Злом Binance було пов'язано з північнокорейською групою Lazarus дослідниками блокчейну, які підозрюють, що підтримувані державою хакери викрали приблизно 6,3 мільярда доларів з криптовалютної біржі 29 жовтня.
Резюме
- TRM Labs з високою впевненістю пов'язала злом Binance на 6,3 мільярда доларів з північнокорейським хакерським підрозділом TraderTraitor.
- Генеральний директор Blockaid Ідо Бен-Натан заявив, що зловмисники перемістили щонайменше 3,5 мільярда доларів через чотири блокчейни менш ніж за годину.
- Слідчі простежили крадіжку до скомпрометованих засобів контролю підпису транзакцій, включаючи 50 авторизацій Ethereum, націлених на один гарячий гаманець.
- Binance повідомила про приблизно 3 мільярди доларів заморожених активів і зобов'язалася покрити збитки клієнтів.
- Виведення коштів залишається призупиненим під час оновлень безпеки, і Binance очікує відновлення послуг протягом 48 годин.
Згідно з TRM Labs, її слідчі з високою впевненістю приписали атаку TraderTraitor — північнокорейському хакерському підрозділу, пов'язаному з Lazarus. Дослідник блокчейну ZachXBT окремо ідентифікував Lazarus як ймовірного нападника, хоча Binance не підтвердила, хто здійснив крадіжку.
У коментарях для crypto.news Ідо Бен-Натан, співзасновник і генеральний директор фірми з блокчейн-безпеки Blockaid, заявив, що атака перевершила попередні крадіжки криптовалют за масштабом.
«Це найбільший криптозлом в історії. Наш аналіз показує, що щонайменше 3,5 мільярда доларів було виведено з гарячих гаманців Binance на Ethereum, Arbitrum, Optimism та Avalanche менш ніж за годину, що більш ніж удвічі перевищує крадіжку Bybit у лютому 2025 року», — сказав Бен-Натан.
Він зазначив, що слідчі виявили додаткові перекази за участю Bitcoin і Tron, тоді як його команда продовжувала відстежувати викрадені активи.
Тим часом платформа відстеження блокчейну Onchain Lens повідомила, що нападник на Binance переказав 17 260 ETH вартістю приблизно 38,82 мільйона доларів на новий гаманець на тлі побоювань, що кошти можуть бути відмиті через Tornado Cash або інші криптовалютні міксери.
Згідно з трекером, нападник досі контролював майже 480 720 ETH вартістю 1,08 мільярда доларів, які не можуть бути заморожені емітентом токенів. Гаманець-одержувач було ідентифіковано як 0x03b0eE5d82990cFF1bDa48651AC3e436d1a020ea.
Підозрюється група Lazarus, оскільки злом Binance охоплює десять блокчейнів
Розслідування TRM простежило вихід близько 6,36 мільярда доларів з контрольованих Binance гаманців через десять блокчейн-мереж, включаючи Ethereum, Bitcoin, Tron, Solana та XRP Ledger.
Більшість викрадених коштів було переміщено протягом приблизно 20 хвилин, починаючи з 20:05 UTC. Близько 3,79 мільярда доларів було переказано на Ethereum, тоді як Bitcoin і Tron становили ще 1,47 мільярда доларів і 628 мільйонів доларів відповідно.
Слідчі виявили 233,46 мільйона XRP вартістю майже 296 мільйонів доларів, які залишили п'ять гаманців Binance до початку атаки на Ethereum.
Фірма з безпеки заявила, що підготовка почалася щонайменше за 36 годин до крадіжки. Контрольований нападником гаманець отримав три невеликі виведення з Tornado Cash і протестував шкідливий код перед націлюванням на Binance.
TRM пов'язала цю активність з TraderTraitor, використовуючи блокчейн-транзакції та інші розвідувальні дані, хоча публічно не розкрила всі докази, що лежать в основі її атрибуції.
ФБР раніше встановило, що TraderTraitor несе відповідальність за крадіжку з Bybit у лютому 2025 року, коли з біржі було виведено приблизно 1,5 мільярда доларів. Американська влада звинуватила північнокорейські хакерські операції в крадіжці криптовалюти для фінансування збройових програм країни.
Blockaid пояснює, як зловмисники отримали доступ до гаманців Binance
Технічне розслідування Blockaid виявило незвичайну транзакцію Ethereum, що містила 50 авторизацій EIP-7702, спрямованих на Binance 14 — один із найзавантаженіших гарячих гаманців біржі.
EIP-7702 дозволяє гаманцю Ethereum авторизувати код смарт-контракту для роботи від його імені. Зловмисник підготував авторизації, використовуючи 50 послідовних лічильників транзакцій, що підвищувало ймовірність того, що один із них збіжиться з поточним лічильником гаманця.
Успішною виявилася лише одна авторизація, що дозволило шкідливому контракту переказати активи з гаманця.
«Зловмисник фактично перепрограмував великий гарячий гаманець Binance в Ethereum так, що один оператор міг його спустошити, включно з будь-якими новими грошима, внесеними до нього», — пояснив Ben-Natan для crypto.news.
Зловмисник переказав приблизно 2,5 мільярда доларів з Binance 14, включно з 167 464 ETH та понад 1,6 мільярда USDT. Наступні перекази були спрямовані на щойно отримані кошти.
Слідчі виявили інші гаманці Binance, які переміщували активи через звичайні підписані транзакції в кількох мережах. TRM вважає, що зловмисник міг отримати доступ до інфраструктури підписання транзакцій біржі.
Binance виявляє можливе зламування ноутбука, заморожено 3 мільярди доларів
У своєму оновленні щодо безпеки Binance заявила, що її початкове розслідування вказує на скомпрометований ноутбук інженера DevOps, що міг дозволити несанкціонований доступ до внутрішнього сервісного контейнера.
Біржа не виявила жодних доказів витоку приватних ключів і заявила, що опублікує детальне розслідування, щойно буде встановлено причину.
Генеральний директор Tether Паоло Ардоіно підтвердив заморожування понад 1,567 мільярда USDT, тоді як генеральний директор Circle Джеремі Аллер повідомив про заморожування понад 800 мільйонів USDC. Рада з безпеки Arbitrum забезпечила захист приблизно 74,6 мільйона ARB та 8 425 ETH, пов'язаних зі зловмисником.
Виведення коштів з Binance залишається призупиненим
Binance зобов'язалася покрити збитки за допомогою свого фонду SAFU та ресурсів компанії, працюючи з правоохоронними органами та блокчейн-слідчими.
Водночас біржа заявила, що депозити залишаються доступними, але виведення коштів залишатиметься призупиненим, поки вона оновлює системи виведення та контроль адрес.
Binance очікує, що виведення коштів відновиться протягом 48 годин, і заявила, що повний звіт про причину атаки буде опубліковано згодом.
Ринки криптовалют також зазнали тиску продажів після зламу, і Bitcoin ненадовго впав нижче 77 000 доларів. Загальні ліквідації на ринку деривативів перевищили 1,5 мільярда доларів за 24 години.
