За взломом крупнейшей в мире криптобиржи Binance стояла северокорейская группировка TraderTraitor, заявило ФБР США. По данным бюро, хакеры похитили криптовалюту более чем на $6 млрд. Основную часть этой суммы они вывели примерно за 20 минут, подсчитали специалисты аналитической компании TRM Labs.
Сама Binance заявляет, что хакеры взломали ноутбук одного из ее инженеров. Через него они могли получить доступ к сервисному контейнеру — части системы биржи, из которой можно было отправлять заявки на вывод средств. Позднее специалисты обнаружили и другие точки проникновения. Признаков утечки закрытых ключей от кошельков они не нашли.
Биржа и ее партнеры заморозили около $3 млрд похищенных активов. Binance начала докупать недостающую криптовалюту за свой счет. 31 октября компания сообщила, что уже покрыла $6 млрд из $6,3 млрд потерь.
Миллиарды за двадцать минут
Подготовка к краже началась как минимум за 36 часов до первых списаний, следует из разбора TRM Labs. Утром 28 октября на кошелек, с которого впоследствии управляли атакой, поступили три небольших перевода через сервис Tornado Cash, затрудняющий отслеживание денег. На следующий день хакеры испытали свой код на двух кошельках, а окончательную версию — на третьем.
29 октября около 23:05 мск деньги начали уходить с «горячих» кошельков Binance — тех, что подключены к интернету и обслуживают переводы клиентов. За четыре минуты с пяти кошельков на один адрес поступило более 233 млн токенов XRP. В 23:20 мск с другого кошелька биржи вывели 18 270 биткоинов. Еще через четыре минуты в сети Ethereum хакеры одним переводом вывели криптовалюту на $2,53 млрд, подсчитала компания Elliptic.
Хакерам удалось заставить систему Binance подписать разрешение, которое передавало управление одним из ее кошельков программе злоумышленников. Разрешение продолжало действовать и после того, как хакеры опустошили кошелек. Когда туда приходили новые средства, их выводили без повторной подписи биржи. Последнее такое списание TRM Labs зафиксировала в 02:56 мск 30 октября.
Что выдало хакеров
Еще до заявления ФБР специалисты TRM Labs связали взлом с КНДР, сославшись на данные о переводах и сведения, полученные за пределами блокчейна. Аналитики Elliptic обнаружили на нескольких кошельках и часть украденного с Binance, и средства, которые в сентябре похитили с биржи Bitget.
К той атаке, по данным Elliptic, с высокой вероятностью тоже причастны хакеры из КНДР. Для перемещения денег с Binance злоумышленники использовали те же сервисы, что и участники трех прежних краж, которые аналитики связывали с TraderTraitor.
В феврале 2025 года ФБР возложило на ту же группировку ответственность за взлом биржи Bybit. Тогда хакеры похитили криптовалюту примерно на $1,5 млрд. До атаки на Binance эта кража считалась крупнейшей в истории криптовалют. По подсчетам Chainalysis, за весь 2025 год связанные с КНДР хакеры украли не менее $2,02 млрд — на 51% больше, чем годом ранее.
США обсудят взлом с Северной Кореей, если подтвердится ее причастность к атаке, заявил президент Дональд Трамп.