В этом материале
Взлом крупнейшей биржи Binance связывают с северокорейской группировкой хакеров Lazarus Group. Специалисты по блокчейну подозревают, что поддерживаемые Северной Кореей хакеры 29 октября украли у биржи около $6,3 миллиарда.
По данным TRM Labs, их следователи с высокой степенью уверенности связали атаку с TraderTraitor, северокорейским хакерским подразделением, связанным с Lazarus. Специалист по блокчейну ZachXBT отдельно назвал Lazarus вероятным злоумышленником, хотя Binance пока не подтвердила, кто именно совершил кражу.
Идо Бен-Натан, соучредитель и генеральный директор компании Blockaid, занимающейся обеспечением безопасности блокчейна, заявил, что эта атака превзошла по масштабу предыдущие кражи криптовалюты.
«Это крупнейший взлом криптовалютных кошельков в истории. Наш анализ показывает, что как минимум 3,5 миллиарда долларов были выведены из горячих кошельков Binance на платформах Ethereum, Arbitrum, Optimism и Avalanche менее чем за час, что более чем вдвое превышает кражу на Bybit в феврале 2025 года», — сказал Бен-Натан.
Он отметил, что следователи выявили дополнительные переводы с использованием BTC и TRON, а его команда продолжает отслеживать украденные активы.
Тем временем платформа отслеживания блокчейна Onchain Lens сообщила, что злоумышленник, атаковавший Binance, перевел 17 260 ETH, что составляет примерно $38,82 миллиона, на новый кошелек, что вызывает опасения, что средства могут быть отмыты через Tornado Cash или другие криптовалютные миксеры.
Согласно данным трекера, злоумышленник по-прежнему контролирует почти 480 720 ETH, стоимость которых составляет $1,08 миллиарда, и которые не могут быть заморожены эмитентом токенов. Кошелек получатели был идентифицирован как 0x03b0eE5d82990cFF1bDa48651AC3e436d1a020ea.
В ходе расследования TRM удалось отследить вывод около $6,36 миллиардов из кошельков, контролируемых Binance, в десяти блокчейн-сетях, включая Ethereum, Bitcoin, Tron, Solana и XRP Ledger.
Большая часть украденных средств была переведена в течение примерно 20 минут, начиная с 20:05 UTC. Около $3,79 миллиарда было переведено через Ethereum, а на Bitcoin и Tron пришлось еще $1,47 миллиарда и $628 миллионов соответственно.
Следователи обнаружили 233,46 миллиона XRP, стоимость которых составляет почти $296 миллионов, находившихся в пяти кошельках Binance до начала атаки на Ethereum.
По данным охранной компании, подготовка началась как минимум за 36 часов до кражи. В кошелек, контролируемый злоумышленником, были совершены три небольших вывода средств из Tornado Cash, а также протестирован вредоносный код, прежде чем атаковать Binance.
Компания TRM связала эту деятельность с TraderTraitor, используя данные блокчейн-транзакций и другую информацию, хотя и не раскрыла публично все доказательства, подтверждающие её причастность.
Ранее ФБР установило, что TraderTraitor несет ответственность за кражу криптовалюты на бирже Bybit в феврале 2025 года, в результате которой с биржи было выведено около $1,5 миллиарда. Власти США обвиняют северокорейские хакерские группировки в краже криптовалюты для финансирования программ вооружений страны.
Blockaid объяснил, как был получен доступ к кошелькам Binance
В ходе технического расследования Blockaid была выявлена необычная транзакция Ethereum, содержащая 50 авторизаций EIP-7702, нацеленных на Binance 14, один из самых загруженных горячих кошельков биржи.
EIP-7702 позволяет кошельку Ethereum авторизовать код смарт-контракта для работы от его имени. Злоумышленник подготовил авторизацию, используя 50 последовательных счетчиков транзакций, увеличивая вероятность того, что один из них совпадет с текущим счетчиком кошелька.
Удалась лишь одна авторизация, позволившая вредоносному контракту перевести активы из кошелька.
«Злоумышленник фактически перепрограммировал крупный горячий кошелек Binance Ethereum таким образом, что один оператор мог опустошить его, включая любые новые средства, внесенные на него», — пояснил Бен-Натан.
Злоумышленник перевел с Binance 14 около 2,5 миллиардов долларов, включая 167 464 ETH и более 1,6 миллиарда USDT. Последующие переводы были направлены на вновь поступившие средства.
Следователи обнаружили, что другие кошельки Binance перемещали активы посредством обычных подписанных транзакций в нескольких сетях. TRM полагает, что злоумышленник мог получить доступ к инфраструктуре подписи транзакций биржи.
Binance сообщила о возможном взлоеме ноутбука сотрудника
В своем обновлении безопасности Binance сообщила, что первоначальное расследование указало на взломанный ноутбук инженера DevOps, который, возможно, обеспечил несанкционированный доступ к внутреннему контейнеру сервиса.
Биржа не обнаружила никаких доказательств утечки закрытых ключей и заявила, что опубликует подробное расследование, как только будет установлена причина.
Генеральный директор Tether Паоло Ардоино подтвердил заморозку более 1,567 миллиарда USDT, а генеральный директор Circle Джереми Аллер сообщил о заморозке более 800 миллионов USDC. Совет безопасности Arbitrum обеспечил безопасность примерно 74,6 миллиона ARB и 8425 ETH, связанных с атакой.
Вывод средств с по-прежнему приостановлен
Binance обязалась покрыть убытки за счет своего фонда SAFU и ресурсов компании, сотрудничая при этом с правоохранительными органами и следователями, занимающимися блокчейн-технологиями.
Одновременно с этим биржа заявила, что внесение депозитов остается в силе, но вывод средств будет приостановлен на время модернизации систем вывода средств и контроля адресов.
Binance ожидает возобновления вывода средств в течение 48 часов и заявила, что полный отчет о причинах атаки будет опубликован позже.
