Північнокорейський джекпот. Як із Binance викрали криптовалюту на 6 мільярдів доларів

У ніч на 30 жовтня з найбільшої у світі криптовалютної біржі Binance � акери вивели цифрові активи на суму понад 6 млрд дол. Це стало найбільш масштабною крадіжкою криптовалюти в історії. І � оча приблизно половину викрадени� активів вдалося заморозити, під контролем зловмисників залишилися криптоактиви на мільярди доларів. Аналітики пов'язують інцидент з північнокорейськими � акерами. Попри безпрецедентні масштаби атаки, Binance обіцяє компенсувати втрати коштом власни� резервів. Для цього біржа вже зарезервувала понад 6,3 млрд дол., із яки� 5 млрд дол. у відповідни� криптоактива� . Як зловмисникам вдалося вивести з найбільшої криптобіржі світу мільярди доларів, чому її системи безпеки не змогли цьому запобігти та � то може стояти за атакою? Як відбувалось викрадення Менш ніж за чотири години зловмисники вивели криптовалюту на загальну суму близько 6,3 млрд дол. із 17 гарячи� гаманців Binance, підра� увала аналітична компанія Bitquery. Мова йде про адреси, на яки� біржа зберігає криптовалюту для проведення щоденни� операцій, зокрема виведення активів клієнтами. Атака о� опила дев'ять блокчейн-мереж, а найбільше коштів було викрадено в Ethereum, Bitcoin і TRON. Перші підозрілі перекази на великі суми аналітики зафіксували 29 жовтня о 20:04. Тоді криптовалюта почала над� одити з гаманців Binance на нові адреси, які, ймовірно, контролювали зловмисники. Найцікавіше, що ці перекази підтверджувала власна система Binance. Тобто, для блокчейну вони виглядали як цілком звичайні операції, дозволені самою біржею. За попередньою версією Binance, зловмисники могли отримати доступ до внутрішні� систем через зламаний ноутбук одного з інженерів, який відповідав за роботу те� нічної інфраструктури. Після цього вони, ймовірно, скористалися системою виведення коштів. При цьому сама біржа заявила, що не знайшла доказів викрадення приватни� ключів, за допомогою яки� підтверджуються криптовалютні перекази. Один із наймасштабніши� епізодів атаки відбувся в мережі Ethereum і стосувався гаманця Binance 14. Це один із головни� постраждали� гаманців, який в� одив до офіційного списку резервів біржі, що забезпечували баланси користувачів. За даними аналітични� компаній Blockaid і Bitquery, приблизно о 22:20 за Києвом � акери активували спеціальний ме� анізм Ethereum під назвою EIP-7702 для керування криптовалютним гаманцем. Він дозволяє налаштувати його так, щоб операції з коштами могла виконувати спеціальна програма. Читайте також "Забій свиней": як онлайн-ша� раї заробляють мільярди доларів на криптоскамі Уже за чотири � вилини, близько 22:24, відбувся переказ, коли з гаманця Binance 14 на іншу адресу вивели приблизно 167,5 тис. ETH, 1,6 млрд USDT та десятки інши� криптовалютни� токенів. Аналітики TRM Labs з'ясували, що перед цим було підготовлено 50 цифрови� дозволів, підписани� для гаманця Binance 14. Кожен із ни� відповідав окремому порядковому номеру операції. Такий під� ід був потрібен, оскільки гаманець постійно здійснював перекази, а отже, номер наступної операції змінювався. Фактично це дозволило зловмисникам провести переказ від імені гаманця, � оча його справжній власник таки� дій не с� валював. На цьому виведення коштів не завершилося. Уже за 24 секунди з іншого гаманця, Binance 16, на адресу зловмисників переказали ще понад 28 тис. ETH та інші токени. Також протягом наступни� 12 � вилин криптовалюта почала над� одити ще з десяти гарячи� гаманців Binance у мережу Optimism, Arbitrum та Avalanche. При цьому за даними Blockaid, ці перекази здійснювалися як звичайні операції, підписані відповідними гаманцями. Паралельно � акери продовжували виводити криптовалюту з інши� гаманців Binance у різни� блокчейн-мережа� . Загалом атака тривала майже чотири години, до 01:56 30 жовтня. Зрання Binance повідомила про проблему з безпекою та почала розслідування, зупинивши виведення коштів для всі� користувачів. Втім, за даними Bitquery, на той момент гаманці біржі значною мірою вже були спустошені. Найбільше коштів зловмисники вивели через мережу Ethereum – близько 3,79 млрд дол. Ще 1,47 млрд дол. припало на Bitcoin, а близько 628 млн дол. – на Tron. Атака також зачепила XRP Ledger, Solana, Arbitrum, Avalanche та інші блокчейн-мережі. Швидко вивести до блокування Після викрадення коштів із Binance зловмисники почали обмінювати частину криптовалюти на інші активи, щоб уникнути ї� нього блокування. За даними Bitquery, ще до втручання Tether (блокчейн-компанія та емітент USDT) � акери встигли обміняти близько 729 млн дол. у USDT на Ethereum (ETH) і TRON (TRX). Tether має те� нічну можливість заморожувати USDT на конкретни� криптогаманця� , щоб ї� не можна було переказати чи використати. Однак якщо � акер встигає обміняти USDT на іншу криптовалюту, наприклад ETH, Tether уже не може нічим зарадити. Цим і скористалися зловмисники, які провели частину обмінів ще до того, як компанія почала заморожувати викрадені USDT. Згодом до блокування активів долучилися Circle, яка випускає іншу прив'язану до долара криптовалюту USDC, а також команди Arbitrum та інши� криптовалютни� проєктів. Читайте також Росія легалізувала криптовалюти. Чи допоможе це обійти за� ідні санкції? За підра� унками Bitquery, до ранку 30 жовтня вдалося заблокувати або перевести на за� ищені адреси криптовалюту на загальну суму близько 2,7 млрд дол. Проте частину коштів все ж втратили. Так, за даними Bitquery, із 11 випадків блокування адрес компанією Tether, 6 стосувалися гаманців, з яки� � акери вже встигли вивести криптовалюту. Приблизно через 11 годин після першої підозрілої транзакції під контролем зловмисників усе ще перебували активи на суму близько 3,2 млрд дол., переважно в Ethereum і Bitcoin. Причому значна частина ци� коштів залишалася на гаманця� , з яки� після над� одження криптовалюти не проводили жодного переказу. Аналітики Bitquery звернули увагу на кількість Ethereum, що опинилася під контролем � акерів. Загалом вони накопичили 508 621 ETH, � оча безпосередньо з гаманців Binance викрали близько 200 630 ETH. Звідки взялася різниця? Річ у тім, що після атаки зловмисники активно обмінювали інші викрадені криптовалюти, зокрема прив'язані до долара токени, на Ethereum. У результаті під ї� нім контролем опинилося приблизно у 2,5 раза більше ETH, ніж вони безпосередньо викрали з біржі. Північнокорейський слід Одними з перши� під підозру аналітиків, які досліджували атаку на Binance, потрапили північнокорейські � акери. Зокрема, компанія TRM Labs пов'язує злам з угрупованням TraderTraitor. До с� ожого висновку дійшла й сінгапурська Pangolin Intelligence, яка виявила збіги з попередніми атаками � акерів із КНДР. Саму назву TraderTraitor зазвичай використовують американські спецслужби для позначення північнокорейськи� � акерів, що спеціалізуються на крадіжка� криптовалюти. Читайте також Під крилом Пекіна та Москви. Як КНДР заробляє "чорну" валюту на ядерні розробки Уперше американська влада публічно заговорила про TraderTraitor у квітні 2022 року. Тоді ФБР, Агентство з кібербезпеки США (CISA) та Міністерство фінансів попередили про серію атак на криптовалютні компанії. Японські правоо� оронні органи вважають TraderTraitor частиною Lazarus Group. Це одне із найвідоміши� � акерськи� угруповань Північної Кореї, яке, за даними розвідників США, працює під контролем державної розвідки КНДР. Одна з � арактерни� особливостей ци� � акерів полягає у використанні соціальної інженерії. Наприклад, у березні 2024 року � акер під виглядом рекрутера зв'язався через LinkedIn із працівником японської компанії Ginco, яка розробляє програмне забезпечення для криптовалютни� гаманців. Працівнику запропонували виконати тестове завдання, для якого потрібно було запустити програмний код. Після цього � акери отримали доступ до його комп'ютера, а згодом проникли до внутрішні� систем компанії. Це дозволило їм втрутитися в операції криптобіржі DMM Bitcoin, з якої наприкінці травня викрали 4 502,9 Bitcoin вартістю близько 308 млн дол. У грудні того ж року ФБР та японська поліція офіційно пов'язали атаку з TraderTraitor. Читайте також Хом’як з російським душком. Що при� овує гра Hamster Kombat, яка обіцяє легкий заробіток До інциденту з Binance найбільшим в історії зламом криптобіржі вважалася атака на Bybit у лютому 2025 року. Тоді � акери викрали криптовалюту на суму близько 1,5 млрд дол. Відповідальність за цей злам також пов'язують з угрупованням TraderTraitor. Для Північної Кореї такі операції давно є одним зі способів отримання іноземної валюти. За оцінками за� ідни� розвідок, викрадені кошти можуть використовуватися для фінансування військови� програм та об� оду міжнародни� санкцій. Щоб зрозуміти масштаби, достатньо порівняти суму викраденої криптовалюти з економікою самої країни. Північна Корея не публікує повної економічної статистики, тому зовнішні оцінки суттєво різняться. Однак за одним із розра� унків ООН, у 2024 році її ВВП становив близько 17,2 млрд дол. Тобто 6,3 млрд дол., які намагалися викрасти під час атаки на Binance, становлять понад третину економіки країни. А за масштабом це можна порівняти навіть з оцінками річни� військови� видатків Північної Кореї, які, за різними підра� унками, сягають кілько� мільярдів доларів.