Binance официально оценила масштаб взлома в $6,3 млрд, а аналитики TRM Labs с высокой степенью уверенности связали атаку с северокорейской группировкой TraderTraitor. Депозиты на бирже уже работают в штатном режиме, выводы возобновятся в течение 48 часов.
Что известно о причинах инцидента
По данным предварительного расследования, злоумышленник мог скомпрометировать ноутбук инженера DevOps. Через него он получил доступ к сервисному контейнеру и отправил несанкционированные транзакции на вывод средств. Доказательств утечки приватных ключей кошельков биржа не нашла. Авторизация затронутого адреса отозвана.
Убытки Binance намерена покрыть из фонда SAFU и собственных средств. Средства пользователей, по заявлению компании, находятся в безопасности. Подробный технический постмортем появится после завершения расследования.
В обновлении от 30 октября биржа уточнила статус сервисов: выводы остаются на паузе, пока команда дорабатывает сервис вывода и связанные адреса. Полный отчёт о первопричине последует позже.
Как уходили деньги
Средства выведены с горячих кошельков сразу в нескольких сетях: Ethereum, Bitcoin, Tron и других. В одной из транзакций в сети Ethereum ушло около 167 000 Ethereum и $1,6 млрд в USDT. Из сети биткоина вывели около 18 000 биткоинов. По оценке Chainalysis, на момент кражи объём перемещённых средств составлял около $5,91 млрд.
TRM Labs называет цифру побольше: около $6,36 млрд ушло из кошельков Binance по десяти блокчейнам. Большую часть денег вывели примерно за 20 минут.
Заморозка активов
Около $3 млрд затронутых активов уже заморожено на блокчейне при содействии партнёров. Значительную долю составляют стейблкоины: Tether и Circle заморозили, по отдельным оценкам, свыше $1,5 млрд в USDT и около $800 млн в USDC. Общая сумма замороженного приближается к $3 млрд.
След ведёт к Северной Корее
TRM Labs приписывает атаку TraderTraitor — элитному хакерскому подразделению, связанному с Lazarus Group. Вывод основан на ончейн- и офчейн-данных. Об этом сообщило агентство Reuters со ссылкой на блог компании.
Ончейн-исследователь ZachXBT сообщил в соцсети X о другой важной детали. Средства, украденные у Binance, и $388 млн из эксплойта Bitget через THORChain оказались на одном адресе (0x15104a9ce0f08a8f0075a0869ae80e795fe0feb7) и были смешаны. Это указывает на высокую вероятность того, что за обеими атаками стоит один и тот же хакер. Взлом Bitget ранее связывали с TraderTraitor, чьи действия пересекаются с предыдущими атаками, включая эксплойт Kelp DAO.
Мнение ИИ
С точки зрения машинного анализа данных, этот эпизод напоминает февраль 2025 года. Тогда криминалисты установили, что $1,5 млрд у Bybit ушли после взлома устройства разработчика Safe{Wallet}, а не из-за изъяна в самих блокчейнах. Криптография выдержала экзамен, а вот человек с ноутбуком и цепочка подрядчиков оказались слабее любого алгоритма.
Масштаб тоже говорит сам за себя: прежний рекорд в $1,5 млрд, если сопоставить его с суммой из материала, вырос примерно в четыре раза. Потолок биржевых краж, похоже, давно измеряется не сотнями миллионов. Вопрос о том, где кончается безопасность кода и начинается безопасность людей, пока остаётся открытым.
▼
Самые интересные и важные новости на нашем канале в Telegram