Власти США после хакерского взлома Binance начали крупномасштабные проверки американских банков

Федеральная резервная система США и Управление контролёра денежного обращения (OCC) начали выяснять у банков, не заметили ли те подозрительных операций и сбоев после кражи криптовалюты у биржи Binance. Хакеры вывели активы примерно на $6,34 млрд, а ФБР приписало атаку северокорейской группировке TraderTraitor. Свидетельств потерь банков пока нет, но регуляторы хотят убедиться, что взлом не задел традиционную финансовую систему.

По данным Reuters от 5 ноября, сотрудники ФРС и OCC начали обращаться к банкам утром 2 ноября. Представитель одной из опрошенных организаций сообщил, что перебоев не обнаружил. Банки не ограничились ответами надзорным органам, и специалисты по защите информации одного из крупнейших американских банков связались с коллегами из Binance через несколько часов после инцидента и теперь готовят внутренний отчёт, на основании которого могут обновить средства защиты.

Binance опубликовала разбор атаки 3 ноября, и он показал, что хакеры готовились несколько месяцев и шаг за шагом захватывали рабочие компьютеры инженеров:

• в июне сотрудник команды разработки кошельков скачал модифицированную версию инструмента, которую распространяли злоумышленники, и они получили доступ к его компьютеру;
• в сентябре другой инженер, рассматривавший предложение о работе, получил от несуществующей компании репозиторий с тестовым заданием и вредоносной программой внутри, а защита конечных устройств заражение не заметила;
• 20 октября атакующие через заражённый компьютер и внутренний ИИ-инструмент биржи добрались до систем двух других инженеров и нашли токен с правом развёртывания контейнеров;
• 29 октября с помощью украденных учётных данных они запустили скрипт и вышли на внутренний сервис подписи транзакций.

Красть закрытый ключ каждого кошелька злоумышленникам не пришлось, им хватило заставить инфраструктуру самой биржи подписывать нужные переводы. Первые крупные переводы начались вечером 29 октября, когда пять горячих кошельков за считаные минуты отправили на адрес хакеров 233,46 млн XRP, а следом ушли около 970 500 SOL, 44,2 млн OP и 18 270 BTC. Участие внутреннего ИИ-инструмента не означает, что взлом спланировала нейросеть, ведь по версии биржи он лишь помогал атакующим перемещаться между рабочими системами. Российским пользователям зарубежных бирж стоит помнить, что сложный пароль и двухфакторная аутентификация ничего не решают, пока рабочий компьютер разработчика площадки открыт для чужого скрипта.

Binance сообщила 3 ноября, что вместе с партнёрами заморозила или перехватила около $2,85 млрд из $6,34 млрд затронутых активов, а другие источники называют свои цифры и показывают, куда уходят остальные деньги:

• Tether и Circle заморозили более $2,38 млрд в стейблкоинах, связанных с инцидентом;
• аналитики Bitquery оценили замороженные активы примерно в $2,7 млрд и насчитали у хакеров около $3,1 млрд, в основном в биткоинах и Ethereum;
• ФБР предупредило, что похищенное переводят преимущественно в Ethereum и пытаются вывести через децентрализованные сервисы и обменники.

Потери Binance взяла на себя, зарезервировала более 100% суммы для компенсации и к 31 октября восстановила за свой счёт 98% затронутых токенов, а это не возврат украденного. Средства клиентов, по словам компании, пострадать не должны.

ФБР заявило 31 октября, что за кражей стоит Северная Корея, и отнесло её к группировке TraderTraitor, которой в феврале 2025 года приписывали кражу около $1,5 млрд у биржи Bybit. Chainalysis нашла в атаке сходство с прежними операциями северокорейских хакеров. Масштаб их деятельности показывают цифры:

• не менее $2,02 млрд похитили связанные с КНДР группировки в 2025 году по данным Chainalysis, что на 51% больше, чем годом ранее;
• около $12,8 млрд украли северокорейские хакеры с 2017 года по оценке TRM Labs от 30 октября;
• примерно $7,4 млрд из этой суммы пришлось на 2026 год, и значительная часть связана с рекордной кражей у Binance, а число атак выросло не настолько.

Банки обслуживают криптовалютные компании, проводят для них расчёты и работают с эмитентами стейблкоинов, чьи резервы лежат на банковских депозитах и в госбумагах, поэтому проблемы крупной площадки быстро добираются до традиционной системы. В 2025 году ФРС и OCC отменили обязательное предварительное согласование криптооперации банков, закон GENIUS Act задал федеральные рамки для платёжных стейблкоинов, и окончательные нормы OCC по нему вступят в силу 18 января 2027 года. Разбор Binance подсказывает банкам и платёжным компаниям три вывода:

• рабочие компьютеры разработчиков и администраторов открывают путь к системам, которые управляют деньгами;
• права сервисов, подписывающих транзакции и развёртывающих контейнеры, нужно контролировать наравне с паролями и ключами;
• доступы внутренних ИИ-инструментов следует ограничивать, а крупные переводы подтверждать независимыми механизмами.

Эксперты CISOCLUB отметили, что взлом Binance повторяет схему, которую северокорейские группировки отрабатывают годами, и держится на людях, а не на уязвимостях в коде. Инженер, получивший приглашение на собеседование, открыл хакерам дорогу к бирже с миллиардными оборотами, а подпись транзакций выдавал легитимный сервис, и криптография не помогла. Защита устройств заражение не заметила, и значит, тестовые задания стоит запускать в изолированных средах, а кошельки держать на отдельных машинах.

Банки признают, что возможности злоумышленников растут быстрее, чем адаптируются защитные системы, и внутренние ИИ-инструменты пополняют список слабых мест. Российским ИТ-специалистам, которым присылают «тестовые задания» от незнакомых работодателей, стоит считать такое письмо возможной ловушкой. Регуляторы проверяют банки заранее, и это верный ход, потому что граница между крипторынком и обычными финансами проходит через эмитентов стейблкоинов и расчётные счета.

Ранее сообщалось, что ФБР возложило ответственность за хищение криптовалюты у Binance на сумму около $6,36 млрд на северокорейскую группировку TraderTraitor, связанную с Lazarus Group. Ведомство передало представителям криптоиндустрии список из 628 адресов, которые злоумышленники используют для перевода и отмывания похищенных средств, и призвало блокировать связанные с ними транзакции. К отслеживанию и заморозке криптовалюты также подключились Секретная служба США и подразделение Налогового управления США (IRS), расследующее финансовые преступления.