ФБР в своем предупреждении о безопасности, опубликованном 31 октября, связало рекордный взлом биржи Binance, произошедший 29 октября, с группировкой TraderTraitor, связанной с Северной Кореей, также известной как Lazarus Group. В предупреждении, доступном на сайте бюро, оценивается ущерб более чем в 6 миллиардов долларов.

Компания Binance, со своей стороны, заявила, что ущерб составляет 6,3 миллиарда долларов в цифровых активах, а аналитическая компания Chainalysis увеличила эту цифру до 6,4 миллиарда. Предыдущий рекорд был установлен в 2025 году: взлом биржи Bybit, ущерб от которого оценивался в 1,5 миллиарда долларов. Взлом Binance превышает эту сумму более чем в четыре раза. Компании Chainalysis, TRM Labs и Check Point связали атаку с северокорейскими хакерами, при этом Chainalysis выразила "высокую уверенность" в этой связи. Binance не подтвердила эту информацию: платформа заявила, что тесно сотрудничает со своими партнерами из правоохранительных органов для выявления виновных в краже.

Этот взлом произошел в рамках уже описанной хронологии событий после приостановки вывода средств с Binance, 29 октября.

Сотни адресов, которые необходимо заблокировать

В своем предупреждении ФБР опубликовало сотни адресов, связанных с взломом, и призвали операторов узлов THORNode, платформы DeFi, биржи и других поставщиков услуг заблокировать транзакции, связанные с этими кошельками. Согласно тому же предупреждению ФБР, распространенному 31 октября, следователи из Секретной службы и Управления по борьбе с преступностью IRS (налоговой службы) отмечают, что злоумышленники в основном конвертируют украденные средства в Ethereum.

Подробности о первых миллиардах долларов, замороженных эмитентами стейблкоинов, можно найти в нашей статье о заморозке стейблкоинов компаниями Circle и Tether.

Атака, начавшаяся с взломанного ноутбука.

Сопредседатель Binance, Ричард Тенг, 30 октября описал цепочку событий атаки: взломанный ноутбук инженера предоставил доступ к сервисному контейнеру. «Это дало злоумышленнику доступ к сервисному контейнеру, где он инициировал несанкционированные транзакции по выводу средств», – уточнил он. Внутреннее расследование не выявило утечки приватных ключей кошельков, и были определены дополнительные точки проникновения. Сопредседатель платформы, И Хэ, заявила, что вывод средств остается заблокированным до тех пор, пока среда не будет признана безопасной, и что Binance покроет все убытки. Binance.US, в свою очередь, заявила, что ее платформа не затронута.

Заморозка стейблкоинов и способы ее обхода

29 октября компания Tether заморозила около 971 миллиона долларов в USDT, а компания Circle – около 823 миллиона долларов в USDC. По данным Binance и Chainalysis, по состоянию на 31 октября, замороженные или заблокированные средства, связанные с взломом, составляют около 3 миллиардов долларов, однако эта цифра постоянно меняется в зависимости от источников и времени сбора данных.

Chainalysis зафиксировала один из способов обхода: на платформе Tron злоумышленники конвертируют TRX в стейблкоины, затем размещают их в протоколах DeFi и получают взамен токены депозитов, которые эмитенты не могут заморозить. После этого они обменивают эти токены на Ethereum через мост. Подобным образом было отслежено около 500 000 долларов.

ФБР также обратилось к операторам THORChain, которые в сентябре отказались блокировать средства, связанные с взломом Bitget, ссылаясь на свою архитектуру без разрешений. Сооснователь протокола, Чэд Баррафорд, 1 ноября ответил, что операторы узлов не обладают «никакой информацией, которая бы не была уже общедоступной и доступной в режиме реального времени».

Операторы THORNode не имеют никакой информации, которая бы не была общедоступной и доступной в режиме реального времени. Не требуются судебные приказы, это лучший сценарий для расследований. https://t.co/2MUgsbm7cf

— Chad Barraford (@CBarraford) 1 ноября 2026

В тот же день, реорганизация блоков в сети Ethereum привела к тому, что THORChain по ошибке дважды вернул депозит в размере 10 ETH, что вызвало экстренную приостановку, прервавшую межсетевые транзакции на большинстве мостов, как для злоумышленников, так и для всех пользователей, по данным Chainalysis.