IBIT могут выбрать следующей целью северокорейские хакеры — на кону $63 млрд

Специалист компании-производителя аппаратных кошельков OneKey под псевдонимом Yishi назвал крупнейший биткоин-ETF IBIT вероятной следующей жертвой северокорейских хакеров. Причина — концентрация активов: фонд BlackRock держит около 815 000 BTC на сумму примерно $63 млрд, и все они лежат у одного кастодиана, Coinbase.

Схему кражи хакеры уже отработали на биржах Bybit и Binance. Злоумышленники не взламывают холодные кошельки напрямую — вместо этого они атакуют людей и программы, через которые проходит подтверждение переводов. В феврале 2025 года при атаке на Bybit хакеры заразили компьютер разработчика и 17 дней оставались незамеченными, подменив интерфейс подтверждения транзакций. Сотрудники биржи одобрили перевод на $1,5 млрд, думая, что он обычный, хотя ключи так и не покинули офлайн-хранилище.

Недавний взлом Binance, по мнению аналитиков, провела та же северокорейская группировка TraderTraitor, которую связывают также с атакой на DMM Bitcoin и кражей 4502,9 BTC. По данным Binance, хакеры зашли через ноутбук DevOps-инженера; компания заявила, что ключи не утекли, но TRM Labs допускает, что атакующие получили контроль над процессом подписания транзакций.

У IBIT есть второй кастодиан — Anchorage Digital, но, судя по последнему квартальному отчету, перевод биткоинов туда пока не планируется.

Yishi оценил возможные потери: кража на $6 млрд обошлась бы фонду примерно в 9,5% активов, или около $4 на акцию. Вернуть биткоины было бы практически невозможно — в отличие от стейблкоинов, которые Binance частично заморозила после своего взлома, транзакции с BTC нельзя отменить или заблокировать.

Страховая защита фонда ограничена: BlackRock отдельно не страхует биткоины IBIT, у Coinbase есть общая страховка на $320 млн для всех клиентов, а ответственность кастодиана по договору ограничена $100 млн на один холодный адрес. Если фонд не вернет монеты и не получит компенсацию, убытки понесут держатели акций.

Yishi советует не хранить все активы в одном месте, держать ключи офлайн и проверять детали перевода на экране отдельного устройства.