У ніч на 30 жовтня зловмисники менш ніж за чотири години вивели з 17 гарячих гаманців найбільшої криптовалютної біржі світу Binance цифрові активи на суму близько 6,3 млрд доларів. Аналітики пов'язують атаку з північнокорейськими хакерами.

Атака розпочалася 29 жовтня о 20:04 за Києвом, коли аналітична компанія Bitquery зафіксувала перші підозрілі перекази з гаманців Binance на нові адреси, що, ймовірно, перебували під контролем зловмисників. Показово, що ці перекази підтверджувала власна система біржі — для блокчейну вони виглядали як звичайні авторизовані операції. Загалом атака тривала до 01:56 30 жовтня і охопила дев'ять блокчейн-мереж.

Найбільший епізод стосувався гаманця Binance 14 у мережі Ethereum. За даними аналітичних компаній Blockaid і Bitquery, приблизно о 22:20 хакери активували механізм Ethereum EIP-7702, який дозволяє налаштувати гаманець так, щоб операції з коштами виконувала спеціальна програма. Уже через чотири хвилини з гаманця вивели приблизно 167,5 тис. ETH, 1,6 млрд USDT та десятки інших токенів.

Аналітики TRM Labs з'ясували, що перед цим для гаманця Binance 14 було підготовлено 50 цифрових дозволів, кожен із яких відповідав окремому порядковому номеру операції — оскільки гаманець постійно здійснював перекази, а номер наступної операції змінювався. За 24 секунди після основного переказу з іншого гаманця, Binance 16, на адреси зловмисників надійшло ще понад 28 тис. ETH. Протягом наступних 12 хвилин криптовалюта почала надходити з ще десяти гарячих гаманців Binance у мережах Optimism, Arbitrum та Avalanche.

Найбільше коштів хакери вивели через мережу Ethereum — близько 3,79 млрд дол. Ще 1,47 млрд дол. припало на Bitcoin, близько 628 млн дол. — на Tron. Атака також зачепила XRP Ledger, Solana та інші мережі.

За попередньою версією Binance, зловмисники могли отримати доступ до внутрішніх систем через зламаний ноутбук інженера, який відповідав за технічну інфраструктуру. Після цього вони, ймовірно, скористалися системою виведення коштів. Біржа при цьому заявила, що не знайшла доказів викрадення приватних ключів.

Після атаки зловмисники почали обмінювати частину криптовалюти на інші активи, щоб уникнути блокування. За даними Bitquery, ще до втручання Tether — блокчейн-компанії та емітента USDT — хакери встигли обміняти близько 729 млн дол. у USDT на Ethereum і TRON. Tether має технічну можливість заморожувати USDT на конкретних гаманцях, однак якщо зловмисник встигає обміняти токени на іншу криптовалюту, компанія вже не може їх заблокувати. З 11 випадків блокування адрес з боку Tether 6 стосувалися гаманців, з яких кошти вже було виведено.

До блокування активів долучилися також Circle, яка випускає прив'язану до долара криптовалюту USDC, та команди Arbitrum й інших криптовалютних проєктів. До ранку 30 жовтня вдалося заблокувати або перевести на захищені адреси криптовалюту на загальну суму близько 2,7 млрд дол. Приблизно через 11 годин після першої підозрілої транзакції під контролем зловмисників усе ще перебували активи на суму близько 3,2 млрд дол., переважно в Ethereum і Bitcoin.

Цікаво, що загальна кількість Ethereum під контролем хакерів зрештою склала 508 621 ETH, тоді як безпосередньо з гаманців Binance вони викрали близько 200 630 ETH. Різниця пояснюється тим, що зловмисники активно обмінювали інші викрадені активи, зокрема прив'язані до долара токени, на ETH.

Binance зранку 30 жовтня повідомила про інцидент, зупинила виведення коштів для всіх користувачів і розпочала розслідування. Біржа пообіцяла компенсувати втрати коштом власних резервів і вже зарезервувала понад 6,3 млрд дол., із яких 5 млрд дол. — у відповідних криптоактивах.

Одними з перших під підозру потрапили північнокорейські хакери. Компанія TRM Labs пов'язує злам з угрупованням TraderTraitor, до схожого висновку дійшла й сінгапурська Pangolin Intelligence, яка виявила збіги з попередніми атаками хакерів із КНДР. Японські правоохоронні органи вважають TraderTraitor частиною Lazarus Group — одного з найвідоміших хакерських угруповань Північної Кореї, яке, за даними американських розвідників, діє під контролем державної розвідки КНДР.

Саму назву TraderTraitor використовують американські спецслужби для позначення північнокорейських хакерів, що спеціалізуються на крадіжках криптовалюти. Вперше ФБР, Агентство з кібербезпеки США (CISA) та Міністерство фінансів публічно заговорили про це угруповання у квітні 2022 року, попередивши про серію атак на криптовалютні компанії.

Серед характерних методів угруповання — соціальна інженерія. У березні 2024 року хакер під виглядом рекрутера зв'язався через LinkedIn із працівником японської компанії Ginco, яка розробляє програмне забезпечення для криптовалютних гаманців, і запропонував виконати тестове завдання з запуском програмного коду. Після цього зловмисники отримали доступ до його комп'ютера, а згодом — до внутрішніх систем компанії. Це дозволило їм втрутитися в операції криптобіржі DMM Bitcoin, з якої наприкінці травня викрали 4 502,9 Bitcoin вартістю близько 308 млн дол. У грудні того ж року ФБР та японська поліція офіційно пов'язали ту атаку з TraderTraitor.

До інциденту з Binance найбільшим зламом криптобіржі вважалася атака на Bybit у лютому 2025 року, коли хакери викрали криптовалюту приблизно на 1,5 млрд дол. Відповідальність за той злам також пов'язують з TraderTraitor.

За оцінками західних розвідок, викрадені кошти можуть використовуватися для фінансування військових програм Північної Кореї та обходу міжнародних санкцій. За одним із розрахунків ООН, ВВП КНДР у 2024 році становив близько 17,2 млрд дол., — тобто сума, яку зловмисники намагалися вивести під час атаки на Binance, відповідає понад третині цього показника.