Хакеры вывели с Binance $6,3 млрд: крупнейшую криптокражу связали с КНДР
С крупнейшей кражей криптовалют в истории может быть связана северокорейская хакерская группировка TraderTraitor. Аналитики проследили движение активов на десяти блокчейнах и обнаружили, что основная часть средств покинула кошельки Binance примерно за 20 минут. Сама биржа оценила последствия инцидента в $6,3 млрд и пообещала компенсировать потери пользователей.
Американская компания TRM Labs, специализирующаяся на анализе операций с криптовалютами, заявила о причастности к атаке группировки TraderTraitor, которую связывают с КНДР. В опубликованном расследовании аналитики сообщили, что пришли к такому выводу с высокой степенью уверенности на основании данных блокчейнов и других источников.
По подсчетам TRM Labs, 29 октября злоумышленник перевел около $6,36 млрд из кошельков Binance в сетях десяти блокчейнов. Большая часть средств была перемещена примерно за 20 минут. По масштабу инцидент примерно в четыре раза превзошел взлом криптобиржи Bybit в феврале 2025 года, когда было похищено около $1,5 млрд.
Как удалось вывести криптовалюту с Binance
Предварительная версия самой Binance отличается по уровню детализации от выводов аналитиков. В заявлении от 30 октября биржа сообщила, что инцидент мог начаться с компрометации ноутбука инженера DevOps. Это позволило злоумышленнику получить доступ к служебному контейнеру и инициировать несанкционированные транзакции. При этом признаков утечки приватных ключей от кошельков компания не обнаружила.
TRM Labs описывает более сложную схему: по версии аналитиков, злоумышленники могли получить возможность управлять системой подписания транзакций горячих кошельков Binance. На Ethereum атакующий использовал заранее подготовленные разрешения, чтобы заставить один из кошельков выполнять команды подконтрольного ему смарт-контракта и переводить средства на внешние адреса.
Подготовка к операции, согласно расследованию, началась как минимум за полтора дня до основных переводов. Аналитики обнаружили предварительные транзакции, тестирование кода и заранее полученные подписи. При этом Binance пока не опубликовала окончательный технический отчет, поэтому точный способ проникновения еще предстоит установить.
Куда делись украденные миллиарды
После атаки криптовалютные компании начали блокировать активы, которые еще можно было заморозить. По данным TRM Labs, эмитенты стейблкоинов Tether, Circle, Ripple и World Liberty Financial заблокировали около $2,67 млрд. Еще примерно $30 млн в ETH и токенах ARB удалось заморозить благодаря действиям совета безопасности блокчейна Arbitrum. В общей сложности речь идет примерно о $2,7 млрд.
Однако часть средств злоумышленник успел обменять. В частности, он конвертировал стейблкоины в Ethereum, а также использовал криптовалютные кредитные протоколы. По оценке TRM Labs, в распоряжении атакующего осталось более 420 тыс. ETH и 18,27 тыс. биткоинов — активы общей стоимостью около $2,4 млрд, которые невозможно заблокировать по распоряжению эмитента.
Binance заявила, что ущерб будет покрыт из фонда SAFU, предназначенного для защиты пользователей и собственных средств компании. Биржа также сообщила, что временно приостанавливала ввод и вывод средств на отдельных сетях, привлекла правоохранительные органы и партнеров по блокчейн-аналитике для расследования и поиска активов.
Почему подозревают именно северокорейских хакеров
TRM Labs связывает атаку с группировкой TraderTraitor, которую относят к северокорейским хакерским структурам. По данным компании, отдельные элементы операции напоминают предыдущие крупные кражи, связанные с этой группой: предварительную подготовку кошельков, небольшие транзакции для финансирования операций и использование заранее полученных подписей.
Версию о северокорейском следе поддержали и другие участники криптовалютного рынка. Как сообщает Reuters, аналитики Chainalysis также связали взлом с TraderTraitor, а независимый исследователь ZachXBT обратил внимание на движение средств, связывающее инцидент с предыдущими атаками.
Ранее эту группировку связывали с кражей примерно $1,5 млрд у Bybit в феврале 2025 года. Тогда американские власти также называли TraderTraitor ответственной за атаку.
При этом важно разграничивать выводы аналитиков и официальное подтверждение. TRM Labs заявила о причастности группировки с высокой степенью уверенности, однако Binance в своем сообщении от 30 октября подчеркнула, что продолжает устанавливать личности злоумышленников и сотрудничает с правоохранительными органами.
Подписывайтесь на канал РИАМО в МАКС.