ФБР назвало Северную Корею виновной в краже криптовалюты у Binance на $6,36 млрд

ФБР официально связало хищение у Binance криптовалюты примерно на $6,36 млрд с северокорейской группировкой TraderTraitor, которую относят и к Lazarus Group. Ведомство передало индустрии перечень из 628 адресов, через которые хакеры перемещают и отмывают украденное, и попросило блокировать связанные с ними переводы. К поиску и блокировке средств подключились Секретная служба США и подразделение налоговой службы IRS по расследованию финансовых преступлений.

Аналитики отслеживают группировку под несколькими именами, среди которых TraderTraitor, Lazarus Group, Jade Sleet и APT38. По оценке американских властей, за ними стоит связанная с КНДР структура, охотящаяся за криптовалютой. Взлом бирж давно перестал быть её единственным занятием, и под прицел попадают:

• сотрудники криптовалютных компаний;
• разработчики программ;
• поставщики инфраструктуры, через которых открывается дорога к цифровым активам.

Пхеньяну предъявили счёт

ФБР опубликовало официальное предупреждение и заявило, что Северная Корея несёт ответственность за хищение активов Binance 29 октября. Раньше причастность TraderTraitor предполагали аналитики блокчейна из TRM Labs и Chainalysis, а теперь американские правоохранители закрепили эту версию публично.

По данным ФБР, хакеры преимущественно конвертируют добычу в Ethereum и собираются дробить её через сервисы децентрализованных финансов и площадки мгновенного обмена. Эти сервисы позволяют менять токены без централизованных бирж, поэтому расследователям приходится следить за целой сетью операций между блокчейнами. ФБР просит заблокировать переводы с опубликованных адресов и производные от них операции и рассчитывает на помощь:

• криптовалютных бирж;
• операторов узлов RPC и THORNode;
• DeFi-платформ и обменных сервисов;
• компаний, которые занимаются блокчейн-аналитикой.

Из 628 адресов 608 относятся к сети Ethereum, 19 к Bitcoin и один к Solana. Это кошельки со средствами из атаки и адреса под контролем северокорейских операторов. Перечень должен помочь рынку распознавать подозрительные переводы и останавливать активы, пока они не растворились в цепочках обменов.

На счету TraderTraitor значатся громкие ограбления, а новая кража превосходит их все по масштабу:

• вывод $308 млн с японской DMM Bitcoin в мае 2024 года;
• хищение около $1,5 млрд с биржи Bybit в феврале 2025 года;
• потеря около $280 млн платформой Drift в апреле 2026 года;
• кража около $387,5 млн с Bitget в сентябре 2026 года, которую приписали хакерам.

Рекрутер с подвохом

Один из приёмов группировки называется Operation DreamJob. Хакеры выдают себя за рекрутеров, выходят через LinkedIn на разработчиков и сотрудников криптокомпаний и под видом тестового задания передают им вредоносный код. В случае с DMM Bitcoin мнимый рекрутер предложил сотруднику компании Ginco, которая разрабатывала кошельки, пройти испытание с запуском вредоносного кода на Python и получил доступ к его компьютеру. При взломе Bybit злоумышленники скомпрометировали компьютер разработчика Safe и вмешались в обработку легитимной транзакции. Хакеры не вскрывали сейф, они находили человека, который его открывает.

Русскоязычные разработчики, которые ищут удалённую работу в зарубежных криптопроектах, рискуют получить аналогичное предложение, и просьба запустить чужой код на рабочем компьютере должна насторожить сразу.

Binance закрывает пробоину

К 1 ноября Binance заявила, что восполнила около 95% похищенных активов, и использовала для этого:

• собственные средства;
• резерв защиты пользователей SAFU;
• страховой резерв фьючерсного подразделения.

Общий объём зарезервированных ресурсов превысил $6,34 млрд, а оставшиеся 5% приходятся на менее ликвидные токены, которые трудно купить на открытом рынке. Вывод средств возобновился утром 1 ноября, и биржа открыла 15 сетей и наборов активов, среди которых Bitcoin, Ethereum, BNB и USDT. К середине дня первоначальный перечень был восстановлен полностью, остальные сети проходят проверку.

За первые 9,5 часа после возобновления операций пользователи вывели около $4,65 млрд при новых депозитах примерно на $1,01 млрд. Чистый отток достиг $3,64 млрд, или 2,1% от активов Binance в $171 млрд. По версии DefiLlama, за первые сутки ушло $4,05 млрд, а биржа оспорила часть расчётов, указав на нюансы учёта переводов между собственными кошельками.

Компания заявила, что пользователи не будут оплачивать последствия кражи из своих средств, а основные активы, среди которых BTC, ETH, USDT и BNB, будут покрыты резервами в полном объёме. Снимок Proof of Reserves подготовлен на 31 октября, а расчёт доказательства резервов планируется завершить 3 ноября.

Пользователям из России, которые держат на Binance стейблкоины или работают с P2P-обменом, грозит риск иного рода, ведь монеты, прошедшие через помеченные кошельки, могут привести к блокировке перевода или аккаунта на другой площадке, поэтому адрес отправителя USDT или ETH лучше проверять заранее.

Эксперты CISOCLUB отметили, что публикация списка из 628 адресов превращает отслеживание похищенного из закрытого расследования в общую задачу всей индустрии. Если обменники, DeFi-площадки и операторы узлов начнут блокировать переводы с этих кошельков, группировке придётся дольше отмывать деньги и терять часть добычи на посредниках. Атака на Binance снова показала, что слабое звено находится не в криптографии, а в рабочих устройствах, учётных записях и людях с доступом к финансовой инфраструктуре.

Компаниям стоит запретить запуск постороннего кода на машинах с доступом к кошелькам, проверять тестовые задания в изолированной среде и делить право подписи транзакций между сотрудниками. Обычным владельцам криптовалют разумно не держать на бирже сумму, потеря которой окажется болезненной даже при обещанной компенсации. Для Северной Кореи главная сложность теперь состоит в превращении цифровой добычи в реальные деньги.

Ранее сообщалось, что северокорейская группировка Lazarus применяет искусственный интеллект для создания фишинговых приманок и использует постквантовую криптографию в инструментах распространения вредоносного ПО. В рамках кампании Operation FlashHole злоумышленники атаковали не менее трёх южнокорейских организаций, работающих в сфере разработки программного обеспечения, строительства и производства телекоммуникационного оборудования. Об этом рассказали исследователи «Лаборатории Касперского».