ФБР связало взлом Binance на $6 млрд с северокорейской группировкой TraderTraitor
ФБР заявило, что атаку на Binance 29 октября провела северокорейская группировка TraderTraitor, подразделение Lazarus Group. Хакеры вывели более $6 млрд, бюро опубликовало сотни адресов для блокировки транзакций.
ФБР опубликовало более 600 адресов Ethereum, 19 биткоин-кошельков и один адрес Solana, связанных с кражей. Ведомство призвало участников индустрии блокировать проходящие через них транзакции. В расследовании участвуют Секретная служба и отдел уголовных расследований Налогового управления США.
По данным правоохранителей, хакеры переводили похищенные средства в основном в Ethereum, а затем попытаются скрыть их происхождение через DeFi-приложения. Операторов узлов THORChain, поставщиков RPC-инфраструктуры, децентрализованные протоколы, сервисы мгновенного обмена и аналитические компании попросили блокировать транзакции с указанных адресов. Речь идет о мерах против отмывания, а не о технической возможности принудительно заморозить криптовалюту на уровне блокчейна.
Chainalysis связала атаку с TraderTraitor 30 октября. Специалисты заметили, что похищенные средства смешивались в блокчейне с активами из сентябрьского взлома Bitget, который ранее приписали северокорейским хакерам. По оценке компании, несанкционированные переводы с горячих кошельков Binance в нескольких блокчейнах в сумме составили около $6,4 млрд.
В Ethereum злоумышленники использовали действительные подписанные разрешения, позволившие запускать собственный код через кошелек биржи. В других сетях часть переводов выглядела как обычные подписанные транзакции. Вскоре после начала атаки хакеры попытались обменять $500 млн в стейблкоинах на активы, которые эмитент не может заблокировать. За 20 минут они конвертировали $325 млн в ETH стоимостью около $285 млн. Первые заморозки начались к 17:14 по восточному времени США 29 октября.
Дальнейшее движение средств указывало на автоматизированное отмывание: тысячи операций между многочисленными адресами и неоднократный возврат активов на уже использованные кошельки. В Tron прослеживалась последовательность: новый адрес сначала получал ровно 1 TRX, затем дополнительные средства. Глава Chainalysis Джонатан Левин допустил, что в ближайшие недели число задействованных адресов может вырасти до десятков тысяч.
Binance к 1 ноября закрыла около 95% дефицита, образовавшегося после взлома, днем ранее показатель составлял 90%. Клиентские средства в BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD и ZEC полностью обеспечены резервами. Оставшиеся 5% приходятся на менее ликвидные токены, которые компания докупает на открытом рынке и через внебиржевые сделки. Деньги взяты из части SAFU, страхового фонда фьючерсного рынка и корпоративных резервов. Позже компания намерена вернуть фонд к уровню около $1 млрд.
Биржа сделала новый снимок резервов на 31 октября и к 3 ноября планирует опубликовать полное криптографическое подтверждение обеспеченности клиентских активов. Восстановление резервов не означает возврата похищенной криптовалюты: ранее Binance сообщила, что при содействии отраслевых партнеров заморозила около $3 млрд. Вывод средств платформа возобновит поэтапно с 1 ноября с 06:00 до 09:00 UTC для основных криптовалют в 15 сетях, включая биткоин, Ethereum, Solana, Tron и BNB Chain. Прием депозитов работает в штатном режиме.