Автор: immrape
Составители: AididiaoJP, Foresight News
В этой статье описываются статистические закономерности в поведении публичных аккаунтов. Упоминаемая в тексте принадлежность к «лагерям» основана на сигналах экологической близости, видимых в публичном контенте аккаунтов и моделях взаимодействия; это предположения, и они не являются обвинением в том, что какое-либо учреждение или лицо нанимало или направляло других. «Координация» здесь — это понятие из поведенческих наук, а не юридическое установление сговора. Эта статья не транслирует контент, содержащий оскорбления или личные нападки; любое учреждение или лицо, упомянутое или затронутое в тексте, может ответить на данные и выводы.
Ключевые выводы
- Масштаб: в течение примерно 78 часов после инцидента 1 083 аккаунта из выборки опубликовали 11 700 враждебных твитов, направленных против Binance, в общей сложности примерно 20,93 млн показов. Из них 79,6% были не самостоятельными публикациями, а ответами, прикреплёнными к чужим постам; ещё 3 354 были по одному проверены как ложная информация и классифицированы в 15 типов слухов.
- Ритм: враждебный контент не был эмоциональным выплеском, естественно затухающим после инцидента. Он переключал темы синхронно с каждым публичным действием Binance: после обещания компенсации тема сместилась к «инсайдерам»; после раскрытия масштаба последствий и предварительного расследования она сместилась к «неплатёжеспособности» и «любительской работе»; после объявления графика вывода средств она сместилась к «мобилизации на банковскую панику»; после возобновления вывода средств она сместилась к «оттоки преувеличены» и «перенаправление трафика к конкурентам».
- Координация: среди 641 наиболее активного аккаунта у 452 наблюдались координационные связи с другими аккаунтами, всего 1 186 парных связей. 444 аккаунта образовали связную сеть, автоматически сгруппировавшись в 11 групп, с явными различиями в языке, темах и стиле координации — представляя несколько относительно независимых «лагерей».
- Спящий режим — активация: 964 аккаунта (89%) почти никогда не упоминали Binance в обычное время, в среднем не более 0,2 поста в день, однако были коллективно активированы во время инцидента, с частотой публикаций в 24,6 раза выше базовой. Из них 116 также появлялись в двух предыдущих спорах, связанных с Binance.
- Цель: ложная информация концентрировалась в трёх категориях: отрицание подлинности инцидента (постановка/инсайдеры), отрицание платёжеспособности (неплатёжеспособность/второй FTX) и отрицание доступности вывода средств (боятся открыть вывод средств/рухнут, как только откроют). Все три указывают на один и тот же поведенческий результат: побудить пользователей вывести свои монеты в момент, когда им больше всего нужно сохранять спокойствие.
- Другая сторона: данные также показывают, что охват в основном обеспечивался несколькими топовыми аккаунтами: аккаунты с более чем 50 000 подписчиков опубликовали лишь 6,2% негативных твитов, но обеспечили 68,0% показов; 134 аккаунта с наивысшими баллами по правилам троллинга вместе обеспечили лишь 0,6% показов. Сосредоточение только на мелких аккаунтах приведёт к недооценке этой операции, а отношение ко всем критикам как к троллям было бы столь же ошибочным.
CZ и Хэ И неоднократно говорили, что Binance подвергалась организованным репутационным атакам. Обычная реакция индустрии — насмешка: каждая биржа, попавшая в неприятности, похоже, говорит это. Отправная точка этой статьи — не защита кого-либо, а ответ на вопрос, который можно проверить данными: после взлома Binance были ли те голоса в X, которые очерняли её, ставили под сомнение или даже оскорбляли, естественным излиянием настроений розничных пользователей, или кто-то организовывал, разделял обязанности и направлял их? Ответ по результатам обзора таков: наряду с реальным инцидентом безопасности действительно параллельно шла наблюдаемая операция по формированию нарратива в социальных сетях, с ритмом и разделением труда. Её целью была не только Binance, но и каждый обычный пользователь, который в те дни открывал X, желая узнать, в безопасности ли его активы.
I. Инцидент: что сделала Binance за 78 часов
В ранние часы 30 октября 2026 года был атакован горячий кошелёк Binance, затронув активы примерно на 6,3 млрд долларов — крупнейший инцидент безопасности в истории криптоиндустрии, измеряемый в долларах США. В таблице ниже перечислены основные вехи публичной реакции в последующие 78 часов, все по UTC+8, и они были по одной сверены с временными метками, встроенными в ID твитов.
Основная хронология реакции Binance (UTC+8)
Сама хронология не сложна: подтвердить, остановить кровотечение, поддержать, пополнить, проверить, восстановить. Кризисное реагирование любого финансового учреждения состоит из этого стандартного набора действий. Но когда на эту хронологию накладывается contemporaneous обсуждение Binance в X, картина становится совершенно иной.
Объём атак на ответные меры Binance (по часам). Пунктирные линии обозначают ключевые события Binance; столбцы показывают количество вредоносных твитов в час, ложная информация показана красным.
Ключевые события атакующей стороны (верхнее изображение; размер точки представляет показы) и ответные меры Binance (нижнее изображение), представленные посегментно. Верхнее изображение сосредоточено на первых 20 часах после инцидента; нижнее изображение охватывает оставшееся время.
II. Метод: как определить «атаку» и как исключить критику
Сначала уточним, что данная статья не изучает. После инцидента большое количество пользователей выражали обеспокоенность в социальных сетях, спрашивали о прогрессе, критиковали скорость реагирования и описывали свой опыт застрявших выводов. Это нормально, даже полезно. Когда у платформы-кастодиана активов сотен миллионов пользователей происходит авария, паника и вопросы вполне разумны.
Анализ намеренно исключает четыре типа контента: нормальную панику и беспокойство о средствах на ранней стадии инцидента; разумные уточняющие вопросы, например, когда будет опубликовано доказательство резервов и почему вывод определённого токена ещё не открыт, без злонамеренных выводов; фактическое освещение и ончейн-данные; и подлинное недовольство реальных пользователей.
Данные в этой статье были собраны автором в течение трёх дней после инцидента. С помощью инструментов ИИ был проведён пакетный сканирование аккаунтов, участвовавших в обсуждениях, связанных с Binance, в X во время инцидента. Если выполнялось хотя бы одно из следующих проверяемых условий, аккаунт включался в выборку: многократная публикация опровержимой ложной информации; оскорбления, угрозы или личные нападки на людей; концентрированная, повторяющаяся публикация однородного враждебного контента под множеством несвязанных постов; и проявление стабильной координации с другими аккаунтами в выборке. Для каждого аккаунта выборки сохранялось основание для включения и оригинальная ссылка, в результате чего итоговая выборка составила 1 083 аккаунта.
На этой основе были собраны все связанные с Binance оригинальные посты и ответы, опубликованные этими аккаунтами во время инцидента (с 05:00 30 октября до 20:00 2 ноября). После исключения чистых ретвитов было получено 11 700 твитов от 1 083 аккаунтов, в общей сложности 20,93 млн показов. Из них 3 354 были по одному оценены как ложные и классифицированы по 15 типам слухов.
Что касается координации, для каждой пары аккаунтов рассчитывались шесть наблюдаемых сигналов: появлялись ли они в комментариях к одному и тому же посту; упоминали ли они друг друга через @ или отвечали друг другу; подписаны ли они друг на друга; была ли односторонняя подписка; взаимодействовали ли они с одним и тем же третьим аккаунтом в течение короткого окна; и публиковали ли они почти идентичный контент. Отдельный сигнал может быть совпадением, но когда несколько сигналов многократно накладываются для одной и той же пары аккаунтов, совпадение становится трудно объяснить. Раздел о сети координации сосредоточен на 641 наиболее активном аккаунте во время инцидента, с окном наблюдения с 20:00 30 октября до 20:00 2 ноября.
Следует отметить: данная статья может наблюдать только публичное поведение и не может и не пытается определить реальную личность или источники финансирования какого-либо аккаунта.
III. Ритм: атаки следуют за ответами, а не за эмоциями
Если бы негативный шум в социальных сетях был merely выплеском эмоций пользователей, это должна была бы быть относительно простая кривая: резкий пик после инцидента, затем медленный спад по мере прояснения информации. Но данные показывают, что темы враждебного контента постоянно переключались, и каждое переключение тесно следовало за публичным действием Binance — иногда даже опережая его.
Количество постов в час от враждебных аккаунтов в первый день (сплошная линия) и доля дезинформации (пунктирная линия)
Первые несколько часов: паника доминирует, теории заговора разрознены
После инцидента в ранние часы 30 октября обсуждение на платформе взорвалось, основным тоном были паника и любопытство: деньги ещё там, кто это сделал и насколько это масштабно. Среди аккаунтов выборки утверждения о «самоинсценировке» и «инсайдере» появились в течение часа после того, как новость стала известна, но большинство были разрозненными, пробными вопросами, типичная формулировка — «Может, это инсайдер?» На этом этапе дезинформация составляла около 30% от выборки публикаций, остальное в основном было эмоциональным выражением и пересылкой информации.
В ранний период было лишь несколько идентифицируемых узлов: в 05:06 аккаунт передал, что «Tether заморозил 971 миллион, Binance пока не выпустил заявление» — ударной точкой была не сумма, а молчание; в 05:13 пост «Нельзя вывести деньги, всё кончено» получил 181 комментарий, больше всего среди негативных постов. Это было скорее сигналом тревоги в информационном вакууме, чем систематическим нарративом.
После обещания компенсации: теории заговора выходят на сцену
В 08:13 Binance объявила, что возьмёт на себя все убытки. По здравому смыслу, это должно было больше всего заставить тревожных пользователей вздохнуть с облегчением. Но в данных нарратив «самоинсценировка / инсайдер / соучастник» вошёл в свою самую плотную фазу именно после этого узла, достигнув 9,3 поста в час на последующем этапе «оценки убытков и предварительного расследования», что является максимумом для этого нарратива за весь его цикл.
Переломный момент наступил около 10 утра того дня. В 10:11 китайскоязычный аккаунт опубликовал, что «Binance 14-го числа отправила 50 авторизаций 7702, одна вступила в силу, весьма вероятно при содействии инсайдера», что получило 342 000 показов, став самым широко распространённым и самым вводящим в заблуждение постом этого этапа, на 14 минут раньше, чем Binance раскрыла путь атаки в 10:25. Логику этого нарратива стоит разобрать отдельно: если Binance готова компенсировать, значит, деньги изначально были её; если хакер не забрал BNB, значит, это был инсайдер; если заморозка произошла так быстро, значит, была подготовка заранее. Каждый факт, который должен был доказать эффективный ответ, был переосмыслен как доказательство преступления. Это нефальсифицируемый нарратив — любое опровержение можно втиснуть в рамки «чрезмерной реакции».
После публикации масштаба воздействия и предварительного расследования: «вот-вот рухнет» и «любительская операция»
В 10:25 Binance раскрыла масштаб воздействия около 6,3 млрд долларов США и предварительное расследование. После этого нарративы «сбежали», «рухнет», «неплатёжеспособность» и «следующий FTX» быстро расширились, достигнув в среднем 6,9 поста в час на последующем этапе «начало пополнения капитала» (с 11:00 30 октября по 14:30 31 октября). Этот нарратив в общей сложности составил 465 постов от 219 аккаунтов, с примерно 3,17 млн показов, став единственным нарративом с наибольшим охватом в этом событии.
Стоит отметить связь этого нарратива с приостановкой вывода средств. Приостановка вывода средств до полного расследования инцидента безопасности является стандартной практикой для предотвращения распространения убытков; поспешное восстановление вывода средств до полной блокировки пути атаки могло бы спровоцировать вторую атаку. Но в нарративе атаки приостановка вывода средств единообразно трактовалась как «деньги кончились» или «боятся открыть», и использовалась как рычаг, чтобы требовать от Binance «немедленно открыть вывод средств».
В предварительном расследовании упоминалось, что «ноутбук DevOps-инженера мог быть скомпрометирован». Всего через три минуты, в 10:28, появились опровержения: «Может ли один ноутбук опустошить 6,3 миллиарда?» Нарратив «слабая технология» и «любительская операция» достиг 4,2 поста в час на этом этапе, что в два-четыре раза больше, чем на других этапах. Некоторый контент с высоким охватом перерабатывал выводы расследования — превращая «может включать» в окончательный вывод или экстраполируя непроверенные утверждения, такие как «более одного кошелька было скомпрометировано» и «BTC также был потерян», при этом отдельные посты превышали 100 000 показов.
Вечером 1 ноября в китайско- и англоязычных сообществах начал циркулировать слух: операционный инженер Binance вступил в романтическую связь с северокорейской женщиной-шпионкой и оставил свой ноутбук без присмотра в день инцидента. Автор искал соответствующие посты в X с 30 октября: самая ранняя отслеживаемая версия появилась в 21:22 1 ноября, опубликованная англоязычным аккаунтом-агрегатором новостей с примерно 7 000 подписчиков в виде экстренного сообщения заглавными буквами, утверждающего, что информация получена от ончейн-детектива ZachXBT. Пост набрал около 634 000 просмотров, 4 458 лайков, 258 репостов и 367 ответов. Примерно через 1,5 часа англоязычный KOL с примерно 700 000 подписчиков репостнул его под заголовком «Взлом Binance может быть связан с инсайдером», набрав около 63 000 просмотров. Китайская версия появилась около 21:49, за ней последовало большое количество переведённых версий с почти идентичной формулировкой, большинство из которых начинались с «Новые, неподтверждённые утверждения гласят...»
Около 1 часа ночи 2 ноября Хэ И публично ответила: «Эта история более драматична, но она не соответствует действительности, и ZachXBT тоже этого не говорил». Англоязычное экстренное сообщение, репостнувшее опровержение, набрало около 69 000 просмотров. Но после опровержения распространение в китайском сообществе не прекратилось. Утром 2 ноября китайский аккаунт с примерно 96 000 подписчиков продолжил публикации, начиная с «Крупнейшая финансовая кража в истории, самое абсурдное звено может быть не кодом, а романом», набрав около 12 000 просмотров и 42 ответа; другой аккаунт с примерно 90 000 подписчиков опубликовал под заголовком «Шпионская драма северокорейской женщины-шпионки, "соблазнившей" инженера Binance», набрав около 7 600 просмотров; ключевой аккаунт в Кластере 1 скоординированной сети также опубликовал в 08:43 заявление «Ходят слухи, что DevOps-инженер влюбился в северокорейскую женщину-шпионку», набрав около 3 000 просмотров, лишь добавив в конце опровержение Хэ И. Некоторые китайские пользователи также заметили аномалию, написав, что «В последнее время я постоянно вижу идентичные посты... всё это сгенерированный ИИ наполнитель, многократно публикуемый с изменениями».
Справедливости ради: исходный аккаунт этого слуха не входит в выборку. Согласно критериям выборки, соответствующий контент составил около 68 постов с примерно 230 000 показов, и аккаунты из выборки участвовали в ограниченной степени. Он приведён здесь потому, что усилил нарратив «слабой технологии» — первый дал второму более распространяемую сюжетную оболочку.
После объявления сроков: период ожидания был переписан как «задержка»
В 23:23 30 октября Хэ И выпустила видео с 42-часовым графиком восстановления; в 12:48 1 ноября Binance объявила время восстановления вывода средств первой фазы. В нормальной информационной среде это был момент, когда пользователи должны были вздохнуть с наибольшим облегчением. Атакующая сторона одновременно продвигала две линии.
Одна линия переписывала ожидание как задержку и изображала подстраховку как мошенничество. Один из основных источников английского нарратива о «самоинсценировке» опубликовал в 12:26 31 октября, что «Binance сфабриковала многомиллиардный взлом, чтобы избежать обязательств перед клиентами», получив 279 000 показов; нарратив об «инсайдере» также получил новое прочтение: объявление времени вывода средств было лишь «тактикой затягивания», чтобы «было удобнее переводить активы». Другая линия призывала «бежать, как только откроются двери»: ещё в 22:38 30 октября аккаунт, имевший 36 ответных взаимодействий с другим атакующим аккаунтом в течение трёх дней, опубликовал заглавными буквами: «В момент, когда Binance восстановит вывод средств, немедленно переведите свои средства наружу» — почти за 40 часов до фактического возобновления вывода средств; в 20:22 31 октября другой аккаунт написал: «Предположим, Binance откроет вывод средств... вскоре он снова закроется, вызвав порочный круг и набег на банк, и приведёт к прямому краху!» Он не излагал факты, а заранее прокладывал эмоциональные рельсы, чтобы читатели автоматически скользнули по ним, когда вывод средств откроется.
Когда вывод средств возобновился: мобилизация к набегу на банк достигла пика
Мобилизационный контент — «уходите сейчас», «выводите в первую же минуту, когда сможете», «набег на банк» — подскочил до 11,2 постов в час на этапе «поэтапного восстановления» (с 14:00 до 16:12 1 ноября), более чем в четыре раза превысив средний показатель предыдущих четырёх этапов, а также став самой высокой одноэтапной интенсивностью среди всех нарративов в этом событии. Здесь взаимодействовали два нарратива: один создавал срочность «нужно уходить немедленно», а другой объяснял «почему официальным заявлениям нельзя доверять».
Ротация нарративов: количество враждебных твитов в час на каждом этапе. Каждая строка представляет тип нарратива; чем темнее цвет, тем ближе этот нарратив к своему пику на данном этапе, и разные нарративы достигают пика на разных этапах.
После возобновления вывода средств: преувеличение оттоков, перенаправление трафика к конкурентам
После возобновления вывода средств фокус враждебного контента сместился на данные об оттоке. В 02:02 2 ноября CZ сообщил, что чистый отток за 12 часов после восстановления вывода составил 2,1%. Всего через шесть минут, в 02:08, высокочастотный англоязычный аккаунт опубликовал, что «Binance сегодня переживает самый высокий чистый отток в своей истории — -4,25 млрд долларов США», затем разместил китайскую версию: «За последние 12 часов... чистый отток достиг рекордных 4,36 млрд долларов США», сопроводив это аналогией «FTX потребовалось менее 48 часов, чтобы пройти путь от нормы до краха», а в 07:19 добавил, что «это превысило чистый отток перед крахом FTX», при этом один пост набрал 193 000 показов; в 12:23 того же дня цифра была обновлена до «6,1 млрд долларов США» вместе с утверждением, что «531 из 552 токенов по-прежнему невозможно вывести».
Эти два набора данных не обязательно противоречат друг другу численно; абсолютный отток в несколько миллиардов долларов США и доля в 2,1% могут описывать одно и то же. Разница заключается в подаче: в первом случае убирают знаменатель, прививают аналогию с FTX и упаковывают обычный пик вывода средств как канун краха.
На том же этапе увеличился контент, перенаправляющий трафик к конкурентам: при обсуждении взлома пользователям советовали «сначала перевести средства на такую-то биржу, чтобы избежать риска» или говорили, что «среди всех бирж только такая-то никогда не подвергалась взлому». Такого контента было немного по количеству (31 пост), но отдельные посты имели высокую эффективность распространения, в сумме набрав почти 200 000 показов. Типичный пример: 1 ноября в 14:37, через 17 минут после возобновления вывода BTC, китайский KOL опубликовал: «Друг с A9 сказал, что больше никогда не будет держать монеты на Binance, даже если годовая доходность выше 6%... Северная Корея открыла ящик Пандоры Binance», что набрало 108 000 показов; основной посыл — «без суверенной поддержки безопаснее держать средства в другом месте». Похожие формулировки появлялись и в англоязычном сообществе, например: «Если Binance падёт, станет ли Hyperliquid ведущей биржей отрасли?»
Слухи о компенсациях: создание ощущения «особого отношения»
Вечером 1 ноября начали появляться ложные утверждения о «компенсации за вывод в размере 150 долларов США» с шаблонной фразой «Вывод приостановлен, бесплатная компенсация 150 долларов США, проверьте центр вознаграждений». Из 35 связанных постов 27 были сосредоточены в шестичасовом интервале с 19:00 1 ноября до 01:00 2 ноября, причём 9 пришлись на один час в 20:00; пять аккаунтов опубликовали идентичные формулировки, у одного из которых было всего два подписчика. В 21:11 Binance ответила под оригинальным постом: «Это ложная информация; скриншот был отредактирован цифровым способом».
Поддельная реклама «компенсации за вывод в размере 150 долларов США»: пять аккаунтов опубликовали идентичный контент в течение шести часов, включая фишинговые ссылки, направляющие пользователей в «центр вознаграждений».
Что касается утверждений вроде «денежное вознаграждение за отказ от вывода» или «эксклюзивно для пользователей из определённых регионов», они появлялись в выборке лишь спорадически и ещё не достигли измеримого масштаба, поэтому данная статья не делает по ним количественных выводов. Однако структура таких утверждений согласуется с вышеописанными нарративами: они не атакуют платформу напрямую, а создают у пользователей ощущение «особого отношения», одновременно дополнительно подталкивая к выводу средств. Binance чётко заявила, что никогда не предлагала пользователям ни в одном регионе вознаграждений при условии отказа от вывода средств.
Несколько подводных течений, проходящих через всё
- Политизация: утверждения вроде «защитный зонт Binance — это Трамп» и «они платили за защиту» в сумме составили 377 постов, пик пришёлся на стадию восстановления.
- Сведение старых счётов: связывание этого инцидента с сильной рыночной волатильностью 2025 года, утверждения, что взлом был нужен для «отмывания старых счетов» — 280 постов, 690 000 показов, большинство сосредоточено на первых двух стадиях после инцидента.
- Манипулирование рынком: «искусственный бычий рынок», «рынок упал, потому что Binance сбросила», «они переписали K-линию» — 253 поста от 148 аккаунтов. 1 ноября в 13:32 один аккаунт уже спрашивал: «Если Binance переживёт этот забег, будет ли она активно раскручивать искусственный бычий рынок?»
- Заранее заданные нарративы: до того как Binance предприняла какие-либо действия, аккаунты упреждающе заявляли, что она «обязательно запустит высокодоходные продукты», и «обязательно будет памплить и листить монеты», и заранее клеймили эти действия как «доказательство неплатёжеспособности». 2 ноября в 20:25 Binance запустила программу вознаграждения пользователей с доходностью до 10% годовых — стандартный отраслевой шаг после кризиса — который точно попал в заранее заданные рамки интерпретации. Действовала Binance или нет, её позиция уже была невыгодной.
IV. Классификация слухов: какие утверждения распространились дальше всего
3354 поста, признанных ложными, были сгруппированы в 15 категорий по основному утверждению. В порядке убывания совокупных показов основные типы следующие.
Совокупные показы, количество постов и количество аккаунтов для различных типов ложной информации
]
Основные типы слухов
Несколько деталей заслуживают внимания. Во-первых, категория «технические фальшивые доказательства» была немногочисленной по количеству, но отдельные посты распространялись дальше всего — в среднем около 6800 показов на пост, почти в четыре раза больше, чем в категории «самостоятельная постановка». Такой контент обычно появлялся в виде длинных постов, ссылаясь на реальную терминологию (авторизация 7702, мультисиг, нумерация горячих кошельков) и делая ошибочные выводы под оболочкой технических деталей; например, «BTC использует ECDSA, Solana использует Ed25519, ноутбук не может подписать десять цепочек за 20 минут». Для читателей без технической подготовки это убедительнее, чем чисто эмоциональные обвинения.
Во-вторых, «ложная информация, выдаваемая за Binance», имела всего 5 постов, но получила почти 300 000 показов. Такой контент подделывал официальные планы компенсации или объявления о листинге монет, часто сопровождаясь фишинговыми ссылками, и может быть наиболее напрямую вредным для пользователей среди всех типов.
В-третьих, эти нарративы противоречат друг другу. Одни и те же аккаунты говорили и то, что «Binance сама это инсценировала» (то есть деньги на самом деле не потеряны), и то, что «Binance неплатёжеспособна» (то есть деньги действительно потеряны и не могут быть компенсированы); они говорили и то, что «Binance боится открыть вывод средств», и, как только вывод открылся, что «открытие вывода — это перевод активов». В фактическом обсуждении эти утверждения не могут все быть верными одновременно; в нарративе, направленном на создание неопределённости, они не обязаны быть самосогласованными — каждому нужно лишь выполнить свою задачу в определённый момент.
V. Координация: одна сеть, несколько лагерей
Если бы этот контент исходил от несвязанных лиц, отношения между аккаунтами должны были бы быть разреженными и случайными. Данные показывают иную структуру. Среди 641 наиболее активного аккаунта 452 имели координационную связь как минимум с одним другим аккаунтом, всего 1186 парных координационных связей. В разбивке по типу сигнала: 651 взаимный @ или ответы; 466 одновременное появление в одном и том же разделе комментариев; 267 взаимодействие с одним и тем же третьим аккаунтом в течение короткого окна; 224 односторонние подписки; 143 взаимные подписки; 67 почти идентичных по содержанию. Из этих связей 608 несли два или более сигнала одновременно.
444 аккаунта образовали связную сеть — начиная с любого одного аккаунта, можно было достичь остальных 443 по координационным связям.
Сеть координации атакующих аккаунтов (наибольшая связная компонента). Чем больше точка, тем больше у аккаунта связей координации; цветовые маркеры обозначают различные масштабы координации.
Наиболее тесные пары аккаунтов лучше всего иллюстрируют, что означает «координация»: пара с наибольшим весом упоминала друг друга через @ или отвечала друг другу 36 раз за три дня; другая пара появлялась вместе в пяти одинаковых разделах комментариев, взаимодействовала пять раз и публиковала почти идентичный контент восемь раз; а два других аккаунта имели две записи «100% идентичного контента». Центральные узлы сети столь же показательны: наиболее связанный аккаунт был связан с 63 аккаунтами, опубликовал 29 враждебных твитов и получил 741 000 показов; другой аккаунт опубликовал всего 7 раз за три дня, но получил 742 000 показов и был связан с 41 аккаунтом. Напротив, два «спам-аккаунта» опубликовали более 120 раз каждый, получили менее тысячи показов каждый, но были самыми плотными точками соединения в разделах комментариев. Первые задавали тон, вторые обеспечивали объём — это разделение труда само по себе является следом организации.
Детали сети: наиболее связанный центральный узел (в центре) и его 63 связанных аккаунта. Красные линии обозначают координированные связи с центральным узлом; серые линии обозначают связи между связанными аккаунтами.
Запуск неконтролируемого обнаружения сообществ на этой сети (алгоритм учитывает только реляционную структуру и не ссылается на какие-либо ручные метки) даёт 11 кластеров. Пять крупнейших заметно различаются по размеру, языку и стилю координации.
Пять крупнейших координированных кластеров
Кластер 3 заслуживает особого внимания. 66 аккаунтов опубликовали 1 135 постов за три дня, в среднем 17 на человека, однако общее число показов составило лишь около 170 000 — менее 2 600 на человека. Эти аккаунты почти никогда не публикуют самостоятельно; вместо этого они появляются партиями в разделах комментариев под одними и теми же постами, чаще всего под постами руководителей Binance и ключевых аккаунтов. Их задача — не сделать так, чтобы определённую точку зрения увидело больше людей, а сделать так, чтобы те, кто видит пост, почувствовали, что «все так думают».
Детали сети: Кластер 3 (кластер комментариев). Связи между членами проявляются главным образом как «появление вместе в одном и том же разделе комментариев».
Две тактики в разделах комментариев
Первая — «набег для создания ажиотажа». Когда один аккаунт публикует враждебный контент, та же партия аккаунтов наводняет раздел комментариев в течение короткого окна, вторит, дополняет и усиливает обвинения. Для обычного пользователя, который случайно открывает пост, то, что он видит, — это не точка зрения одного человека, а целый экран единодушных голосов. В нескольких враждебных постах с высоким числом показов, рассмотренных в выборке, аккаунты выборки составляли от 25% до 47% комментариев, и эти комментарии составляли от 22% до 44% показов поста; под одним постом небольшого аккаунта 11 из 12 комментаторов принадлежали к выборке.
Второе — «осада и зачистка поля». Когда пользователь публикует пост в защиту Binance или просто объективно излагает официальную информацию, та же партия аккаунтов входит в раздел комментариев и атакует автора поста ярлыками вроде «подхалим», «собака Binance», «сколько тебе заплатили» и «проплаченный наймит», не касаясь содержания. В ходе инцидента 133 выборочных аккаунта опубликовали 234 таких поста, 79% из которых были ответами под чужими постами. Логика напоминает механизм изоляции при школьной травле: вместо прямой атаки на цель она заставляет каждого, кто приближается к цели, платить цену. Обычный пользователь пишет одну строку: «Я верю, что Binance справится с этим», — и получает в ответ десятки личных нападок — в следующий раз он, скорее всего, выберет молчание. Это эффект охлаждения: он подавляет не точку зрения, а готовность высказываться.
Атаки на личности
В ходе инцидента 421 пост представлял собой преимущественно личные нападки на основателя и соучредителя Binance, исходящие от 103 аккаунтов. Значительная часть была направлена на беременность Хэ И, с использованием крайне оскорбительного языка, отдельные посты превышали 100 000 показов, некоторые доходили до проклятий в адрес нерождённого ребёнка. Данная статья не передаёт это содержание. Следует сказать, что такое содержание не имеет отношения к инциденту безопасности; его существование показывает лишь одно — для некоторых участников целью никогда не было обсуждение инцидента, а нападки на людей.
Лагеря
На основе сигналов экосистемной близости, видимых в публичном контенте аккаунтов (например, долгосрочное концентрированное продвижение определённой платформы, высокочастотное взаимодействие с сотрудниками этой платформы, непрерывное перенаправление трафика к конкурентам при одновременных атаках на Binance), некоторым аккаунтам были присвоены метки лагерей. Необходимо ещё раз подчеркнуть: эти метки описывают тенденции в публичном контенте, а не установление каких-либо трудовых отношений.
Аккаунты и просмотры по метке лагеря (1 083 аккаунта)
Два структурных факта заслуживают внимания. Во-первых, наибольшие показы на душу населения принадлежат не самой крупной группе: 69 аккаунтов, проявляющих характеристики экосистемной близости к некой платформе деривативов, в среднем имели около 39 000 показов каждый; 19 аккаунтов, подозреваемых в связи с правозащитниками, — около 38 000; 107 аккаунтов, проявляющих характеристики экосистемной близости к некой бирже, — около 25 000; тогда как 874 аккаунта без меток — около 17 000. Во-вторых, «без метки» не равно «изолированный индивидуум». Они без метки потому, что в их публичном контенте не наблюдалось явного продвижения платформы или прямого взаимодействия с сотрудниками платформы, и из осторожности они были оставлены как «независимые»; но в координационной сети многие находятся в том же кластере, что и аккаунты с метками, разделяя разделы комментариев, цели взаимодействия и схожий нарративный ритм. Вывод автора таков: некоторые из них, возможно, наняты третьими сторонами и профессионально занимаются атаками на репутацию, но прямых доказательств на данный момент нет.
Среди 452 аккаунтов координационной сети тот же стандарт позволяет присмотреться внимательнее: 63 помечены как близкие к OKX (включая 33 подозреваемых в принадлежности к OKX), в основном на китайском языке, опубликовали 343 враждебных твита и 917 000 показов; 23 помечены как близкие к HyperLiquid, составляя лишь 5,1% от общего числа, но получая 14,3% показов, с наивысшей средней связностью среди всех лагерей; 13 подозреваются в связи с правозащитниками, чья риторика в основном состоит из личных нападок и старых обид; 4 аккаунта несут характеристики китайской зарубежной политической группы («Новое федеральное государство Китай» Го Вэньгуя), интерпретируя инцидент как политический заговор. Среди 346 независимых аккаунтов 189 (54,6%) напрямую связаны как минимум с одним аккаунтом лагеря; между независимыми аккаунтами и аккаунтами, близкими к OKX, насчитывается 240 связей, что гораздо больше 42 связей внутри лагеря OKX. Данные указывают на следующее: несколько групп аккаунтов с различными характеристиками экосистемной близости плотно участвовали в атаках против Binance в рамках одного окна, с перекрёстным сотрудничеством между ними; но данные не могут доказать, что OKX, HyperLiquid или какое-либо учреждение знало об этих действиях, организовывало или финансировало их. Ранее в отрасли подозревали участие аккаунтов, связанных с Bitget; в этих данных соответствующие аккаунты лагерей не обнаружены.
Левый график: количество скоординированных связей, подсчитанных по типу сигнала (одна связь может нести несколько сигналов); правый график: количество связей между лагерями (диагональ представляет внутрилагерные связи).
То, чего добивается каждый лагерь, явно различается: одни сосредоточены на «неплатежеспособности» и мобилизации на банковский набег, продвигая при этом альтернативные платформы; другие сосредоточены на «ворошении старых счетов», используя события для повторного раздувания прежних скандалов; третьи строят повествование вокруг политизированных нарративов. Любопытно, что аккаунт, помеченный как связанный с OKX, публично раскритиковал 31 октября новостной аккаунт одной деривативной платформы за то, что тот «воспользовался возможностью переманить пользователей... питаясь человеческой кровью и плотью» — у этих лагерей может и не быть единого командного центра, но в течение этих 78 часов их действия сильно совпадали по времени и взаимно усиливали друг друга по эффекту.
VI. Спячка и активация: аккаунты, которые просыпаются только для атаки на Binance
Чтобы проверить, были ли эти аккаунты просто «случайно особенно активны в эти несколько дней», после завершения выборки автор отследил все предыдущие публичные посты всех 1083 аккаунтов и сравнил несколько временных окон: два обычных десятидневных окна без крупных скандалов вокруг Binance (июнь и август 2026 года) и два предыдущих окна скандалов, связанных с Binance (скандал «Cathie Wood» с января по февраль 2026 года и обвинения, связанные с Ираном, в марте 2026 года).
Почти полное молчание в обычное время. В обычных окнах эти аккаунты вместе публиковали лишь около 131 связанного с Binance материала в день; среди них 964 (89%) в среднем публиковали не более 0,2 материала в день — большинство аккаунтов не упомянули бы Binance даже раз в неделю.
Коллективная активация во время события. Во время события эти же аккаунты публиковали в среднем 3228 связанных с Binance материалов в день, что в 24,6 раза превышает обычный уровень. По мере скоординированной сети, среди 452 аккаунтов 200 (44,2%) опубликовали лишь один или два враждебных твита за три дня, но при этом имели проверяемые скоординированные связи с другими аккаунтами — «низкая частота, высокая связность».
Они также активировались во время предыдущих скандалов. Во время скандала «Cathie Wood» в начале 2026 года эти же аккаунты публиковали в среднем 480 связанных с Binance материалов в день, что в 3,7 раза превышает обычный уровень; 382 аккаунта публиковали в этом окне. В течение этого десятидневного окна 72 поста имели пять или более образцовых аккаунтов, одновременно появляющихся в их комментариях, тогда как в обычных окнах равной длины таких было только четыре.
Некоторые аккаунты повторяются в разных событиях. 116 аккаунтов публиковали связанный с Binance контент как в раунде «Cathie Wood», так и в раунде событий, связанных с Ираном.
Справедливости ради: в окне обвинений, связанных с Ираном, в марте общая интенсивность публикаций этих аккаунтов (в среднем 113 материалов в день) была сопоставима с обычным базовым уровнем, без очевидной общей активации; однако 133 аккаунта публиковали в этом окне, и одновременные появления в комментариях несколько возросли. Это показывает, что «межсобытийная синхронизированная активация» не является универсальной чертой всей выборки, а сосредоточена в подмножестве.
Типичный пример: англоязычный аккаунт не публиковал связанный с Binance контент ни в одном из обычных окон; во время скандала «Cathie Wood» он публиковал в среднем около 6 материалов в день с темой «такая-то монета ещё не была листингована на Binance»; во время этого события он публиковал в среднем более 17 материалов в день. Он не обсуждает рынок, не обсуждает индустрию и появляется только тогда, когда Binance становится темой.
VII. За что он борется: операция социальной инженерии
Ядро социальной инженерии — не технология, а эксплуатация психологических слабостей для достижения контроля. Складывая вышеприведённые данные вместе, вырисовывается контур этой нарративной операции.
Она не создаёт события; она паразитирует на событиях. Инцидент безопасности реален, опасения пользователей реальны, и часть критики также реальна. Что делает нарративная операция, так это прививает выводы к реальным эмоциям: прививает «приостановку вывода средств» к «деньги закончились», прививает «несение убытков» к «самостоятельно поставленный спектакль», прививает «пик вывода средств» к «крах FTX».
Он переключает темы вслед за ответами, иногда забегая вперёд. Каждый раз, когда Binance объявляет о новом прогрессе и старая повестка теряет силу, в том же окне подхватывается новая повестка: теория инсайдера появилась за 14 минут до раскрытия пути атаки; вопрос об «одном ноутбуке» появился через 3 минуты после раскрытия; «рекордный чистый отток» появился через 6 минут после объявления о «2,1% чистом оттоке»; нарративы конкурентов появились через 17 минут после возобновления вывода средств; мобилизация «беги, как только откроются двери» появилась почти за 40 часов до фактического возобновления вывода средств.
Он сливается с реальными пользователями. 79,6% контента состоит из ответов, а не оригинальных постов, многие — под постами реальных пользователей. Посторонним трудно различить, какие комментарии отражают беспокойство реальных пользователей, а какие являются организованными голосами. Эта путаница сама по себе является одной из целей: она заставляет любую реакцию выглядеть как «подавление пользователей».
У него чёткое разделение труда. Аккаунты с менее чем 300 подписчиков опубликовали 44,1% негативных твитов, но создали лишь 5,1% показов; аккаунты с более чем 50 000 подписчиков составили лишь 6,2% объёма публикаций, но получили 68,0% показов. Топовые аккаунты задают тон, а мелкие аккаунты обеспечивают объём в комментариях, устраивают осады и расставляют фишинговые крючки.
Доля негативных постов и доля показов (по уровню подписчиков автора): мелкие аккаунты дают «количество», крупные аккаунты дают «охват».
Он подавляет, а не дискутирует. Личные нападки на сторонников и оскорбления в адрес основателей — это не обсуждение фактов, а попытки изменить то, кто осмеливается говорить. И всё это в конечном итоге указывает на один поведенческий результат: заставить как можно больше пользователей вывести свои активы за как можно более короткое время. Именно это является наиболее опасным как для платформы, так и для самих пользователей во время инцидента безопасности. Если бы набег на банк действительно сформировался, вред не ограничился бы одной компанией; он ударил бы по каждому обычному пользователю, который в панике продаёт по низким ценам или упускает окно из-за перегрузки.
На этот раз набега на банк не произошло. Через двенадцать часов после возобновления вывода средств 98% пользователей решили остаться. Это прежде всего заслуга суждения пользователей — в момент наибольшего информационного шума большинство людей решили дождаться официальной информации, проверить данные ончейн и сделать собственные выводы.
VIII. Ограничения, контрдоказательства и вопросы, требующие проверки
Во-первых, координация не равна найму. Одновременное появление в комментариях или ответы друг другу могут быть и естественным объединением реальных пользователей со схожими взглядами; высококоррелированное поведение аккаунтов не означает напрямую оплату или руководство. Во-вторых, ярлыки лагерей не равны корпоративному руководству. Метки «аффилированные с OKX», «аффилированные с HyperLiquid» и «предполагаемые правозащитники» в этой статье являются классификацией на основе публичного поведения; нет прямых доказательств того, что какое-либо учреждение официально участвовало, планировало или финансировало атаку. В-третьих, эта статья опирается только на публичные данные и не может охватить контент удалённых или защищённых аккаунтов; извлечение исторических окон ограничено рамками ключевых слов и может недооценивать фактический объём публикаций. В-четвёртых, окно наблюдения за координированной сетью начинается в 20:00 30 октября; данные о связях примерно за первые 15 часов после инцидента отсутствуют, поэтому координация в первый день может быть недооценена.
Сами данные также предоставляют факты, неблагоприятные для нарратива об «армии водяных армий». 134 подозрительных аккаунта водяной армии с наивысшими баллами по проверяемым правилам составляют 9% выборки, а их враждебные посты вместе получили лишь около 18 000 показов — 0,6%; контент, идентифицированный как чистые шаблоны «массового постинга водяной армии», получил лишь 5 419 показов. Среди трёх типов слухов с наибольшим числом показов подозрительные аккаунты водяной армии составили лишь от 8,5% до 27,8%. Большие нарративы в основном продвигаются небольшим числом топовых аккаунтов; водяные армии больше занимаются заполнением и фишингом. Кроме того, у предполагаемых правозащитников есть реальные обиды, и их участие не обязательно является организационным продуктом; многие пользователи высказываются на основе реальных потерь и реальных опасений, и их критику следует строго отличать от координированного поведения, обсуждаемого в этой статье.
Основные аргументы и сила доказательств
Учреждения, упомянутые или задействованные в этой статье (включая OKX, HyperLiquid и Bitget), а также связанные с ними отдельные аккаунты имеют право ответить и разъяснить данные и выводы, содержащиеся в этой статье; после получения ответов или противоположных доказательств эта статья будет соответствующим образом обновлена.
IX. Заключение: когда вы видите «Уходите сейчас»
Вернёмся к вопросу в начале: пострадала ли Binance от организованной репутационной атаки? Используя публичные твиты за эти 78 часов в качестве выборки, данные дают следующий ответ: существует значительная по масштабу атакующая сеть, сильно связанная внутри, меняющая тактику в ритме с ответами Binance; внутри неё есть несколько групп с разными характеристиками экосистемной близости и разными целями, которые могут не подчиняться одному командному центру, но действуют порознь в одном и том же временном окне и координируют друг друга в комментариях. «Охват» этой сети исходит главным образом от небольшого числа топовых аккаунтов; её «плотность» исходит от большого числа малых аккаунтов, которые обычно молчат, имеют мало подписчиков, но при этом сильно связаны.
Данные также призывают к сдержанности. Координация — это измеримый факт; найм и подстрекательство — это выводы, требующие большего количества доказательств. Критика сама по себе не является атакой, и большинство задающих вопросы — реальные пользователи. По-настоящему заслуживает бдительности тот тип голоса, который меняет тактику точно на пике паники, появляется кластерами точно там, где собираются сторонники, и чей вывод написан точно ещё до того, как другая сторона заговорит.
Для бирж урок этого инцидента таков: в кризисной коммуникации только обязательства и проверяемые цифры могут пробиться сквозь шум — гарантии, суммы, сроки, доказательства резервов. Binance заявила, что продолжит раскрывать информацию в проверяемой форме, опубликует полный технический разбор после завершения расследования, продолжит сообщать о фальшивых объявлениях о компенсациях, фальшивых объявлениях о листинге и фишинговых ссылках, опубликованных под видом официальных, а также сохранит доказательства и передаст контент, связанный с личными угрозами, на юридическую оценку.
Для каждого обычного пользователя, возможно, есть только один совет: во время кризиса смотрите на объявления платформы и данные ончейн. Когда вы видите целый экран единодушных голосов в комментариях, посмотрите ещё раз, о чём обычно говорят эти аккаунты; когда вы видите поразительные цифры, спросите, каков знаменатель; когда вы видите «уходите сейчас, уже слишком поздно», спросите, кто больше всего хочет, чтобы вы приняли это решение именно в этот момент.
Приложение: методология
Область наблюдения: с 30 октября 2026 года, 05:00, по 2 ноября, 20:00 (UTC+8); окна исторического сравнения (ретроспективная выборка более ранних публичных постов аккаунтов) — с 27 января по 5 февраля, с 10 по 14 марта, с 1 по 10 июня и с 10 по 19 августа 2026 года. Все времена были перепроверены по временным меткам, встроенным в ID твитов.
Выборка: собрана автором в течение трёх дней после инцидента с использованием ИИ для сканирования аккаунтов, участвующих в обсуждениях в X; в выборку были включены 1083 аккаунта, соответствующих критериям, всего собрано примерно 11 700 постов. Чистые ретвиты были исключены, сохранены оригинальные посты, ответы и цитаты. Раздел о координационной сети был сосредоточен на 641 наиболее активном аккаунте (окно наблюдения с 30 октября, 20:00, по 2 ноября, 20:00).
Оценка дезинформации: основное утверждение каждого пункта оценивалось по официальным объявлениям, данным ончейн и авторитетной информации третьих сторон и классифицировалось в одну из 15 категорий; оценочные утверждения, которые невозможно ни подтвердить, ни опровергнуть, не учитывались как дезинформация.
Классификация нарративов: на основе ключевых слов и семантических правил один фрагмент контента может одновременно принадлежать нескольким нарративам; интенсивность фазы пересчитывалась в посты в час в соответствии с длительностью каждой фазы.
Координация: взвешенное суммирование шести типов сигналов между двумя аккаунтами; кластеры выявлялись с использованием алгоритма модулярности Лувена без использования каких-либо ручных меток лагерей.
Оценка подозрения на «армию ботов»: оценивалась по таким правилам, как менее 50 подписчиков, число подписок более чем в три раза превышает число подписчиков, менее 500 подписчиков, но более 2000 постов, недавняя регистрация, публикация только ответов и многократная публикация идентичного текста; общий балл 4 или выше считался подозрительным.
