TRM Labs и Chainalysis связали взлом Binance на $6,4 млрд с группой TraderTraitor из КНДР

TRM Labs и Chainalysis независимо друг от друга связали взлом Binance на этой неделе с северокорейской хакерской группой TraderTraitor. Ранее ФБР обвиняло её же в краже $1,5 млрд у биржи Bybit в феврале 2025 года. Обе компании назвали нынешний инцидент крупнейшей кражей криптовалюты в истории.

TRM Labs оценила ущерб в $6,36 млрд и заявила об атрибуции «с высокой степенью уверенности». Средства выводили из кошельков Binance в 10 блокчейнах — большую часть за примерно 20 минут, начиная с 16:05 по восточному времени США в четверг. Chainalysis назвала сумму в $6,4 млрд и сообщила: главным доказательством стало смешивание украденных средств в реальном времени с деньгами, похищенными в сентябре при взломе Bitget. Тот инцидент тоже связывали с северокорейскими хакерами. К похожим выводам пришла сингапурская Pangolin Intelligence, проанализировав активность в блокчейне.

По данным TRM и Chainalysis, операционный кошелёк атакующих пополнялся через миксер Tornado Cash. На Ethereum хакеры использовали функцию EIP-7702 из обновления Pectra: с её помощью горячий кошелёк Binance превратили в инструмент для вывода средств с 50 заранее подготовленными авторизациями. Binance заявила, что расследование начала с компрометации ноутбука одного из инженеров, но позже обнаружила и другие точки взлома.

Атакующие продали часть USDT маркет-мейкерам и заняли ETH под залог USDT на платформе Aave — пытались успеть до того, как эмитенты заморозят активы. Сейчас у них остаётся более 420 000 ETH и 18 270 BTC, около $2,4 млрд. Tether, Circle, Ripple и World Liberty Financial заморозили около $2,67 млрд в стейблкоинах, Arbitrum заблокировала 8 426 ETH и 74,6 млн ARB. По данным Binance, всего заморожено около $3 млрд.

Binance сообщила, что зарезервировала более $6,34 млрд собственных средств: $5 млрд из них уже хранятся в тех же токенах, что были украдены. Остальное биржа докупает на рынке и через OTC-каналы.