В атаке на Binance заподозрили северокорейских хакеров: похищено $6,36 млрд
Аналитическая компания TRM связала крупнейшую кражу криптовалюты с группировкой TraderTraitor из Северной Кореи. Злоумышленники вывели около $6,36 млрд из кошельков Binance в десяти блокчейнах.
Атака на Binance произошла вечером 29 октября. По данным TRM, хакеры вывели около $6,36 млрд из кошельков биржи в десяти блокчейнах, причём основная часть переводов заняла примерно 20 минут. Binance подтвердила инцидент с безопасностью и временно приостановила вывод средств в нескольких сетях, заявив, что средства пользователей в безопасности.
TRM связала атаку с TraderTraitor — элитной хакерской группировкой из Северной Кореи, также известной как Jade Sleet, UNC4899 или Pukchong. Эта группа входит в структуру спецслужб КНДР (подгруппа Lazarus) и специализируется на масштабных кибератаках и хищениях в сфере блокчейна и криптовалют. Аналитики оценивают уверенность в этой версии как высокую, основываясь на данных блокчейна и других источниках.
По данным TRM, атака имеет сходство с другими крупными кражами, приписываемыми северокорейским хакерам: злоумышленники заранее готовили операцию, использовали небольшие переводы через Tornado Cash для сокрытия происхождения средств и активировали заранее подготовленные разрешения. Ранее ФБР связывало TraderTraitor со взломом криптобиржи Bybit в феврале 2025 года, когда были похищены активы на $1,5 млрд.
В центре атаки оказался горячий кошелёк Binance — цифровое хранилище, подключённое к интернету, которое биржи используют для повседневных операций. По версии TRM, злоумышленник получил возможность заставлять систему Binance подтверждать переводы в его пользу. В сети Ethereum он использовал механизм передачи выполнения операций смарт-контракту и заранее подготовил 50 разрешений на такие операции. Это позволило дождаться подходящего момента и перевести почти весь баланс кошелька на подконтрольный адрес; когда поступали новые деньги, хакер снова их выводил. Кошельки Binance в других сетях также отправляли средства на адреса злоумышленника, поэтому аналитики предполагают, что он мог получить доступ к системе, отвечающей за подтверждение транзакций сразу в нескольких блокчейнах.
После атаки Tether, Circle, Ripple и World Liberty Financial заморозили стейблкоины примерно на $2,67 млрд. Ещё около $30 млн в Ethereum и токенах ARB удалось вывести из-под контроля злоумышленника благодаря действиям совета безопасности сети Arbitrum. Таким образом, удалось заморозить активы примерно на $2,7 млрд. Однако, по оценке TRM, под контролем злоумышленников всё ещё остаются более 420 тыс. ETH и 18 270 BTC общей стоимостью около $2,4 млрд. Часть похищенных стейблкоинов хакеры успели обменять на Ethereum.
TRM продолжает отслеживать движение похищенной криптовалюты и предупреждать другие биржи и финансовые компании об адресах, связанных с атакой, чтобы затруднить обмен и вывод украденных активов.