719 тис. без ШІ, це приблизно в 4,5 раза більше. Індекс AI-in-crime від TRM зріс до 54 зі 100 з приблизно 28 у 2024 році, і єдину категорію Mature TRM дає скаму. Імперсонаційні сками в даних Chainalysis зросли приблизно на 1400% рік до року, цей тренд ми окремо розбирали в матеріалі про скам-імперсонацію.

Іменовані втрати ШІ-агентів лишилися дрібними. Blockaid пов'язує втрату Bankr близько $216 тис. з prompt injection у травні, CertiK прив'язує $100 тис. Zerion до соціальної інженерії з ШІ від груп, пов'язаних із КНДР. Це єдині крадіжки у ШІ-агентів із підрахованою сумою в доларах.

Найбільший злам 2026 року в ШІ-проєкті пройшов через скомпрометовані ключі, а не через ШІ. Вересневий несанкціонований мінт ASI Alliance створив близько 2,3 млрд токенів FET, і станом на 3 листопада ні спалювання, ні ре-бекинг не підтверджені. Частину з них конвертували приблизно в 523 ETH за трасуванням Bitquery.

Якщо ви дозволяєте ШІ-агенту типу Bankr витрачати з гаманця, цей дозвіл - делегування того самого ґатунку, що і в Binance, тому перевірка EIP-7702 в останньому розділі стосується і його. Безкоштовні категорії екосистеми x402 і ШІ-агентів на DropsTab збирають агентів, які рухають кошти через платіжний стандарт x402, його ми розбирали окремо.

ШІ зробив сками 2026 року прибутковішими, а в рекордній крадіжці інструменти ШІ стали частиною шляху до викраденого доступу до підписання. Довготривала загроза тим самим ключам - квантові обчислення, матеріал про квантостійку крипту розкриває її детально.

Відстеження зламаних токенів та гаманців зловмисників на DropsTab

Таб Hacked & Exploited Tokens від DropsTab ставить поруч емісію зламаного токена, оцінку CertiK і кількість бірж, алерти Drops Bot показують, куди рухається незаморожена частина здобичі, а портфель Lazarus фіксує крадіжки, приписані КНДР. Жоден із них не повертає гроші, і всі три безкоштовні.

Три безкоштовні інструменти допомагають стежити за ситуацією після зламу.

Перевірте емісію і майданчики в табі Hacked & Exploited Tokens. Таб від DropsTab Research збирає токени, які ще торгуються після експлойту 2026 року, з обігом і його часткою від загальної емісії, кількістю бірж і оцінкою CertiK. Сортувати і клонувати таб у Tab Builder можна безкоштовно. Порівняйте емісію з цифрою до зламу, бо мінт її змінює, а злам майданчика ні. У поточному табі токен SAND і токен FET тримають оцінки AA від CertiK, токен DRIFT стоїть на BBB, токен CYS на BB, а токен WEMIX покриття CertiK не має.

Стежте за опублікованими адресами через Drops Bot. Телеграм-бот Drops Bot трекає будь-яку публічну адресу в Telegram, на безкоштовному плані 20 гаманців у 30 мережах, серед них Tron. Є фільтри напряму IN і OUT, фільтри сум і власні мітки для кожного гаманця, приватних ключів бот не вимагає. Гайд налаштування алертів проводить конфігурацію крок за кроком. Використовуйте лише адреси, опубліковані ФБР, TRM, Chainalysis або Binance. Кому належить гаманець, допомагає з'ясувати наш гайд із трекінгу криптокитів, а списки адрес швидко застарівають.

Підпишіться на портфель Lazarus. Трекер Lazarus фіксує раніше приписані групі крадіжки, найбільша з яких - злам Bybit. Адреси зловмисників Binance перелічені в алерті ФБР від 31 жовтня, і алерти гаманця на них показують, як рухається здобич Binance.

Перевірте свої делегування EIP-7702

Злом Binance повторив атаку, яка вже б'є по звичайних гаманцях. EIP-7702, активний з оновлення Pectra 7 травня 2025 року, дозволяє одним підписом делегувати код гаманця зовнішньому контракту. Делегування живе до скидання на нульову адресу, а підписане без назви мережі працює в усіх EVM-мережах.

Список авторизацій EIP-7702 на Etherscan і Revoke.cash показують делегування, не торкаючись коштів, а Etherscan ще й позначає фішингових делегатів. Відкликається делегування в гаманці, в MetaMask це розділ Account details і Smart account, окремо по мережах, і це коштує газу.

Дослідження, опубліковане на arXiv у грудні 2025 року, просканувало авторизації EIP-7702 у мережі Ethereum і нарахувало понад 26 000 адрес-жертв. Делегатори, пов'язані зі злочинністю, тримають майже половину всіх авторизацій, а найбільша одиночна жертва втратила понад 3300 ETH.