Тот же почерк, другой сейф. Взлом Binance имеет признаки деятельности группы TraderTraitor, северокорейского подразделения, которое ФБР обвинило в взломе Bybit в феврале 2025 года. Часть украденных в четверг вечером 6,3 миллиарда долларов в пятницу утром была обнаружена на счетах, связанных с взломом другой биржи.

Основные моменты:

• Средства, полученные в результате взломов Binance и Bitget, были консолидированы на одном адресе в сети Ethereum после прохождения через THORChain.
• Компания TRM Labs с высокой степенью уверенности связывает взлом Binance с группой TraderTraitor.
• ФБР ранее обвиняло эту группу в краже 1,5 миллиарда долларов у Bybit.
• Во всех трех атаках использовались скомпрометированные рабочие станции или поставщики услуг, но не были скомпрометированы личные ключи.

Взлом Binance: адрес, связывающий два инцидента

В 5:51 по парижскому времени ZachXBT опубликовал свое обновление. Следящий за транзакциями аналитик 45 минут ранее обнаружил, что средства, полученные в результате взлома Binance и взлома Bitget (388 миллионов долларов в конце сентября), поступили на один и тот же адрес: 0x15104a…feb7. Оба потока средств исходили из THORChain, протокола обмена между блокчейнами, где ни один посредник не может заблокировать какие-либо транзакции.

«Вероятно, за обоими инцидентами стоит один и тот же участник».

ZachXBT, в X

Средства, полученные в результате взломов Binance и Bitget, консолидированы на одном адресе. Источник: ZachXBT в X.

Уже ранее у Bitget был подозреваемый. Этот взлом был приписан группе TraderTraitor, связанной с Северной Кореей, как напоминает ZachXBT. Анализ также указывает на эксплойт Kelp DAO (292 миллиона долларов в апреле). Что касается Binance, компания TRM Labs не дождалась публикации ZachXBT. Компания, занимающаяся анализом, с высокой степенью уверенности связывает взлом с TraderTraitor, как сообщает CoinDesk. Компания Blockaid говорит о "согласованных" тактиках, характерных для операций, проводимых в Пхеньяне.

Bybit, Bitget, Binance: одна и та же северокорейская рука?

Вернемся к 21 февраля 2025 года. Bybit теряет 1,5 миллиарда долларов в результате одной операции, что является рекордом того времени. Через пять дней ФБР опубликовало уведомление, в котором обвиняет Северную Корею и называет деятельность "TraderTraitor", подгруппой, которую несколько исследователей связывают с Lazarus.

Теперь сравним три способа осуществления атак:

• Bybit (февраль 2025 года, 1,5 миллиарда долларов) была взломана через зараженный компьютер разработчика Safe{Wallet} и подделанный интерфейс подписи.
• Bitget (сентябрь 2026 года, 388 миллионов долларов) стала жертвой неизвестной уязвимости в стороннем программном обеспечении безопасности, которое было использовано для внедрения поддельных запросов на вывод средств.
• Binance (октябрь 2026 года, 6,3 миллиарда долларов), по предварительным данным расследования, была взломана из-за скомпрометированного мобильного телефона инженера DevOps.

По словам самих платформ, ни один из приватных ключей не был скомпрометирован в этих трех случаях. Хакеры проникают либо через человека, либо через поставщика, а затем заставляют инфраструктуру совершать действия от их имени. THORChain каждый раз оказывается вовлеченным. Генеральный директор Bybit, Бен Чжоу, заявил, что 72% украденных средств были переведены через THORChain уже 4 марта 2025 года, а, по данным BlockSec, около 269 миллионов долларов Bitget также прошли через эту платформу.

Взлом Binance: ряд улик, но еще нет доказательств

Тем не менее, следует соблюдать осторожность. Один и тот же адрес не доказывает, что одни и те же люди выполняли команды. В сентябре BlockSec заявила, что связи, обнаруженные вокруг Bitget, "более прямо указывают на сети отмывания денег, чем на одних и тех же злоумышленников". ZachXBT также выявил китайских "отмывателей", которые обращались за помощью на серверах Discord и Telegram от имени предполагаемых хакеров.

Однако, атрибуция TRM, используемый метод и этот общий кошелек указывают на одну и ту же северокорейскую группу. Только официальное заключение ФБР может считаться окончательным. В случае с Bybit оно было получено за пять дней.

Binance уже заявила о заморозке активов на сумму около 3 миллиардов долларов, включая более 1,5 миллиарда USDT, заблокированных Tether, и более 800 миллионов USDC, заблокированных Circle. При этом около 1,4 миллиарда долларов в биткоинах, распределенных по 19 кошелькам, пока не подлежат заморозке.

Binance обещает возместить все убытки и планирует возобновить вывод средств в течение 48 часов, как заявила со-генеральный директор Yi He. Взлом Bybit, который долгое время считался крупнейшим ограблением в истории криптовалют, теперь занимает второе место, будучи в четыре раза меньше.