Взлом Binance на 6,3 млрд долларов: что проверить владельцу сайта в своих доступах

Взлом Binance на 6,3 млрд долларов начался с одного заражённого ноутбука, и владельцу сайта стоит проверить в своих доступах ровно эту точку входа: компьютеры, с которых он сам, его маркетолог и веб-разработчик заходят в почту, хостинг, админку и рекламный кабинет. 30 октября 2026 года крупнейшая криптобиржа мира подтвердила крупнейшую кражу в истории криптовалют, и в официальном объяснении нет ни слова про взлом блокчейна или подбор ключей. Злоумышленник вошёл через устройство своего человека и отдал команды на вывод изнутри, как доверенный пользователь.

Для компании без единого биткоина в этой истории главное не сумма. Главное, что та же схема — заражённый компьютер, украденная сессия, фишинговое письмо, поддельный сайт под чужой бренд — каждый день срабатывает против интернет-магазинов, клиник, автосервисов и юристов. Только у Binance есть страховой фонд, а у малого бизнеса его нет, и платит он деньгами, клиентами и позициями в Яндексе.

Ниже: что известно о взломе на 30 октября, какими приёмами воруют у бирж и их клиентов, какие из этих приёмов бьют по обычной компании, что проверить за вечер и как взлом и сайты-клоны отражаются на поисковой выдаче. Советов покупать, продавать или хранить криптовалюту здесь нет.

Что произошло 29 октября: хронология взлома Binance

По данным аналитической компании TRM Labs, первые чужие выводы ушли из горячих кошельков Binance 29 октября в 20:05 по UTC, то есть в 23:05 по Москве. Горячими называют кошельки с постоянным подключением к интернету: из них биржа отправляет клиентам их выводы. Основную часть средств вывели примерно за 20 минут, потом волны шли до глубокой ночи. В 20:20 по UTC с биткоин-кошелька биржи ушло 18 270 BTC, это около 1,47 млрд долларов. Всего затронуты десять блокчейнов, от Ethereum и Bitcoin до Tron, Solana и Polygon. Подготовку, по оценке TRM, начали минимум за 36 часов до атаки.

Сначала Binance сообщила, что изучает сообщения о возможной проблеме безопасности, затем остановила выводы в нескольких сетях, а после — все пополнения и выводы. 30 октября биржа назвала оценку ущерба: около 6,3 млрд долларов. Причину описала коротко: скомпрометированный ноутбук дал злоумышленнику доступ к служебному контейнеру, и оттуда он отправил несанкционированные транзакции на вывод. По предварительным данным, которые приводят Al Jazeera и Forbes Kazakhstan, это был ноутбук инженера биржи. Признаков утечки приватных ключей кошельков Binance, по её словам, не нашла, а подробный технический разбор обещала опубликовать после расследования.

Около 3 млрд долларов удалось заморозить вместе с партнёрами и эмитентами стейблкоинов: Tether, по словам главы компании Паоло Ардоино, заблокировал больше 1,56 млрд долларов в USDT, Circle — около 825 млн долларов в USDC. Binance пообещала покрыть все потери из собственных средств и страхового фонда SAFU и заявила, что средства пользователей в безопасности. TRM Labs с высокой уверенностью связывает атаку с северокорейской группой TraderTraitor. Ту же группу ФБР назвало виновной во взломе биржи Bybit на 1,5 млрд долларов в феврале 2025 года. Сама Binance эту версию пока не подтверждала.

Что известно	Цифра или факт	Кто сообщил
Оценка ущерба	около 6,3 млрд $ (TRM: 6,36 млрд $)	Binance, TRM Labs
Биткоин	18 270 BTC, около 1,47 млрд $	TRM Labs
Скорость	основная часть примерно за 20 минут, старт в 23:05 МСК 29 октября	TRM Labs
Точка входа	скомпрометированный ноутбук, затем служебный контейнер	Binance
Заморожено	около 3 млрд $, сумма может вырасти	Binance
Кому приписывают	TraderTraitor (КНДР), официально не подтверждено	TRM Labs
Прежний рекорд	1,5 млрд $, Bybit, февраль 2025	ФБР, TRM Labs

Почему это касается бизнеса, у которого нет ни одного биткоина

У самой большой биржи мира есть отдел безопасности, аудиты, многоуровневые подписи транзакций. И всё это обошли через компьютер одного человека. Защита сработала так, как её настроили: команды на вывод пришли из доверенного места, с правильными правами, и система их выполнила. От чужих она умела закрываться, от «своего» ноутбука — нет.

У небольшой компании архитектура доверия та же, только проще. Сайт, почта, хостинг, регистратор домена, Директ, Метрика, Вебмастер, CRM открываются с ноутбука владельца, маркетолога, бухгалтера или веб-разработчика, где пароли сохранены в браузере, а почта не спрашивает второй код. Стоит заразить такой ноутбук — и злоумышленник заходит во всё сразу под видом своего. Ни один сервис не поднимет тревогу, потому что формально вход правильный.

Вторая причина — экономика. По отчёту TRM Labs, за весь 2025 год злоумышленники украли в криптовалюте 2,87 млрд долларов почти в 150 взломах, а один октябрьский инцидент вдвое перекрыл эту сумму. Когда кража так окупается, инструменты дешевеют и становятся массовыми. Программы-стилеры, которые вытаскивают из браузера сохранённые пароли и сессии, продаются по подписке и работают против любой жертвы, у которой есть что взять: доступа к сайту с трафиком и рекламного кабинета с деньгами на балансе для этого хватает.

Как воруют криптовалюту: пять приёмов, которые работают и против вас

Взлом биржи изнутри — редкость, гораздо чаще воруют у её клиентов. Binance знает это по себе: в мае 2019 года у неё увели около 7 000 BTC, тогда примерно 40 млн долларов, и по объяснению самой биржи злоумышленники собрали ключи API и коды двухфакторной аутентификации пользователей с помощью фишинга и вирусов. С тех пор схемы почти не поменялись, вырос масштаб.

• Фишинговые сайты-клоны. Копия страницы входа на домене, который отличается одной буквой. Человек вводит логин, пароль и код из SMS, а злоумышленник в ту же минуту использует их на настоящем сайте.
• Поддельные приложения и расширения браузера. «Кошелёк», «помощник трейдера», «конвертер». Внутри — код, который читает данные со страниц, куда заходит человек, или подменяет то, что он вставляет.
• Подмена адреса в буфере обмена. Человек копирует адрес кошелька, вирус незаметно меняет его на свой. Длинную строку из букв и цифр глазами сверяют редко.
• Кража сессий и сохранённых паролей. Стилер забирает из браузера пароли и файлы cookie. С украденной сессией второй фактор не спрашивают: сайт считает, что вход уже выполнен.
• Ложная служба поддержки. После громкой новости приходят письма и сообщения «от биржи»: подтвердите аккаунт ради компенсации, срочно выведите средства. Binance в первый же вечер предупредила клиентов не доверять неофициальным ссылкам, сообщениям и просьбам прислать данные аккаунта.

Последний приём стоит запомнить отдельно. Громкий взлом — лучший повод для мошенников, потому что люди напуганы и ждут сообщений. Так же устроены рассылки «от вашего банка» после новостей об утечках и звонки «от хостинга» после сбоев.

Те же приёмы против обычного бизнеса

Если перенести каждый пункт на свою компанию, окажется, что ни одному из них криптовалюта не нужна. Таблица показывает, как один и тот же приём выглядит у биржи и у вас.

Приём	Против биржи и её клиентов	Против вашей компании
Сайт-клон	Копия страницы входа биржи	Копия интернет-магазина или страницы оплаты на похожем домене, которая принимает «заказы» и деньги
Ложная поддержка	Сообщение «от Binance» о компенсации	Письмо «от регистратора» о продлении домена, «от хостинга» о блокировке, «от Яндекса» о нарушении в Директе
Кража сессий	Стилер забирает вход в биржевой аккаунт	Стилер на ноутбуке маркетолога забирает почту, админку и Директ
Поддельное расширение	«Кошелёк» читает данные страниц	«Помощник для SEO» или «скачивалка видео» видит всё, что открыто в браузере, включая админку
Подмена реквизитов	Вирус меняет адрес кошелька	Злоумышленник в чужой почте меняет реквизиты в счёте от поставщика
Доступ изнутри	Ноутбук инженера, затем служебный контейнер	Ноутбук подрядчика с сохранёнными паролями, затем хостинг и домен

Как мошенники копируют компанию на чужом домене и что делать, если клиенты уже заплатили клону, — в статье про фишинговый сайт под ваш бренд. А почему почта служит главным ключом ко всему остальному, показано в материале о взломе рабочей почты.

Почта и ноутбук: с чего начинается угон сайта

В истории Binance ключевое слово — «ноутбук». В малом бизнесе таким ноутбуком чаще оказывается не компьютер владельца, а машина человека со стороны: фрилансера, который делал сайт, маркетолога на аутсорсе, знакомого, который «разбирается в компьютерах». Пароли от админки, хостинга и регистратора годами лежат у них в браузере, а почта, к которой привязаны все восстановления, бывает общей на всех.

Цепочка угона выглядит буднично. Стилер приходит вместе со взломанной программой или «полезным» расширением и уносит сохранённые пароли. Через почту злоумышленник сбрасывает пароль регистратора и хостинга. В админке появляется новый администратор, в файлах сайта — скрипт, который показывает посетителям из поиска другую страницу. Владелец ничего не замечает: сам он заходит на сайт по прямому адресу и видит привычную картинку.

Отсюда первое правило: доступы должны принадлежать вам и проходить через вашу почту со вторым фактором. Подрядчику выдаётся отдельная учётная запись, которую можно отключить одной кнопкой, а не общий пароль администратора, который потом никто не меняет.

Что проверить в доступах сегодня вечером

Специалист по безопасности для этого не нужен: список проходится за вечер. Начинать стоит с почты, потому что через неё восстанавливается всё остальное.

1. Почта. Включить второй фактор через приложение-генератор кодов, а не через SMS. Проверить правила пересылки и список устройств, завершить незнакомые сеансы.
2. Регистратор домена. Домен оформлен на вас или компанию, а не на студию. Контактная почта ваша, включены второй фактор и запрет на перенос, срок продления не истекает на днях.
3. Хостинг. Сменить пароль панели и FTP, удалить старые ключи доступа, посмотреть журнал входов, если панель его ведёт.
4. Админка сайта. В списке пользователей только знакомые люди, у каждого своя учётная запись и минимум прав. Неиспользуемые плагины и темы удалить, остальные обновить.
5. Рекламные и аналитические кабинеты. Директ, Метрика, Вебмастер, Яндекс Бизнес: убрать бывших подрядчиков и агентства, владельцем оставить себя.
6. Компьютеры, с которых работают с сайтом. Никаких взломанных программ и непонятных расширений; антивирус с актуальной базой; пароли в менеджере паролей, а не в браузере общего ноутбука.
7. Резервная копия. Свежая копия сайта и базы лежит вне хостинга: на вашем диске или в облаке, куда у хостинга нет доступа.

Если по ходу проверки нашлось подозрительное — неизвестный администратор, незнакомые файлы, странные расходы в Директе, — сначала закройте вход: пароли, сеансы, второй фактор. Чистить сайт имеет смысл только после этого, иначе злоумышленник вернётся через ту же дверь в тот же день.

Что проверить на самом сайте

Взломанный сайт редко ломается заметно. Он работает, заказы приходят, а в фоне раздаёт чужие страницы, перенаправляет мобильных посетителей из поиска или подгружает в браузер клиента вредоносный код. Посмотреть на сайт глазами поисковика можно за полчаса.

• Запрос site:ваш-домен в Яндексе: нет ли в выдаче страниц, которых вы не создавали, заголовков на чужом языке, казино и аптек.
• Яндекс Вебмастер, раздел «Безопасность и нарушения»: нет ли сообщений о заражении или вредоносном коде.
• Открыть сайт с телефона через поиск, а не по закладке: не уводит ли переадресация на посторонний ресурс.
• График страниц в индексе в Вебмастере: резкий рост без вашего участия часто означает, что на сайте завелись спам-страницы.
• Ответы сервера, редиректы и доступность: их за полминуты показывает бесплатный экспресс-аудит сайта, регистрация не нужна.

Если сайт уже получил пометку, порядок поиска заражения и снятия предупреждения описан в статье о том, что делать, если Яндекс пометил сайт опасным. Глубже, с разбором серверных ошибок и настроек, сайт проверяется на техническом аудите.

Как взлом и сайты-клоны бьют по позициям в Яндексе

Для коммерческого сайта безопасность и продвижение — одна задача. Поиск оценивает не только тексты и ссылки, но и то, не опасен ли сайт для посетителя. Последствия взлома для выдачи складываются так.

• Предупреждение об угрозе. Яндекс показывает рядом с сайтом пометку, что он может быть опасен, браузер выводит красный экран перед входом. Переходы падают сразу, ещё до любого понижения.
• Спам-страницы в индексе. Сотни чужих страниц на вашем домене размывают его тематику, и поиск начинает видеть в сайте площадку для мусора.
• Скрытые ссылки и переадресации. Это нарушение правил поиска, за которое понижают весь сайт, хотя ссылки поставил не владелец.
• Подмена сниппетов. Вместо вашего заголовка в выдаче появляется реклама посторонних сайтов, и по нему перестают кликать.
• Недоступность. Хостинг может заблокировать заражённый аккаунт, и сайт начнёт отдавать ошибку. Долгая недоступность сама по себе тянет позиции вниз.

С клонами картина другая. Фишинговая копия вашего сайта обычно живёт на рекламе, рассылках и сообщениях в мессенджерах, а не на поисковом трафике. Но если клон скопировал тексты целиком, а ваш сайт молодой или слабый, поиск может спутать оригинал с копией. Хуже другое: клиенты, которых обманули на клоне, пишут отзывы о вашей компании, и негатив в Картах и на отзовиках бьёт по доверию уже к настоящему сайту.

Восстановление всегда идёт дольше падения. Пометку снимают после проверки, которую владелец запрашивает в Вебмастере, а доверие в ранжировании возвращается постепенно, и срок здесь никто честно не назовёт. Самый дешёвый сайт с точки зрения продвижения — тот, который не взломали.

Чего не делать после громких новостей о взломах

• Не переходить по ссылкам из писем «от хостинга», «от регистратора» или «от банка» с требованием срочно что-то подтвердить. Зайти в кабинет самому, набрав адрес вручную.
• Не ставить «защитные» программы и расширения из рекламы и сообщений.
• Не пересылать пароли подрядчику в мессенджере: выдать отдельную учётную запись с нужными правами.
• Не удалять следы взлома, пока не скопированы журналы и заражённые файлы: по ним ищут дверь, через которую вошли.
• Не молчать, если от имени компании работает клон. Предупредите клиентов на главной странице и в соцсетях и продублируйте настоящие контакты.

Частые вопросы

Я храню немного криптовалюты на бирже. Статья для меня? Советов по криптовалюте здесь нет: где и как держать активы, решайте сами или с финансовым консультантом. Статья о другом: одна и та же техника кражи — заражённый ноутбук, фишинг, украденная сессия — работает и против биржевого аккаунта, и против сайта компании, а защищаются от неё одинаково.

Binance обещала покрыть потери. Почему малому бизнесу от этого не легче? У биржи есть страховой фонд и собственный капитал. У интернет-магазина, у которого угнали домен или рекламный кабинет, такого фонда нет: деньги, клиенты и позиции теряются без компенсации.

Хватит ли антивируса? Антивирус ловит известные программы, но не спасёт, если человек сам ввёл пароль на поддельной странице или подрядчик держит общий пароль администратора. Нужна связка: второй фактор, отдельные учётные записи, свои копии сайта.

Как понять, что ноутбук уже заражён? Признаки косвенные: внезапные выходы из аккаунтов, письма о входе с незнакомых устройств, новые расширения в браузере, незнакомые правила пересылки в почте. При малейшем подозрении пароли меняют с другого, заведомо чистого устройства.

Поиск отличает взломанный сайт от недобросовестного? Поиск не знает, кто поставил спам-ссылки и переадресацию. Он видит поведение сайта, и если тот показывает вредоносный код или скрытые страницы, последствия получает домен, а не злоумышленник.

Коротко

• 29 октября 2026 года с Binance вывели около 6,3 млрд долларов, из них 18 270 BTC; основную часть — примерно за 20 минут. Это крупнейшая криптокража в истории.
• По заявлению биржи, всё началось со скомпрометированного ноутбука, через который злоумышленник попал в служебный контейнер и отправил выводы изнутри.
• Около 3 млрд долларов заморожено, Binance обещает покрыть потери; TRM Labs связывает атаку с северокорейской TraderTraitor, биржа это не подтверждала.
• Те же приёмы — заражённый компьютер, кража сессий, фишинг, сайты-клоны, ложная поддержка — бьют по обычному бизнесу, только страхового фонда у него нет.
• За вечер стоит проверить почту, домен, хостинг, админку, рекламные кабинеты и компьютеры, с которых с ними работают, и сделать копию сайта вне хостинга.
• Взлом напрямую бьёт по поиску: пометка об угрозе, спам-страницы, понижение за чужие ссылки и долгий возврат позиций.

Если после проверки непонятно, чист ли сайт и не просели ли позиции из-за взлома, это удобно обсудить на SEO-консультации: что происходит с доменом в выдаче, где слабые места и с чего начинать. Продвижение веду лично, в SEO с 2005 года, результат можно проверить по 130+ кейсам с адресами сайтов в портфолио. Основная услуга — SEO-продвижение сайта для бизнеса. Телефон: +7 (921) 333-77-45.

Источники

• NBC News, 29.10.2026 — «Binance targeted in $6.3 billion crypto heist, the largest ever» (заявление Binance об ущербе, ноутбуке и служебном контейнере, заморозке около 3 млрд $).
• TRM Labs, 30.10.2026 — разбор взлома на 6,36 млрд $ (хронология, 18 270 BTC, десять блокчейнов, атрибуция TraderTraitor).
• TechCrunch, 29.10.2026 — «Binance pauses withdrawals as hackers suspected of stealing billions in crypto» (первые заявления биржи, предупреждение о мошенниках).
• Al Jazeera, 30.10.2026 — «Binance says $6.3bn stolen in biggest crypto heist in history» (ноутбук инженера, данные TRM за 2025 год).
• Forbes Kazakhstan, 30.10.2026 — «Хакеры вывели с Binance $6,3 млрд: крупнейшая криптокража в истории».
• Хабр, 30.10.2026 — «Взлом Binance: с биржи вывели криптовалюту почти на $6 млрд».