Північнокорейський джекпот. Як із Binance викрали криптовалюту на 6 мільярдів доларів

У ніч на 30 жовтня з найбільшої у світі криптовалютної біржі Binance хакери вивели цифрові активи на суму понад 6 млрд дол.
Це стало найбільш масштабною крадіжкою криптовалюти в історії.
І хоча приблизно половину викрадених активів вдалося заморозити, під контролем зловмисників залишилися криптоактиви на мільярди доларів. Аналітики пов"язують інцидент з північнокорейськими хакерами.
Попри безпрецедентні масштаби атаки, Binance обіцяє компенсувати втрати коштом власних резервів.
Для цього біржа вже зарезервувала понад 6,3 млрд дол., із яких 5 млрд дол.
у відповідних криптоактивах. Як зловмисникам вдалося вивести з найбільшої криптобіржі світу мільярди доларів, чому її системи безпеки не змогли цьому запобігти та хто може стояти за атакою? Як відбувалось викрадення Менш ніж за чотири години зловмисники вивели криптовалюту на загальну суму близько 6,3 млрд дол.
із 17 гарячих гаманців Binance, підрахувала аналітична компанія Bitquery.
Мова йде про адреси, на яких біржа зберігає криптовалюту для проведення щоденних операцій, зокрема виведення активів клієнтами.
Атака охопила дев"ять блокчейн-мереж, а найбільше коштів було викрадено в Ethereum, Bitcoin і TRON. Перші підозрілі перекази на великі суми аналітики зафіксували 29 жовтня о 20:04.
Тоді криптовалюта почала надходити з гаманців Binance на нові адреси, які, ймовірно, контролювали зловмисники.
Найцікавіше, що ці перекази підтверджувала власна система Binance.
Тобто, для блокчейну вони виглядали як цілком звичайні операції, дозволені самою біржею. За попередньою версією Binance, зловмисники могли отримати доступ до внутрішніх систем через зламаний ноутбук одного з інженерів, який відповідав за роботу технічної інфраструктури.
Після цього вони, ймовірно, скористалися системою виведення коштів.
При цьому сама біржа заявила, що не знайшла доказів викрадення приватних ключів, за допомогою яких підтверджуються криптовалютні перекази. Один із наймасштабніших епізодів атаки відбувся в мережі Ethereum і стосувався гаманця Binance 14.
Це один із головних постраждалих гаманців, який входив до офіційного списку резервів біржі, що забезпечували баланси користувачів. За даними аналітичних компаній Blockaid і Bitquery, приблизно о 22:20 за Києвом хакери активували спеціальний механізм Ethereum під назвою EIP-7702 для керування криптовалютним гаманцем.
Він дозволяє налаштувати його так, щоб операції з коштами могла виконувати спеціальна програма. Читайте також "Забій свиней": як онлайн-шахраї заробляють мільярди доларів на криптоскамі Уже за чотири хвилини, близько 22:24, відбувся переказ, коли з гаманця Binance 14 на іншу адресу вивели приблизно 167,5 тис.
ETH, 1,6 млрд USDT та десятки інших криптовалютних токенів. Аналітики TRM Labs з"ясували, що перед цим було підготовлено 50 цифрових дозволів, підписаних для гаманця Binance 14.
Кожен із них відповідав окремому порядковому номеру операції.
Такий підхід був потрібен, оскільки гаманець постійно здійснював перекази, а отже, номер наступної операції змінювався. Фактично це дозволило зловмисникам провести переказ від імені гаманця, хоча його справжній власник таких дій не схвалював. На цьому виведення коштів не завершилося.
Уже за 24 секунди з іншого гаманця, Binance 16, на адресу зловмисників переказали ще понад 28 тис.
ETH та інші токени.
Також протягом наступних 12 хвилин криптовалюта почала надходити ще з десяти гарячих гаманців Binance у мережу Optimism, Arbitrum та Avalanche.
При цьому за даними Blockaid, ці перекази здійснювалися як звичайні операції, підписані відповідними гаманцями. Паралельно хакери продовжували виводити криптовалюту з інших гаманців Binance у різних блокчейн-мережах.
Загалом атака тривала майже чотири години, до 01:56 30 жовтня. Зрання Binance повідомила про проблему з безпекою та почала розслідування, зупинивши виведення коштів для всіх користувачів.
Втім, за даними Bitquery, на той момент гаманці біржі значною мірою вже були спустошені. Найбільше коштів зловмисники вивели через мережу Ethereum – близько 3,79 млрд дол.
Ще 1,47 млрд дол.
припало на Bitcoin, а близько 628 млн дол.
– на Tron.
Атака також зачепила XRP Ledger, Solana, Arbitrum, Avalanche та інші блокчейн-мережі. Швидко вивести до блокування Після викрадення коштів із Binance зловмисники почали обмінювати частину криптовалюти на інші активи, щоб уникнути їхнього блокування.
За даними Bitquery, ще до втручання Tether (блокчейн-компанія та емітент USDT) хакери встигли обміняти близько 729 млн дол.
у USDT на Ethereum (ETH) і TRON (TRX). Tether має технічну можливість заморожувати USDT на конкретних криптогаманцях, щоб їх не можна було переказати чи використати.
Однак якщо хакер встигає обміняти USDT на іншу криптовалюту, наприклад ETH, Tether уже не може нічим зарадити. Цим і скористалися зловмисники, які провели частину обмінів ще до того, як компанія почала заморожувати викрадені USDT. Згодом до блокування активів долучилися Circle, яка випускає іншу прив"язану до долара криптовалюту USDC, а також команди Arbitrum та інших криптовалютних проєктів. Читайте також московія легалізувала криптовалюти.
Чи допоможе це обійти західні санкції? За підрахунками Bitquery, до ранку 30 жовтня вдалося заблокувати або перевести на захищені адреси криптовалюту на загальну суму близько 2,7 млрд дол. Проте частину коштів все ж втратили.
Так, за даними Bitquery, із 11 випадків блокування адрес компанією Tether, 6 стосувалися гаманців, з яких хакери вже встигли вивести криптовалюту. Приблизно через 11 годин після першої підозрілої транзакції під контролем зловмисників усе ще перебували активи на суму близько 3,2 млрд дол., переважно в Ethereum і Bitcoin.
Причому значна частина цих коштів залишалася на гаманцях, з яких після надходження криптовалюти не проводили жодного переказу. Аналітики Bitquery звернули увагу на кількість Ethereum, що опинилася під контролем хакерів.
Загалом вони накопичили 508 621 ETH, хоча безпосередньо з гаманців Binance викрали близько 200 630 ETH. Звідки взялася різниця? Річ у тім, що після атаки зловмисники активно обмінювали інші викрадені криптовалюти, зокрема прив"язані до долара токени, на Ethereum.
У результаті під їхнім контролем опинилося приблизно у 2,5 раза більше ETH, ніж вони безпосередньо викрали з біржі. Північнокорейський слід Одними з перших під підозру аналітиків, які досліджували атаку на Binance, потрапили північнокорейські хакери.
Зокрема, компанія TRM Labs пов"язує злам з угрупованням TraderTraitor.
До схожого висновку дійшла й сінгапурська Pangolin Intelligence, яка виявила збіги з попередніми атаками хакерів із КНДР. Саму назву TraderTraitor зазвичай використовують американські спецслужби для позначення північнокорейських хакерів, що спеціалізуються на крадіжках криптовалюти. Читайте також Під крилом Пекіна та Москви.
Як КНДР заробляє "чорну" валюту на ядерні розробки Уперше американська влада публічно заговорила про TraderTraitor у квітні 2022 року.
Тоді ФБР, Агентство з кібербезпеки США (CISA) та Міністерство фінансів попередили про серію атак на криптовалютні компанії. Японські правоохоронні органи вважають TraderTraitor частиною Lazarus Group.
Це одне із найвідоміших хакерських угруповань Північної Кореї, яке, за даними розвідників США, працює під контролем державної розвідки КНДР. Одна з характерних особливостей цих хакерів полягає у використанні соціальної інженерії.
Наприклад, у березні 2024 року хакер під виглядом рекрутера зв"язався через LinkedIn із працівником японської компанії Ginco, яка розробляє програмне забезпечення для криптовалютних гаманців. Працівнику запропонували виконати тестове завдання, для якого потрібно було запустити програмний код.
Після цього хакери отримали доступ до його комп"ютера, а згодом проникли до внутрішніх систем компанії. Це дозволило їм втрутитися в операції криптобіржі DMM Bitcoin, з якої наприкінці травня викрали 4 502,9 Bitcoin вартістю близько 308 млн дол.
У грудні того ж року ФБР та японська поліція офіційно пов"язали атаку з TraderTraitor. Читайте також Хом’як з російським душком.
Що приховує гра Hamster Kombat, яка обіцяє легкий заробіток До інциденту з Binance найбільшим в історії зламом криптобіржі вважалася атака на Bybit у лютому 2025 року.
Тоді хакери викрали криптовалюту на суму близько 1,5 млрд дол.
Відповідальність за цей злам також пов"язують з угрупованням TraderTraitor. Для Північної Кореї такі операції давно є одним зі способів отримання іноземної валюти.
За оцінками західних розвідок, викрадені кошти можуть використовуватися для фінансування військових програм та обходу міжнародних санкцій. Щоб зрозуміти масштаби, достатньо порівняти суму викраденої криптовалюти з економікою самої країни.
Північна Корея не публікує повної економічної статистики, тому зовнішні оцінки суттєво різняться.
Однак за одним із розрахунків ООН, у 2024 році її ВВП становив близько 17,2 млрд дол. Тобто 6,3 млрд дол., які намагалися викрасти під час атаки на Binance, становлять понад третину економіки країни.
А за масштабом це можна порівняти навіть з оцінками річних військових видатків Північної Кореї, які, за різними підрахунками, сягають кількох мільярдів доларів.