З акаунта українського користувача криптобіржі Binance наприкінці серпня 2026 року вивели криптоактиви на суму понад $300 тисяч, хоча власник стверджує, що не створював і не підтверджував операцію. Перед цим він отримав запит на авторизацію з геолокацією в Москві та відхилив його. Через шість днів користувач виявив зникнення коштів, після чого звернувся до служби підтримки Binance та кіберполіції України.
За словами користувача, його акаунт був захищений passkey і двофакторною автентифікацією. Він також не намагався заходити на біржу з нового пристрою або самостійно ініціювати виведення активів. На прохання власника його ім’я, точну суму збитків, IP-адреси та інші дані, які можуть ідентифікувати його або вплинути на розслідування, не розголошують.
У Binance не коментують конкретні справи користувачів і поточні розслідування. У компанії заявили, що можуть передати технічну інформацію правоохоронцям у межах офіційного запиту. Саме відсутність доступу користувача до повних технічних даних поки не дозволяє встановити, яким способом була створена та підтверджена операція з виведення коштів.
Під час листування зі службою підтримки Binance користувачу припустили, що екран із кнопкою Deny міг бути пов’язаний із фішинговою атакою. Різницю між фактичним місцем перебування та геолокацією в запиті компанія також пояснювала можливим використанням VPN або проксі. Водночас власник акаунта заперечує, що використовував такі сервіси в момент інциденту.
Експерт з кібербезпеки та Head of Triage Team компанії BugStream Антон Коржинський пояснює, що наявність passkey і двофакторної автентифікації не означає автоматичного блокування кожної потенційно небезпечної операції. Захист залежить від того, як саме біржа побудувала систему авторизації та які додаткові обмеження встановлені для конкретного акаунта.
За його словами, запит на авторизацію і подальше списання коштів не обов’язково є однією подією. Транзакція могла бути створена раніше з іншої сесії, пристрою або через API, а сповіщення про авторизацію надійшло приблизно в той самий час. Для встановлення послідовності подій потрібні журнали самої біржі — дані про пристрій, сесію, час створення операції, спосіб її підтвердження та використані фактори автентифікації.
Окремою версією залишається фішинг або компрометація пристрою. Шкідливе програмне забезпечення може працювати паралельно зі справжнім застосунком, показувати підроблені елементи інтерфейсу, отримувати доступ до сповіщень або використовувати системні дозволи. У такому випадку користувач може не відразу зрозуміти, що взаємодіє не з тим елементом, який очікує побачити.
Ключовим для розслідування буде питання, що саме зафіксувала інфраструктура Binance після натискання користувачем кнопки відхилення. Якщо біржа підтвердить справжність сповіщення та встановить, що виведення відбулося без необхідного підтвердження, технічні дані можуть вказати на помилку в логіці авторизації або іншу вразливість. Поки таких доказів немає, це залишається однією з можливих версій.
Історія Binance вже містить масштабні кіберінциденти. У травні 2019 року з її гарячого гаманця викрали 7 тисяч біткоїнів, які на той момент оцінювалися приблизно у $40 млн. Біржа заявляла, що нападники використали фішинг, шкідливе програмне забезпечення та інші методи, а також отримали API-ключі, коди двофакторної автентифікації та інші дані. Компанія повідомила, що компенсувала втрати користувачам власним коштом.
У 2022 році атака сталася вже на пов’язаній із Binance мережі BNB Chain. Через вразливість кросчейн-мосту зловмисник зміг створити токени на сотні мільйонів доларів. Цей випадок відрізнявся від нинішнього інциденту тим, що стосувався блокчейн-інфраструктури, а не безпосереднього доступу до користувацького акаунта.
Binance у 2023 році оголосила про вихід із російського ринку та продаж місцевого бізнесу CommEX. На початку 2024 року біржа також припинила підтримку російського рубля у P2P-сервісі та запровадила додаткові обмеження для громадян і резидентів РФ. Геолокація «Москва» у конкретному запиті на авторизацію сама по собі не доводить фізичне перебування зловмисника в Росії, оскільки IP-геолокація може змінюватися через VPN, проксі та інші технічні фактори.
Для користувачів криптобірж експерт радить не підтверджувати неочікувані запити на авторизацію чи фінансові операції. Якщо надходить підозріле сповіщення, безпечніше самостійно відкрити офіційний застосунок, перевірити історію входів, активні сесії та операції. У разі підозри на компрометацію варто завершити активні сесії, перевірити API-доступи, заблокувати виведення коштів, змінити облікові дані та одночасно звернутися до біржі й правоохоронців. Остаточно встановити причину інциденту можна буде після аналізу технічних журналів і руху викрадених активів.
