Северокорейский джекпот. Как с Binance похитили криптовалюту на 6 миллиардов долларов

В ночь на 30 октября с крупнейшей в мире криптовалютной биржи Binance хакеры вывели цифровые активы на сумму более 6 млрд долл. Это стало самой масштабной кражей криптовалюты в истории. И хотя примерно половину похищенных активов удалось заморозить, под контролем злоумышленников остались криптоактивы на миллиарды долларов.

Аналитики связывают инцидент с северокорейскими хакерами. Несмотря на беспрецедентные масштабы атаки, Binance обещает компенсировать убытки за счет собственных резервов. Для этого биржа уже зарезервировала более 6,3 млрд долл., из которых 5 млрд долл. в соответствующих криптоактивах.

Как злоумышленникам удалось вывести с крупнейшей криптобиржи мира миллиарды долларов, почему её системы безопасности не смогли этому предотвратить и кто может стоять за атакой?

Как происходило похищение

Менее чем за четыре часа злоумышленники вывели криптовалюту на общую сумму около 6,3 млрд долл. из 17 горячих кошельков Binance, подсчитала аналитическая компания Bitquery. Речь идет об адресах, на которых биржа хранит криптовалюту для проведения ежедневных операций, в частности вывода активов клиентами. Атака охватила девять блокчейн-сетей, а больше всего средств было похищено в Ethereum, Bitcoin и TRON.

Первые подозрительные переводы на крупные суммы аналитики зафиксировали 29 октября в 20:04. Тогда криптовалюта начала поступать с кошельков Binance на новые адреса, которые, вероятно, контролировали злоумышленники. Самое интересное, что эти переводы подтверждала собственная система Binance. То есть для блокчейна они выглядели как вполне обычные операции, разрешенные самой биржей.

По предварительной версии Binance, злоумышленники могли получить доступ к внутренним системам через взломанный ноутбук одного из инженеров, отвечавшего за работу технической инфраструктуры. После этого они, вероятно, воспользовались системой вывода средств. При этом сама биржа заявила, что не нашла доказательств кражи приватных ключей, с помощью которых подтверждаются криптовалютные переводы.

Один из самых масштабных эпизодов атаки произошел в сети Ethereum и коснулся кошелька Binance 14. Это один из главных пострадавших кошельков, который входил в официальный список резервов биржи, обеспечивавших балансы пользователей.

По данным аналитических компаний Blockaid и Bitquery, примерно в 22:20 по киевскому времени хакеры активировали специальный механизм Ethereum под названием EIP-7702 для управления криптовалютным кошельком. Он позволяет настроить его так, чтобы операции со средствами могла выполнять специальная программа.

Уже через четыре минуты, около 22:24, состоялся перевод, когда из кошелька Binance 14 на другой адрес вывели примерно 167,5 тыс. ETH, 1,6 млрд USDT и десятки других криптовалютных токенов.

Аналитики TRM Labs выяснили, что перед этим было подготовлено 50 цифровых разрешений, подписанных для кошелька Binance 14. Каждое из них соответствовало отдельному порядковому номеру операции. Такой подход был необходим, поскольку кошелек постоянно осуществлял переводы, а значит, номер следующей операции менялся.

Фактически это позволило злоумышленникам осуществить перевод от имени кошелька, хотя его настоящий владелец таких действий не одобрял.

На этом вывод средств не закончился. Уже через 24 секунды с другого кошелька, Binance 16, на адрес злоумышленников перевели ещё более 28 тыс. ETH и другие токены. Также в течение следующих 12 минут криптовалюта начала поступать ещё из десяти горячих кошельков Binance в сети Optimism, Arbitrum и Avalanche. При этом, по данным Blockaid, эти переводы осуществлялись как обычные операции, подписанные соответствующими кошельками.

Параллельно хакеры продолжали выводить криптовалюту из других кошельков Binance в различных блокчейн-сетях. В целом атака длилась почти четыре часа, до 01:56 30 октября.

Сегодня утром Binance сообщила о проблеме с безопасностью и начала расследование, приостановив вывод средств для всех пользователей. Впрочем, по данным Bitquery, на тот момент кошельки биржи в значительной степени уже были опустошены.

Больше всего средств злоумышленники вывели через сеть Ethereum – около 3,79 млрд долл. Еще 1,47 млрд долл. пришлось на Bitcoin, а около 628 млн долл. — на Tron. Атака также затронула XRP Ledger, Solana, Arbitrum, Avalanche и другие блокчейн-сети.

Быстро вывести до блокировки

После похищения средств с Binance злоумышленники начали обменивать часть криптовалюты на другие активы, чтобы избежать их блокировки. По данным Bitquery, ещё до вмешательства Tether (блокчейн-компания и эмитент USDT) хакеры успели обменять около 729 млн долл. в USDT на Ethereum (ETH) и TRON (TRX).

Tether имеет техническую возможность замораживать USDT на определенных криптокошельках, чтобы их нельзя было перевести или использовать. Однако если хакер успевает обменять USDT на другую криптовалюту, например ETH, Tether уже ничего не может поделать.

Этим и воспользовались злоумышленники, которые провели часть обменных операций ещё до того, как компания начала замораживать похищенные USDT.

Впоследствии к блокировке активов присоединились Circle, выпускающая другую привязанную к доллару криптовалюту USDC, а также команды Arbitrum и других криптовалютных проектов.

По подсчетам Bitquery, к утру 30 октября удалось заблокировать или перевести на защищенные адреса криптовалюту на общую сумму около 2,7 млрд долл.

Однако часть средств все же была утрачена. Так, по данным Bitquery, из 11 случаев блокировки адресов компанией Tether 6 касались кошельков, из которых хакеры уже успели вывести криптовалюту.

Примерно через 11 часов после первой подозрительной транзакции под контролем злоумышленников по-прежнему находились активы на сумму около 3,2 млрд долл., преимущественно в Ethereum и Bitcoin. При этом значительная часть этих средств оставалась на кошельках, с которых после поступления криптовалюты не проводилось ни одного перевода.

Аналитики Bitquery обратили внимание на количество Ethereum, которое оказалось под контролем хакеров. В общей сложности они накопили 508 621 ETH, хотя непосредственно из кошельков Binance похитили около 200 630 ETH.

Откуда взялась разница? Дело в том, что после атаки злоумышленники активно обменивали другие похищенные криптовалюты, в частности привязанные к доллару токены, на Ethereum. В результате под их контролем оказалось примерно в 2,5 раза больше ETH, чем они непосредственно похитили с биржи.

Северокорейский след

Одними из первых под подозрение аналитиков, исследовавших атаку на Binance, попали северокорейские хакеры. В частности, компания TRM Labs связывает взлом с группировкой TraderTraitor. К аналогичному выводу пришла и сингапурская Pangolin Intelligence, которая обнаружила совпадения с предыдущими атаками хакеров из КНДР.

Само название TraderTraitor обычно используют американские спецслужбы для обозначения северокорейских хакеров, специализирующихся на кражах криптовалюты.

Впервые американские власти публично заговорили о TraderTraitor в апреле 2022 года. Тогда ФБР, Агентство по кибербезопасности США (CISA) и Министерство финансов предупредили о серии атак на криптовалютные компании.

Японские правоохранительные органы считают TraderTraitor частью Lazarus Group. Это одна из самых известных хакерских группировок Северной Кореи, которая, по данным разведчиков США, работает под контролем государственной разведки КНДР.

Одна из характерных особенностей этих хакеров заключается в использовании социальной инженерии. Например, в марте 2024 года хакер под видом рекрутера связался через LinkedIn с сотрудником японской компании Ginco, которая разрабатывает программное обеспечение для криптовалютных кошельков.

Сотруднику предложили выполнить тестовое задание, для которого нужно было запустить программный код. После этого хакеры получили доступ к его компьютеру, а впоследствии проникли во внутренние системы компании.

Это позволило им вмешаться в операции криптобиржи DMM Bitcoin, с которой в конце мая похитили 4 502,9 биткоина стоимостью около 308 млн долл. В декабре того же года ФБР и японская полиция официально связали атаку с TraderTraitor.

До инцидента с Binance крупнейшим в истории взломом криптобиржи считалась атака на Bybit в феврале 2025 года. Тогда хакеры похитили криптовалюту на сумму около 1,5 млрд долл. Ответственность за этот взлом также связывают с группировкой TraderTraitor.

Для Северной Кореи такие операции давно являются одним из способов получения иностранной валюты. По оценкам западных спецслужб, похищенные средства могут использоваться для финансирования военных программ и обхода международных санкций.

Чтобы понять масштабы, достаточно сравнить сумму похищенной криптовалюты с экономикой самой страны. Северная Корея не публикует полную экономическую статистику, поэтому внешние оценки существенно различаются. Однако согласно одному из расчетов ООН, в 2024 году её ВВП составлял около 17,2 млрд долл.

То есть 6,3 млрд дол., которые пытались похитить во время атаки на Binance, составляют более трети экономики страны. А по масштабу это можно сравнить даже с оценками годовых военных расходов Северной Кореи, которые, по разным подсчётам, достигают нескольких миллиардов долларов.