У цьому матеріалі
Злам найбільшої біржі Binance пов’язують із північнокорейською групою хакерів Lazarus Group. Спеціалісти з блокчейну підозрюють, що хакери, яких підтримує Північна Корея, 29 жовтня викрали в біржі близько $6,3 мільярда.
За даними TRM Labs, їхні слідчі з високим ступенем впевненості пов’язали атаку з TraderTraitor, північнокорейським хакерським підрозділом, пов’язаним з Lazarus. Спеціаліст із блокчейну ZachXBT окремо назвав Lazarus імовірним зловмисником, хоча Binance поки що не підтвердила, хто саме вчинив крадіжку.
Ідо Бен-Натан, співзасновник і генеральний директор компанії Blockaid, яка займається забезпеченням безпеки блокчейну, заявив, що ця атака за масштабом перевищила попередні крадіжки криптовалюти.
«Це найбільший злам криптовалютних гаманців в історії. Наш аналіз показує, що щонайменше 3,5 мільярда доларів було виведено з гарячих гаманців Binance на платформах Ethereum, Arbitrum, Optimism та Avalanche менш ніж за годину, що більш ніж удвічі перевищує крадіжку на Bybit у лютому 2025 року», — сказав Бен-Натан.
Він зазначив, що слідчі виявили додаткові переказування з використанням BTC та TRON, а його команда продовжує відстежувати викрадені активи.
Тим часом платформа відстеження блокчейну Onchain Lens повідомила, що зловмисник, який атакував Binance, перевів 17 260 ETH, що становить приблизно $38,82 мільйона, на новий гаманець, що викликає побоювання, що кошти можуть бути відмиті через Tornado Cash або інші криптовалютні міксери.
Згідно з даними трекера, зловмисник досі контролює майже 480 720 ETH, вартість яких становить $1,08 мільярда, і які не можуть бути заморожені емітентом токенів. Гаманець отримувача було ідентифіковано як 0x03b0eE5d82990cFF1bDa48651AC3e436d1a020ea.
У ході розслідування TRM вдалося відстежити виведення близько $6,36 мільярдів з гаманців, які контролює Binance, у десяти блокчейн-мережах, включно з Ethereum, Bitcoin, Tron, Solana та XRP Ledger.
Больша частина викрадених коштів була переведена протягом приблизно 20 хвилиин, починаючи з 20:05 UTC. Близько $3,79 мільярда було переведено через Ethereum, а на Bitcoin і Tron припадало ще $1,47 мільярда та $628 мільйонів відповідно.
Слідчі виявили 233,46 мільйона XRP, вартість яких становить майже $296 мільйонів, що перебували у п’яти гаманцях Binance до початку атаки на Ethereum.
За даними охоронної компанії, підготовка почалася щонайменше за 36 годин до крадіжки. До гаманця, контрольованого зловмисником, було здійснено три невеликі виведення коштів з Tornado Cash, а також протестовано шкідливий код, перш ніж атакувати Binance.
Компанія TRM пов’язала цю діяльність з TraderTraitor, використовуючи дані блокчейн-транзакцій та іншу інформацію, хоча й не розкрила публічно всі докази, що підтверджують її причетність.
Раніше ФБР встановило, що TraderTraitor несе відповідальність за крадіжку криптовалюти на біржі Bybit у лютому 2025 року, внаслідок якої з біржі було виведено близько $1,5 мільярда. Влада США звинувачує північнокорейські хакерські групи у крадіжці криптовалюти для фінансування програм озброєння країни.
Blockaid пояснив, як було отримано доступ до гаманців Binance
У ході технічного розслідування Blockaid було виявлено незвичайну транзакцію Ethereum, що містить 50 авторизацій EIP-7702, спрямованих на Binance 14, один з найбільш завантажених гарячих гаманців біржі.
EIP-7702 дозволяє гаманцю Ethereum авторизувати код смарт-контракту для роботи від його імені. Зловмисник підготував авторизацію, використовуючи 50 послідовних лічильників транзакцій, збільшуючи ймовірність того, що один з них збігатиметься з поточним лічильником гаманця.
Успішною виявилася лише одна авторизація, яка дозволила шкідливому контракту перевести активи з гаманця.
«Зловмисник фактично перепрограмував великий гарячий гаманець Binance Ethereum таким чином, що один оператор міг спустошити його, включно з будь-якими новими коштами, внесеними на нього», — пояснив Бен-Натан.
Зловмисник перевів з Binance 14 близько 2,5 мільярда доларів, включно з 167 464 ETH та понад 1,6 мільярда USDT. Подальші переказування були спрямовані на нові надійшлі кошти.
Слідчі виявили, що інші гаманці Binance переміщували активи за допомогою звичайних підписаних транзакцій у кількох мережах. TRM вважає, що зловмисник міг отримати доступ до інфраструктури підписування транзакцій біржі.
Binance повідомила про можливий злам ноутбука співробітника
У своєму оновленні безпеки Binance повідомила, що початкове розслідування вказало на зламаний ноутбук інженера DevOps, який міг забезпечити несанкціонований доступ до внутрішнього контейнера сервісу.
Біржа не виявила жодних доказів витоку закритих ключів і заявила, що опублікуватиме детальне розслідування, щойно буде встановлено причину.
Генеральний директор Tether Паоло Ардоіно підтвердив заморозку понад 1,567 мільярда USDT, а генеральний директор Circle Джеремі Аллер повідомив про заморозку понад 800 мільйонів USDC. Рада безпеки Arbitrum забезпечила безпеку приблизно 74,6 мільйона ARB та 8425 ETH, пов’язаних з атакою.
Виведення коштів досі призупинено
Binance зобов’язалася покрити збитки за рахунок свого фонду SAFU та ресурсів компанії, співпрацюючи при цьому з правоохоронними органами та слідчими, які займаються блокчейн-технологіями.
Одночасно з цим біржа заявила, що внесення депозитів залишається чинним, але виведення коштів буде призупинено на час модернізації систем виведення коштів і контролю адрес.
Binance очікує відновлення виведення коштів протягом 48 годин і заявила, що повний звіт про причини атаки буде опубліковано пізніше.
