За масштабной хакерской атакой на криптовалютную биржу Binance, в результате которой с ее кошельков вывели цифровые активы на миллиарды долларов, может стоять северокорейская группировка TraderTraitor, связанная с Lazarus Group. Аналитики выявили характерные признаки операций, которые ранее проводили хакеры из КНДР.
Об этом говорится в исследовании американской компании TRM Labs, опубликованном 29 октября.
Специалисты заявили о высоком уровне уверенности в причастности TraderTraitor к атаке. Выводы основаны на анализе транзакций в блокчейне, дополнительных разведывательных данных и сравнении действий злоумышленников с предыдущими операциями северокорейских хакеров.
В частности, исследователи обнаружили сходство со взломом криптобиржи Bybit в феврале 2025 года, когда было похищено примерно $1,5 млрд. Тогда Федеральное бюро расследований США связало атаку с TraderTraitor.
По данным TRM Labs, подготовка ко взлому Binance началась как минимум за 36 часов до основной атаки. Злоумышленники заранее проводили тестовые операции и готовили инфраструктуру для быстрого вывода активов.
Вечером 29 октября с кошельков Binance в десяти блокчейн-сетях переместили криптовалюты общей стоимостью примерно $6,36 млрд. Основную часть транзакций осуществили в течение около 20 минут.
Аналитики считают, что атакующие могли получить возможность инициировать подписание транзакций от имени биржевых кошельков сразу в нескольких сетях. На это указывает характер одновременного вывода активов из систем, которые используют разные механизмы авторизации.
Как сообщает CoinDesk, версию о северокорейском следе поддержали и другие исследователи криптовалютных транзакций, в частности ZachXBT и представители компании Blockaid.
В то же время собеседники издания подчеркивают, что окончательно установить исполнителей атаки пока не удалось. Несмотря на сходство с предыдущими операциями Lazarus, отдельные особенности перемещения похищенных средств отличаются от обычных методов этой группировки.
Сама Binance в сообщении от 30 октября заявила, что предварительное внутреннее расследование указывает на возможное проникновение через скомпрометированный ноутбук одного из DevOps-инженеров компании.
По версии биржи, это позволило злоумышленникам получить доступ к служебному контейнеру и инициировать несанкционированный вывод криптовалют. При этом компания не обнаружила доказательств утечки приватных ключей кошельков.
Binance пока официально не подтвердила причастность TraderTraitor или Lazarus Group. Компания продолжает расследование совместно с правоохранительными органами и специалистами по блокчейн-аналитике.
Биржа сообщила, что вместе с партнерами уже удалось заблокировать примерно $3 млрд активов, связанных с инцидентом. Binance также пообещала компенсировать потери пользователей за счет страхового фонда SAFU и собственных средств.
Напомним, ранее "Курс Украины" сообщал о подозрительных переводах с кошельков Binance. Впоследствии компания подтвердила масштабный инцидент с безопасностью и временно ограничила операции с криптовалютами.
