TRM и Chainalysis связали взлом Binance на $6,4 млрд с северокорейской группой TraderTraitor

Три блокчейн-аналитические фирмы приписали взлом Binance на этой неделе Северной Корее, причём две крупнейшие назвали TraderTraitor — северокорейскую хакерскую группу — ответственной за то, что обе описывают как крупнейшую кражу криптовалюты в истории.

TRM Labs заявила, что сделала это заключение «с высокой степенью уверенности», основываясь на «надёжных данных как ончейн, так и офчейн». Она оценила кражу примерно в 6,36 млрд долларов, выведенных из кошельков Binance в 10 блокчейнах, большая часть — примерно за 20 минут с 16:05 по восточному времени в четверг. Это примерно в четыре раза больше взлома Bybit на 1,5 млрд долларов в феврале 2025 года, который ФБР приписало той же группе, отметила TRM.

Chainalysis, оценившая общую сумму примерно в 6,4 млрд долларов, заявила, что самые сильные доказательства появились, когда её следователи увидели, как украденные из Binance средства смешиваются в реальном времени со средствами от эксплойта Bitget в прошлом месяце, который был приписан северокорейским субъектам.

Представитель Chainalysis сообщил CNN, что фирма «с высокой степенью уверенности» считает, что за взломом стоит Северная Корея. Базирующаяся в Сингапуре Pangolin Intelligence также сообщила CNN, что, по её мнению, ответственность несёт северокорейское хакерское подразделение, основываясь на «анализе ончейн-активности, связанной с этим взломом, и сопоставлении с информацией, собранной из предыдущих известных инцидентов». Северная Корея ранее отрицала обвинения во взломах.

TRM и Chainalysis обе заявили, что операционный кошелёк злоумышленника был пополнен через Tornado Cash — криптовалютный миксер. TRM заявила, что это и другие особенности, включая подготовку, начавшуюся задолго до кражи, совпадают с более ранними атаками, связанными с Северной Кореей, такими как взлом Bybit и эксплойт KelpDAO в апреле.

Как работала атака

В сети Ethereum злоумышленник использовал делегирование EIP-7702 — функцию, появившуюся в обновлении Pectra, которая позволяет обычному кошельку исполнять код смарт-контракта, чтобы превратить горячий кошелёк Binance в подконтрольный ему сборщик средств, заранее подготовив 50 предварительно подписанных авторизаций, согласно TRM. Кошельки Binance в остальных девяти сетях отправляли средства злоумышленнику через обычные подписанные переводы. По оценке TRM, это указывает на компрометацию инфраструктуры подписи горячего кошелька Binance.

Binance заявила, что её расследование началось с компрометации ноутбука инженера, но с тех пор обнаружила «дополнительные точки проникновения». Атака на Bybit также началась с одной скомпрометированной машины: северокорейские хакеры внедрили вредоносный код в инфраструктуру провайдера кошельков Safe после компрометации компьютера разработчика Safe, Decrypt сообщал об этом в то время.

Злоумышленник быстро приступил к отмыванию того, что не смог удержать. Chainalysis сообщила, что наблюдает «никогда ранее не встречавшиеся схемы отмывания», причём тысячи транзакций за короткий период указывают на использование автоматизации для многократного перемещения средств между адресами. По данным TRM, злоумышленник также продавал USDT маркет-мейкерам и брал ETH в кредит под залог USDT на кредитном протоколе Aave, чтобы опередить заморозки со стороны эмитентов, и теперь владеет более чем 420 000 ETH и 18 270 BTC — около 2,4 млрд долларов, находящихся вне досягаемости любого эмитента.

Tether, Circle, Ripple и World Liberty Financial заморозили около 2,67 млрд долларов в стейблкоинах, а Совет безопасности Arbitrum заморозил 8 426 ETH и 74,6 млн ARB, сообщила TRM. Binance оценивает общую сумму замороженных средств примерно в 3 млрд долларов.

В обновлённой информации в пятницу Binance сообщила, что зарезервировала более 6,34 млрд долларов собственных средств для покрытия инцидента, из которых 5 млрд долларов уже хранятся именно в тех токенах, которые были украдены. Остальное компания закупает через рыночные и внебиржевые каналы, что «может занять больше времени, поскольку некоторые токены могут обладать низкой ликвидностью», заявила биржа. Эти цифры не включают замороженные активы.

«Мы переживём эту бурю», — заявила Binance.

Северокорейские хакеры давно нацелены на эту биржу. В августе 2025 года главный специалист по безопасности Binance Джимми Су рассказал Decrypt, что северокорейские злоумышленники каждый день пытаются устроиться на работу в Binance, и назвал их главной угрозой для криптокомпаний. В среду Министерство финансов США ввело санкции против 10 физических лиц и одной организации в связи со схемами северокорейских IT-специалистов, через которые были перемещены миллионы долларов в криптовалюте.