ФБР официально приписывает хакерам, поддерживаемым северокорейским государством, рекордную кражу криптовалют с платформы Binance. Агентство просит индустрию криптовалют помочь предотвратить отмывание похищенных средств.
Атака произошла 29 октября. Хакеры опустошили горячие кошельки Binance — цифровые кошельки, подключенные к интернету, — на нескольких блокчейнах и перевели основную часть средств чуть менее чем за 20 минут. По оценкам Binance, ущерб составил около 6,3 миллиарда долларов, что делает эту кражу крупнейшим хищением криптовалюты из когда-либо зарегистрированных.
В последующие часы аналитические компании TRM Labs и Chainalysis связали атаку с северокорейской группой TraderTraitor. Binance изначально сообщила, что взлом мог начаться со скомпрометированного ноутбука инженера DevOps, и обязалась покрыть все убытки.
Формальное приписывание от ФБР
ФБР опубликовало свое предупреждение 31 октября, через два дня после кражи. «ФБР совместно с партнерами из USSS и IRS-CI наблюдало, как участники группы TraderTraitor конвертируют похищенные активы в основном в Ethereum (ETH). Ожидается, что эти активы будут затем отмыты путем конвертации через сервисы DeFi и мгновенные обменники перед следующими этапами отмывания», — сообщает агентство.
В предупреждении перечислены 608 адресов Ethereum, 19 адресов Bitcoin и один адрес Solana, которые в настоящее время содержат или содержали средства от кражи. Совместно с Секретной службой и IRS-CI ФБР просит операторов нод THORChain и RPC, мгновенные обменники, сервисы DeFi и компании по анализу блокчейна отклонять транзакции, связанные с этими адресами. Агентство ранее уже приписывало этой же группе кражу 1,5 миллиарда долларов у Bybit в феврале 2025 года.
Binance говорит об атаке, более масштабной, чем один компьютер
Binance с тех пор уточнила свои первоначальные выводы. В заявлении со-генеральный директор Ричард Тенг утверждает: «Наше первоначальное расследование предполагало, что инцидент безопасности мог быть связан со скомпрометированным ноутбуком, но наше последующее расследование выявило дополнительные точки компрометации». Он описывает сложную атаку, которая «не была проведена одним человеком», и указывает, что злоумышленник использовал функцию делегирования Ethereum, EIP-7702, которая «не прошла через наши обычные проверки на одобрение». Binance еще не детализировала эти дополнительные точки компрометации и обещает провести технический пост-мортем-анализ после проверки фактов. По словам Ричарда Тенга, злоумышленник также развернул механизм самоуничтожения, который стер его инструменты и следы, что усложняет расследование. Вывод средств возобновился поэтапно с 1 ноября, начиная с сети Bitcoin. В воскресенье утром биржа сообщила, что обработала выводов примерно на 4,6 миллиарда долларов и депозитов на 1 миллиард долларов. Компания утверждает, что заменила около 95% украденной суммы собственными средствами и докупает оставшиеся, менее ликвидные токены на рынке и внебиржевым способом.
Отмывание, которое, кажется, автоматизировано
Компания Elliptic оценивает кражу в 6,43 миллиарда долларов, распределенных по 11 блокчейнам, из которых 2,85 миллиарда долларов были заморожены или изъяты в сети. По ее последним данным, злоумышленник все еще контролирует активы на сумму около 3,25 миллиарда долларов, которые ни один эмитент не может заморозить, распределенные по более чем 800 адресам, включая около 584 000 ETH, 18 327 BTC и 233 миллиона XRP. Elliptic подчеркивает, что отмывание «не спит», в отличие от схем с человеческим участием, наблюдавшихся при краже у Bybit.
Основной кошелек, распределяющий средства в сети Tron, продолжал осуществлять выплаты каждый час в течение более суток. Когда межсетевой мост отказался принимать депозиты, система перенаправила деньги на тот же адрес через вновь созданные кошельки. К концу октября около 196 миллионов долларов перешли с этого кошелька примерно на сорок… на примерно 200 других кошельков, причем THORChain стал основным каналом вывода, на сумму около 31 миллиона долларов. Elliptic не может установить, основана ли автоматизация на ИИ-агентах или на классических скриптах, и ожидает, что отмывание растянется на несколько месяцев, как после кражи у Bybit. Chainalysis со своей стороны отмечает схемы отмывания, указывающие на автоматизацию, в частности тысячи транзакций за короткое время и множество недавно созданных адресов, первый перевод с которых составлял ровно 1 TRX.
