Взлом Binance был связан с северокорейской группой Lazarus блокчейн-исследователями, которые подозревают, что поддерживаемые государством хакеры украли примерно 6,3 миллиарда долларов с криптовалютной биржи 29 октября.
Краткое содержание
- TRM Labs с высокой степенью уверенности связала взлом Binance на 6,3 миллиарда долларов с северокорейским хакерским подразделением TraderTraitor.
- Генеральный директор Blockaid Идо Бен-Натан заявил, что злоумышленники переместили как минимум 3,5 миллиарда долларов через четыре блокчейна менее чем за час.
- Следователи проследили кражу до скомпрометированных механизмов подписи транзакций, включая 50 авторизаций Ethereum, нацеленных на один горячий кошелек.
- Binance сообщила о примерно 3 миллиардах долларов замороженных активов и обязалась покрыть убытки клиентов.
- Вывод средств остается приостановленным на время обновлений безопасности, при этом Binance ожидает возобновления обслуживания в течение 48 часов.
Согласно TRM Labs, ее следователи с высокой степенью уверенности приписали атаку TraderTraitor — северокорейскому хакерскому подразделению, связанному с Lazarus. Блокчейн-исследователь ZachXBT отдельно идентифицировал Lazarus как вероятного атакующего, хотя Binance не подтвердила, кто совершил кражу.
В комментариях для crypto.news Идо Бен-Натан, соучредитель и генеральный директор блокчейн-компании по безопасности Blockaid, заявил, что атака превзошла предыдущие кражи криптовалют по масштабу.
«Это крупнейший криптовалютный взлом в истории. Наш анализ показывает, что как минимум 3,5 миллиарда долларов было выведено из горячих кошельков Binance в Ethereum, Arbitrum, Optimism и Avalanche менее чем за час, что более чем вдвое превышает кражу Bybit в феврале 2025 года», — сказал Бен-Натан.
Он отметил, что следователи выявили дополнительные переводы с участием Bitcoin и Tron, в то время как его команда продолжала отслеживать украденные активы.
Тем временем платформа отслеживания блокчейна Onchain Lens сообщила, что атакующий Binance перевел 17 260 ETH стоимостью примерно 38,82 миллиона долларов на новый кошелек на фоне опасений, что средства могут быть отмыты через Tornado Cash или другие криптовалютные миксеры.
Согласно трекеру, атакующий по-прежнему контролировал почти 480 720 ETH стоимостью 1,08 миллиарда долларов, которые не могут быть заморожены эмитентом токена. Кошелек-получатель был идентифицирован как 0x03b0eE5d82990cFF1bDa48651AC3e436d1a020ea.
Группа Lazarus подозревается, поскольку взлом Binance охватывает десять блокчейнов
Расследование TRM проследило, как около 6,36 миллиарда долларов покинули контролируемые Binance кошельки через десять блокчейн-сетей, включая Ethereum, Bitcoin, Tron, Solana и XRP Ledger.
Большая часть украденных средств была перемещена в течение примерно 20 минут, начиная с 20:05 UTC. Около 3,79 миллиарда долларов было переведено в Ethereum, в то время как Bitcoin и Tron составили еще 1,47 миллиарда и 628 миллионов долларов соответственно.
Следователи выявили 233,46 миллиона XRP стоимостью почти 296 миллионов долларов, покинувших пять кошельков Binance до начала атаки на Ethereum.
Компания по безопасности заявила, что подготовка началась как минимум за 36 часов до кражи. Контролируемый атакующим кошелек получил три небольших вывода из Tornado Cash и протестировал вредоносный код перед атакой на Binance.
TRM связала эту активность с TraderTraitor, используя блокчейн-транзакции и другие разведданные, хотя публично не раскрыла все доказательства, лежащие в основе ее атрибуции.
ФБР ранее установило, что TraderTraitor несёт ответственность за кражу в Bybit в феврале 2025 года, в результате которой с биржи было выведено около 1,5 млрд долларов. Власти США обвинили северокорейские хакерские операции в краже криптовалюты для финансирования оружейных программ страны.
Blockaid объясняет, как злоумышленники получили доступ к кошелькам Binance
Техническое расследование Blockaid выявило необычную транзакцию Ethereum, содержащую 50 авторизаций EIP-7702, нацеленных на Binance 14 — один из самых загруженных горячих кошельков биржи.
EIP-7702 позволяет кошельку Ethereum авторизовать код смарт-контракта для работы от своего имени. Злоумышленник подготовил авторизации, используя 50 последовательных счётчиков транзакций, повышая вероятность того, что один из них совпадёт с текущим счётчиком кошелька.
Успешной оказалась только одна авторизация, что позволило вредоносному контракту перевести активы с кошелька.
«Злоумышленник фактически перепрограммировал крупный горячий кошелёк Binance в Ethereum так, что один оператор мог его опустошить, включая любые новые средства, внесённые на него», — объяснил Бен-Натан в интервью crypto.news.
Злоумышленник перевёл с Binance 14 примерно 2,5 млрд долларов, включая 167 464 ETH и более 1,6 млрд USDT. Последующие переводы были нацелены на недавно полученные средства.
Следователи обнаружили другие кошельки Binance, перемещающие активы посредством обычных подписанных транзакций в нескольких сетях. TRM полагает, что злоумышленник мог получить доступ к инфраструктуре подписания транзакций биржи.
Binance выявила возможный взлом ноутбука на фоне заморозки 3 млрд долларов
В своём обновлении по безопасности Binance сообщила, что первоначальное расследование указывает на скомпрометированный ноутбук инженера DevOps, который мог позволить несанкционированный доступ к внутреннему сервисному контейнеру.
Биржа не обнаружила доказательств утечки приватных ключей и заявила, что опубликует подробное расследование после установления причины.
Генеральный директор Tether Паоло Ардоино подтвердил заморозку более 1,567 млрд USDT, а генеральный директор Circle Джереми Аллер сообщил о заморозке более 800 млн USDC. Совет по безопасности Arbitrum обеспечил сохранность примерно 74,6 млн ARB и 8 425 ETH, связанных со злоумышленником.
Вывод средств из Binance остаётся приостановленным
Binance обязалась покрыть убытки за счёт своего фонда SAFU и ресурсов компании, работая с правоохранительными органами и блокчейн-следователями.
В то же время биржа сообщила, что депозиты продолжают работать, но вывод средств останется приостановленным, пока она модернизирует системы вывода и контроль адресов.
Binance ожидает возобновления вывода средств в течение 48 часов и заявила, что последует полный отчёт о причине атаки.
Рынки криптовалют также оказались под давлением продаж после взлома: Bitcoin ненадолго упал ниже 77 000 долларов. Общий объём ликвидаций на рынке деривативов превысил 1,5 млрд долларов за 24 часа.
