Из Binance украли около $6,3 млрд, в основном за 20 минут: подозревают Северную Корею

Как пишет Wired, в четверг, начиная примерно с 16:00 по времени восточного побережья США, хакеры начали быстро выводить около $6,3 млрд в криптовалютах из кошельков криптобиржи Binance. Деньги были разбросаны по нескольким блокчейнам. По формулировке издания, это, судя по всему, крупнейшая кража в истории криптоиндустрии.

Binance почти сразу приостановила все вводы и выводы средств и расследует взлом. Компания вместе с другими криптофирмами говорит, что пока смогла заморозить около половины украденного, то есть не дать хакерам двигать деньги дальше или выводить их в наличные. Значительную часть остального заморозить, скорее всего, не получится. Главный учёный и сооснователь фирмы Elliptic Том Робинсон приводит такие цифры: заморожено около $2,8 млрд (около 44% украденного), почти всё это стейблкоины. Оставшиеся $3,3 млрд, в основном Bitcoin, Ether и XRP, «которые никто не может заморозить». По его словам, их можно остановить, только когда они дойдут до биржи или другого сервиса; часть поймают в ближайшие месяцы, но заметного роста замороженной доли он не ждёт. Сам Wired в другом месте называет цифру около $3 млрд, замороженных сразу после атаки.

По анализу фирмы TRM Labs, основная часть похищенного ушла примерно за 20 минут 29 октября. Кошельки Binance как минимум в десяти блокчейнах, включая Ethereum, Bitcoin, Tron и Solana, опустошили и переслали на несколько адресов, которыми управлял один атакующий. Средства забирали из «горячих» кошельков (подключённых к интернету и используемых биржами для обработки выводов клиентов). По данным TRM, подготовка началась как минимум за 36 часов до кражи: один из кошельков атакующего получил три небольших вывода в тестовый период. Рано утром 29 октября оператор развернул первую часть кода и проверил его на двух кошельках, позже в тот же день отрепетировал финальную версию на третьем кошельке и вернул тестовые средства себе. Через четыре часа после репетиции тот же код установили на «горячий» кошелёк Binance.

Три фирмы, отслеживающие криптотранзакции, быстро связали атаку, как возможную, с северокорейскими хакерами. Тактика похожа на прежние методы TraderTraitor, элитной группы северокорейских хакеров, которую в прошлом году ФБР назвало ответственной за взлом биржи Bybit на $1,5 млрд. TRM Labs и Chainalysis считают, что за атакой может стоять TraderTraitor, опираясь на анализ активности как в блокчейне, так и вне его. Chainalysis называет самым сильным доказательством то, что исследователи в реальном времени увидели смешивание украденных у Binance средств со средствами, похищенными в «прошлом месяце» при взломе Bitget, который приписывали северокорейским структурам. Elliptic с группой напрямую атаку не связывает, но видит пересечения. Робинсон: «Мы думаем, что, вероятно, ответственна Северная Корея»; если так, эта одна кража почти вдвое увеличит всё, что режим украл в крипте на сегодня. Он также отмечает: Binance говорит, что атака началась со взломанного ноутбука инженера, а нацеливание на сотрудников криптокомпаний, признак TraderTraitor; атакующий пополнил кошелёк через Tornado Cash и заранее репетировал атаку, как и в случае Bybit.

Binance и правоохранительные органы подозрения в связи с КНДР публично не называли. На вопросы Wired, считает ли компания причастными северокорейских хакеров, Binance не ответила и сослалась на заявление: она покроет все убытки от взлома и работает с правоохранителями. В заявлении сказано: первоначальное расследование указывало на возможный взлом ноутбука, но дальнейшее выявило дополнительные точки проникновения; «это была сложная атака». Руководитель направления разведки угроз в компании Sophos Рафе Пиллинг (старший директор по разведке угроз) называет эти группы «в некотором смысле артистами» во взломе организаций децентрализованных финансов; TraderTraitor, по его словам, нацелен на крупные операции и раньше создавал собственные поддельные приложения для проникновения в организации.

Отмывание идёт быстро: Chainalysis видит «схемы отмывания, которых мы раньше не встречали», а тысячи быстро обрабатываемых транзакций говорят об использовании «автоматизации, чтобы запутать след средств».

Ключевые факты

Из кошельков Binance в нескольких блокчейнах (минимум в десяти, включая Ethereum, Bitcoin, Tron и Solana) украли около $6,3 млрд; основная часть ушла примерно за 20 минут 29 октября, по анализу TRM Labs.
Подготовка к краже шла как минимум 36 часов: тестовые выводы, проверка кода на двух кошельках и репетиция на третьем за четыре часа до установки кода на «горячий» кошелёк Binance.
По оценке Elliptic, заморожено около $2,8 млрд (около 44%), почти всё стейблкоины; оставшиеся $3,3 млрд, в основном Bitcoin, Ether и XRP, которые заморозить нельзя.
TRM Labs и Chainalysis считают, что за атакой может стоять северокорейская группа TraderTraitor; Elliptic видит пересечения, но прямо к ней не привязывает. Binance и правоохранители связь с КНДР публично не называли.
Binance приостановила вводы и выводы, заявила, что покроет все убытки и работает с правоохранителями; первоначальную версию о взломанном ноутбуке компания дополнила новыми точками проникновения.

Почему это важно

Если оценка Wired верна, это крупнейшая кража в истории криптоиндустрии: около $6,3 млрд с одной из биржевых платформ. По словам Робинсона из Elliptic, при причастности Северной Кореи эта единственная кража почти вдвое превысит всё, что режим украл в криптовалютах за всё время. Кроме того, случай показывает масштаб подготовки: атаку репетировали заранее, а отмывание уже идёт с применением автоматизации.

Кому это важно

Клиентам Binance, у которых вводы и выводы приостановлены. Командам безопасности криптобирж и компаний децентрализованных финансов, на которые, как пишет издание, нацелен TraderTraitor. Аналитикам, расследующим движение украденных средств, и всем, кто хранит активы на централизованных биржах.

Как это применить

Источник не даёт прямых практических инструкций. Из рассказанного следует лишь, что целью атак становятся сотрудники криптокомпаний (в случае Binance первоначальная версия, взломанный ноутбук инженера), а «горячие» кошельки, подключённые к интернету, оказались точкой вывода средств. Это стоит учесть при проверке защиты рабочих устройств и доступа к таким кошелькам.

Можно ли доверять

Материал Wired опирается на анализ трёх фирм, отслеживающих криптотранзакции (TRM Labs, Chainalysis, Elliptic), и на заявление Binance. Связь с Северной Кореей подана осторожно: «вероятно», «может стоять»; Binance и правоохранители её не подтверждали. Данные о замороженной сумме расходятся: издание пишет «около половины» и «около $3 млрд» сразу после атаки, Elliptic, $2,8 млрд (около 44%). Год события в тексте не указан.

Риски и подводные камни

Заморозить удалось в основном стейблкоины; Bitcoin, Ether и XRP заморозить нельзя, и их можно остановить только на выходе на биржу или другой сервис, поэтому нападавшие потенциально могут вывести огромные суммы. Chainalysis видит ранее неизвестные схемы отмывания. Атрибуция пока предварительная и может измениться; в источнике нет сведений о том, когда Binance возобновит вводы и выводы, и о том, как именно будут покрыты убытки.

«Мы думаем, что, вероятно, ответственна Северная Корея. Если за этим стоит Северная Корея, одна эта кража почти вдвое увеличит всё, что режим украл в криптовалютах на сегодня.»

— Том Робинсон, главный учёный и сооснователь Elliptic, в разговоре с Wired