Криптовалютна біржа Binance 29 жовтня зазнала масштабного інциденту безпеки: з її гаманців у десяти блокчейн-мережах вивели активи приблизно на $6,36 млрд. Більшість транзакцій відбулася протягом близько 20 хвилин. Аналітична компанія TRM Labs із високим рівнем упевненості пов’язала атаку з північнокорейським хакерським угрупованням TraderTraitor, яке вважають частиною кіберструктур КНДР. Про це 30 жовтня повідомило Reuters.
За даними TRM Labs, перекази зафіксували в Ethereum, Bitcoin, Tron, XRP Ledger, Solana та інших мережах. Зловмисник отримав кошти з гаманців Binance, використовуючи транзакції, які пройшли належну криптографічну перевірку. Така обставина вказує, що йдеться не обов’язково про викрадення приватних ключів: нападники могли отримати можливість змушувати внутрішню систему підписання транзакцій біржі підтверджувати несанкціоновані перекази.
Попереднє розслідування Binance вказало на можливий компрометований ноутбук одного з інженерів DevOps. Через нього нападники могли проникнути до службового середовища та відправляти транзакції, які система сприймала як авторизовані. Біржа заявила, що наразі не виявила ознак витоку приватних ключів криптогаманців. Остаточну причину інциденту ще встановлюють.
Після виявлення підозрілих операцій Binance тимчасово зупинила поповнення та виведення коштів у кількох мережах. Компанія повідомила, що кошти користувачів залишаються в безпеці, а можливі збитки від інциденту вона покриє власним коштом. Біржа також почала взаємодіяти з правоохоронними органами, аналітиками блокчейну та іншими учасниками крипторинку.
Компанії Tether, Circle, Ripple та інші учасники галузі заблокували частину активів, пов’язаних із підозрілими адресами. За даними TRM Labs, загальна сума заморожених коштів і токенів становила близько $2,7 млрд. Окремо обмеження застосували до активів у мережі Arbitrum. Водночас частина викрадених коштів залишилася під контролем зловмисника: криптовалюти, які не мають централізованого емітента, значно складніше заблокувати безпосередньо на рівні мережі.
Аналітики встановили, що на Ethereum зловмисник використав механізм делегування EIP-7702, який дає змогу звичайному гаманцю виконувати код смартконтракту після підписання відповідної авторизації. За оцінкою TRM Labs, нападники заздалегідь підготували 50 авторизацій, які дали змогу спрямувати кошти з одного з гарячих гаманців біржі. В інших мережах перекази пройшли як звичайні підписані транзакції. Така синхронність може свідчити про доступ до інфраструктури, яка обробляє підписання операцій одразу в кількох блокчейнах.
TRM Labs пов’язує атаку з TraderTraitor на основі даних блокчейну та інформації з інших джерел. Дослідники вказують на схожість окремих елементів операції з попередніми атаками, пов’язаними з Північною Кореєю, зокрема підготовку гаманців до викрадення та використання заздалегідь створених транзакцій. Водночас атрибуція ґрунтується на аналітичній оцінці компанії, а не на оприлюдненому завершеному висновку правоохоронного розслідування.
Якщо оцінка TRM Labs підтвердиться, цей інцидент стане найбільшим відомим викраденням криптоактивів за сумою. Для порівняння, у лютому 2025 року з біржі Bybit викрали криптовалюту приблизно на $1,5 млрд. Тоді Федеральне бюро розслідувань США поклало відповідальність на північнокорейських хакерів і використало назву TraderTraitor для позначення відповідної кібероперації.
Криптобіржі та емітенти цифрових активів мають різні можливості реагування на подібні інциденти. Емітенти централізованих стейблкоїнів, зокрема Tether і Circle, можуть блокувати токени на визначених адресах. Натомість Bitcoin не має централізованого емітента, який міг би заморозити монети, тому їхнє повернення залежить від відстеження транзакцій, співпраці з торговельними платформами та можливості перехопити кошти під час подальшого переміщення.
Крадіжки криптовалют, пов’язані з КНДР, уже тривалий час перебувають у полі зору міжнародних правоохоронних органів. За оцінками американських відомств, північнокорейські хакерські групи використовують викрадені цифрові активи для фінансування діяльності держави, зокрема програм озброєнь. Подальше розслідування інциденту з Binance має встановити, як саме нападники отримали доступ до системи підписання транзакцій, яку частину активів вдасться повернути та чи були скомпрометовані інші елементи інфраструктури біржі.
