Взлом Binance на $6,3 млрд связали с группировкой TraderTraitor: индустрия заморозила $3 млрд украденных средств

, ,

Крупнейшая в мире криптовалютная биржа Binance подтвердила информацию о масштабной хакерской атаке, в ходе которой злоумышленники несанкционированно вывели цифровые активы на общую сумму от $6,3 млрд до $6,4 млрд. Инцидент стал крупнейшим хищением средств за всю историю индустрии блокчейна. В ответ на инцидент биржа временно приостановила операции по выводу средств на срок до 48 часов для комплексного обновления защитной архитектуры сервиса выплат и ротации адресов, сохранив прием депозитов в стандартном режиме.

Ведущие аналитические компании в сфере ончейн-безопасности независимо друг от друга атрибутировали нападение элитному северокорейскому государственному киберподразделению TraderTraitor, тесно связанному с группировкой Lazarus Group. По данным сооснователя и генерального директора Chainalysis Джонатана Левина, благодаря экстренной координации крупнейших эмитентов стейблкоинов, операторов блокчейн-мостов и централизованных платформ удалось оперативно заморозить около $3 млрд похищенных активов непосредственно в сетях их обращения.

Как хакерам удалось обойти периметр безопасности и вывести активы из внутренних хранилищ?

Предварительные данные криминалистического анализа указывают на глубокую подготовку и использование вектора компрометации цепочки внутренних доступов:

  • Вектор проникновения: компрометация рабочего ноутбука инженера подразделения DevOps
  • Точка закрепления: несанкционированный доступ к внутреннему сервисному контейнеру управления транзакциями
  • Эксплуатируемые механизмы: подмена логики клиентских свипер-контрактов (customer sweeper contracts)
  • Масштаб перехвата: обход политик множественных авторизаций (multi-authorization) для авторизации пакетов вывода
  • Вторичный ущерб: манипулятивный сброс неликвидных токенов старых эмиссий (включая FUN) с падением их котировок до 90%

Эксплуатация сервисных контейнеров и захват механизмов групповой авторизации

Согласно техническому анализу специалистов компании Blockaid, злоумышленники получили плацдарм внутри сетевой инфраструктуры через предварительно зараженное рабочее место DevOps-специалиста. Заполучив валидные ключи конфигурации, киберпреступники внедрились в сервисный контейнер, отвечающий за автоматическую обработку очередей на вывод средств. Вместо прямой атаки на холодные хранилища хакеры перехватили управление алгоритмами автоматического сбора депозитов (sweeper contracts) и сгенерировали поддельные сессионные токены, обойдя барьеры мультиподписи и направив потоки ликвидности на подконтрольные смарт-контракты в нескольких блокчейнах.

Демпинг низколиквидных активов на спотовых рынках

Покинув периметр биржи, взломщики предприняли попытку быстрой конвертации части активов, начав агрессивный сброс альткоинов с низкой рыночной капитализацией на децентрализованных и внешних площадках. В частности, массивный сброс токена FUN, выпущенного еще в 2017 году, привел к мгновенному исчерпанию пулов ликвидности и коллапсу его рыночной стоимости на 90%. Этот шаг продемонстрировал стремление атакующих выжать максимальный объем фиатной стоимости до включения защитных фильтров маркетмейкеров.

Какие ончейн-улики связали взлом Binance с северокорейской группировкой TraderTraitor?

Сетевые аналитики зафиксировали прямые пересечения инфраструктуры отмывания денег с предыдущими атаками кибервойск КНДР:

  • Главный подозреваемый: субсидируемая государством группировка TraderTraitor (Lazarus Group)
  • Степень уверенности: категоризация «High Confidence» от агентства разведки угроз TRM Labs
  • Ключевой след: слияние похищенных траншей с адресами недавнего взлома биржи Bitget
  • Маршрутизация через мосты: использование децентрализованного кроссчейн-протокола THORChain для запутывания транзакций
  • Предыдущие инциденты группы: масштабные атаки на биржу Bybit в феврале 2025 года и протокол Kelp DAO

Доказательная база независимого ончейн-расследования

Независимый блокчейн-исследователь ZachXBT опубликовал транзакционные графы, демонстрирующие движение средств из скомпрометированных кошельков Binance. По его данным, похищенные криптовалюты были пропущены через пулы ликвидности протокола THORChain, после чего аккумулировались на тех же целевых адресах, которые использовались при взломе платформы Bitget в сентябре 2026 года. Специфика скриптов маршрутизации и тайминг транзакций полностью совпадают с почерком атак на Kelp DAO, что позволило с высокой точностью подтвердить участие одного и того же субъекта угроз.

Оценка агентства TRM Labs и история активности TraderTraitor

Аналитическое агентство TRM Labs присвоило атрибуции статус максимальной достоверности. В отчете компании подчеркивается, что кибергруппа TraderTraitor, ранее идентифицированная Федеральным бюро расследований США как исполнитель взлома биржи Bybit, существенно модернизировала свои методы. Вместо банального фишинга группа перешла к сложным атакам на инфраструктурный код, ориентируясь на системные сервисы валидации транзакций крупнейших мировых криптопровайдеров.

Как скоординированные действия индустрии позволили заморозить $3 млрд?

Немедленный ответ эмитентов стейблкоинов и протоколов смарт-контрактов

Масштабная блокировка $3 млрд стала беспрецедентным примером оперативного взаимодействия криптоиндустрии. Как только транзакционные адреса злоумышленников были идентифицированы службой мониторинга Binance и переданы партнерам, эмитенты Tether и Circle активировали функции внесения адресов в черные списки (blacklist function) на уровне смарт-контрактов в сетях Ethereum, Tron, BNB Chain и Arbitrum. Это позволило обездвижить львиную долю стейблкоинов USDT и USDC до их конвертации через миксеры или децентрализованные пулы.

Регламент восстановления безопасности и возобновление операций

Команда Binance заявила, что депозитарные шлюзы продолжают работу в штатном режиме, а активы пользователей защищены внутренними резервами. В течение 48 часов инженеры платформы проводят полную реконфигурацию архитектуры серверов вывода, замену всех промежуточных горячих кошельков и аудит прав сервисных учетных записей. Инцидент уже стал катализатором глобального пересмотра стандартов безопасности для корпоративных решений контейнеризации и автоматического распределения ликвидности.

0
Редактор в CryptoInside

О себе:
"Крипторынок – это не просто цифры, а сложная экосистема, в которой политика, технологии и экономика переплетаются. В своих новостях я стараюсь не просто пересказывать события, а анализировать их влияние на рынок. Моя цель – делать новости криптовалют понятными, доступными и объективными."

Поделиться материалом:
Смотрите также