TRM і Chainalysis пов'язують злом Binance на $6,4 млрд із північнокорейським угрупованням TraderTraitor

Три блокчейн-аналітичні фірми приписали цього тижня злом Binance Північній Кореї, причому дві з найбільших назвали TraderTraitor — північнокорейське хакерське угруповання — відповідальним за те, що обидві описують як найбільшу криптокрадіжку в історії.

TRM Labs заявила, що зробила це приписування «з високою впевненістю», ґрунтуючись на «надійній он-чейн та оф-чейн розвідці». Вона оцінила крадіжку приблизно в $6,36 млрд, виведених з гаманців Binance у 10 блокчейнах, більшість з них — приблизно за 20 хвилин з 16:05 за східним часом у четвер. Це приблизно вчетверо більше за злом Bybit на $1,5 млрд у лютому 2025 року, який ФБР приписало тій самій групі, зазначила TRM.

Chainalysis, яка оцінила загальну суму приблизно в $6,4 млрд, заявила, що найсильніший доказ з'явився, коли її слідчі побачили, як кошти, викрадені з Binance, змішуються в реальному часі з коштами від минулого місяця експлойту Bitget, який було приписано північнокорейським акторам.

Речник Chainalysis повідомив CNN, що фірма має «високу впевненість» у тому, що за зломом стоїть Північна Корея. Сінгапурська Pangolin Intelligence також повідомила CNN, що вважає відповідальним північнокорейський хакерський підрозділ, ґрунтуючись на «аналізі он-чейн активності, пов'язаної з цим зломом, та співставленні з інформацією, зібраною з попередніх відомих інцидентів». Північна Корея раніше заперечувала звинувачення у хакерстві.

TRM і Chainalysis обидві заявили, що операційний гаманець зловмисника був профінансований через Tornado Cash — криптоміксер. TRM заявила, що це та інші особливості, зокрема підготовка, яка почалася задовго до крадіжки, збігаються з попередніми атаками, пов'язаними з Північною Кореєю, такими як злом Bybit і експлойт KelpDAO у квітні.

Як працювала атака

У мережі Ethereum зловмисник використав делегування EIP-7702 — функцію, запроваджену в оновленні Pectra, яка дозволяє звичайному гаманцю виконувати код смартконтракту, щоб перетворити гарячий гаманець Binance на підконтрольний йому інструмент для виведення коштів, маючи заздалегідь підготовлені 50 попередньо підписаних авторизацій, за даними TRM. Гаманці Binance в інших дев'яти мережах надсилали кошти зловмиснику через звичайні підписані перекази. На думку TRM, це вказує на компрометацію інфраструктури підпису гарячих гаманців Binance.

Binance заявила, що її розслідування почалося зі скомпрометованого ноутбука інженера, але згодом виявила "додаткові точки зламу". Атака на Bybit також почалася з однієї скомпрометованої машини: північнокорейські хакери впровадили шкідливий код в інфраструктуру постачальника гаманців Safe після компрометації комп'ютера розробника Safe, Decrypt повідомляв тоді.

Зловмисник швидко перейшов до відмивання того, що не зміг залишити собі. Chainalysis повідомила, що спостерігає «схеми відмивання, яких раніше не бачили», з тисячами транзакцій за короткий проміжок часу, що свідчить про використання автоматизації для багаторазового обігу коштів між адресами. Зловмисник також продав USDT маркет-мейкерам і позичив ETH під заставу USDT на кредитному протоколі Aave, щоб випередити заморожування з боку емітентів, за даними TRM, і тепер володіє понад 420 000 ETH та 18 270 BTC — близько 2,4 млрд доларів, недосяжних для будь-якого емітента.

Tether, Circle, Ripple та World Liberty Financial заморозили близько 2,67 млрд доларів у стейблкоїнах, а Рада безпеки Arbitrum заморозила 8 426 ETH та 74,6 млн ARB, повідомила TRM. Binance оцінює загальну суму заморожених коштів приблизно у 3 млрд доларів.

У оновленні в п'ятницю Binance повідомила, що зарезервувала понад 6,34 млрд доларів власних коштів для покриття інциденту, з яких 5 млрд доларів уже зберігаються саме в тих токенах, які були викрадені. Решту вона купує через ринкові та позабіржові канали, що «може зайняти більше часу, оскільки деякі токени можуть мати низьку ліквідність», заявила біржа. Ці цифри не включають заморожені активи.

«Ми переживемо цю бурю», — заявила Binance.

Північнокорейські хакери давно націлені на цю біржу. У серпні 2025 року головний директор з безпеки Binance Джиммі Су розповівDecrypt, що північнокорейські зловмисники щодня намагаються влаштуватися на роботу в Binance, і назвав їх єдиною найбільшою загрозою для криптокомпаній. У середу Міністерство фінансів США запровадило санкції проти 10 фізичних осіб та однієї організації через схеми північнокорейських ІТ-працівників, які перемістили мільйони доларів у криптовалюті.