Северокорейские хакеры, $6,3 млрд и 20 минут: новые детали взлома Binance

Binance официально оценила масштаб взлома в $6,3 млрд, а аналитики TRM Labs с высокой степенью уверенности связали атаку с северокорейской группировкой TraderTraitor. Депозиты на бирже уже работают в штатном режиме, выводы возобновятся в течение 48 часов.

Что известно о причинах инцидента

По данным предварительного расследования, злоумышленник мог скомпрометировать ноутбук инженера DevOps. Через него он получил доступ к сервисному контейнеру и отправил несанкционированные транзакции на вывод средств. Доказательств утечки приватных ключей кошельков биржа не нашла. Авторизация затронутого адреса отозвана.

Убытки Binance намерена покрыть из фонда SAFU и собственных средств. Средства пользователей, по заявлению компании, находятся в безопасности. Подробный технический постмортем появится после завершения расследования.

Будьте в курсе
движения ваших монет

Алерты, котировки в реальном времени и новости рынка — в одном приложении

Наведите камеру телефона, чтобы установить

4,8 на основе 40 К оценок в App Store и Google Play

В обновлении от 30 октября биржа уточнила статус сервисов: выводы остаются на паузе, пока команда дорабатывает сервис вывода и связанные адреса. Полный отчёт о первопричине последует позже.

Как уходили деньги

Средства выведены с горячих кошельков сразу в нескольких сетях: Ethereum, Bitcoin, Tron и других. В одной из транзакций в сети Ethereum ушло около 167 000 Ethereum и $1,6 млрд в $USDT. Из сети биткоина вывели около 18 000 биткоинов. По оценке Chainalysis, на момент кражи объём перемещённых средств составлял около $5,91 млрд.

TRM Labs называет цифру побольше: около $6,36 млрд ушло из кошельков Binance по десяти блокчейнам. Большую часть денег вывели примерно за 20 минут.

Заморозка активов

Около $3 млрд затронутых активов уже заморожено на блокчейне при содействии партнёров. Значительную долю составляют стейблкоины: Tether и Circle заморозили, по отдельным оценкам, свыше $1,5 млрд в $USDT и около $800 млн в USDC. Общая сумма замороженного приближается к $3 млрд.

След ведёт к Северной Корее

TRM Labs приписывает атаку TraderTraitor — элитному хакерскому подразделению, связанному с Lazarus Group. Вывод основан на ончейн- и офчейн-данных. Об этом сообщило агентство Reuters со ссылкой на блог компании.

Ончейн-исследователь ZachXBT сообщил в соцсети X о другой важной детали. Средства, украденные у Binance, и $388 млн из эксплойта Bitget через THORChain оказались на одном адресе (0x15104a9ce0f08a8f0075a0869ae80e795fe0feb7) и были смешаны. Это указывает на высокую вероятность того, что за обеими атаками стоит один и тот же хакер. Взлом Bitget ранее связывали с TraderTraitor, чьи действия пересекаются с предыдущими атаками, включая эксплойт Kelp DAO.

Мнение ИИ

С точки зрения машинного анализа данных, этот эпизод напоминает февраль 2025 года. Тогда криминалисты установили, что $1,5 млрд у Bybit ушли после взлома устройства разработчика Safe{Wallet}, а не из-за изъяна в самих блокчейнах. Криптография выдержала экзамен, а вот человек с ноутбуком и цепочка подрядчиков оказались слабее любого алгоритма.

Масштаб тоже говорит сам за себя: прежний рекорд в $1,5 млрд, если сопоставить его с суммой из материала, вырос примерно в четыре раза. Потолок биржевых краж, похоже, давно измеряется не сотнями миллионов. Вопрос о том, где кончается безопасность кода и начинается безопасность людей, пока остаётся открытым.

Источник