Севернокорейски хакери откраднаха 5,85 милиарда евро от Binance

Разследващите приписват пробива на TraderTraitor — елитно звено за кибервойна, действащо под шапката на държавния разузнавателен апарат на Пхенян.

Binance, най-голямата борса за криптовалути в света, беше ударена от кибератака, при която подкрепяни от държавата севернокорейски оперативни лица източиха приблизително 6,36 милиарда долара (5,85 милиарда евро) в цифрови активи през 10 отделни блокчейна според водещи компании за блокчейн анализи.

Обирът представлява най-голямата единична кражба в историята на индустрията за цифрови активи — около четири пъти повече от 1,5 милиарда долара (1,38 милиарда евро), откраднати от базираната в Дубай борса Bybit през февруари 2025 г., сочат данни на TRM Labs.

Според криминалистичните анализи, публикувани от TRM Labs и Chainalysis, набегът е започнал в 20:05 ч. UTC (21:05 ч. брюкселско време) на 29 октомври. Огромната част от капитала е била прехвърлена в рамките на координиран светкавичен удар, продължил приблизително 20 минути.

Разследващите приписват пробива на TraderTraitor — елитно звено за кибервойна, опериращо в рамките на държавния разузнавателен апарат на Пхенян.

От TRM Labs заявиха, че правят тази атрибуция „с висока степен на увереност“, описвайки групата като подразделение на севернокорейската Lazarus Group. ФБР обвини същото звено и за кражбата от Bybit.

Главният изпълнителен директор на Chainalysis Джонатан Левин съобщи, че неговите разследващи са открили постъпления от септемврийския хак на борсата Bitget, смесени със средствата, отнети от Binance.

Първоначалните констатации от собственото разследване на Binance показват, че пробивът може да е тръгнал от компрометиране на лаптопа на инжинер на компанията, което впоследствие е предоставило на извършителите достъп до архитектурата за подписване на трансакции от т.нар. „горещи портфейли“ (hot wallets) на Binance. От борсата заявиха, че не са открили доказателства за изтичане на частен ключ от портфейлите.

В мрежата на Ethereum, откъдето е отнета най-голямата единична част от капитала (приблизително 3,79 милиарда долара или 3,49 милиарда евро), нападателите са се възползвали от делегирането по EIP-7702 (Ethereum Improvement Proposal).

Използвайки 50 предварително подписани оторизации, подготвени предварително, извършителите са преобразували горещ портфейл на Binance в автоматизиран договор за източване („sweeper contract“), намиращ се под техен пряк контрол. Според TRM Labs подготовката е започнала най-малко 36 часа преди кражбата.

Едновременно с това горещи портфейли в още девет мрежи са започнали да изпълняват бързи, автоматизирани трансфери към контролирани от нападателите адреси.

Изходящите потоци са довели до изтеглянето на приблизително 200 630 ETH и 185 други токена в мрежата на Ethereum, включително 1,875 милиарда долара в USDT, 823 милиона долара в USDC и 88,5 милиона долара в RLUSD.

В мрежата на Bitcoin са източени 18 270 BTC на стойност около 1,47 милиарда долара (1,35 милиарда евро), докато в Tron преводите възлизат на 612,7 милиона USDT и 46,4 милиона TRX.

Операцията е обхванала също 233,46 милиона XRP от XRP Ledger и 970 500 SOL в мрежата на Solana, наред с многомилионни баланси в мрежите Arbitrum, Optimism, Base, Avalanche и Polygon.

В часовете след установяването на експлойта централизираните издатели на стейбълкойни и протоколни администратори се намесиха, за да спрат потока на средства.

Tether, Circle, Ripple и World Liberty Financial — криптопредприятието, подкрепяно от семейството на президента на САЩ Доналд Тръмп — предприеха мерки за замразяване на приблизително 2,67 милиарда долара (2,46 милиарда евро) в обезпечени с фиатни валути стейбълкойни в посочените адреси получатели. Tether реагира първи — в 21:01 ч. UTC, според TRM Labs.

Успоредно с това Съветът за сигурност на мрежата Arbitrum се намеси, за да блокира 8 426 ETH и 74,6 милиона ARB, с което общата стойност на ограничените или замразени средства достигна около 2,7 милиарда долара (2,48 милиарда евро). По-късно Binance определи замразената обща сума на приблизително 3 милиарда долара.

Извършителите обаче са предвидили административното включване в черни списъци.

Докато емитентите на стейбълкойни действаха за спиране на трансферите, нападателите осъществиха бързи децентрализирани конвертирания, продавайки незасегнатите от черните списъци стейбълкойни в платформи с автоматизирани маркет-мейкъри и депозирайки токени в протоколи за кредитиране като Aave, за да заемат базов Ether, докато Aave не замрази засегнатите пазари.

В резултат на това TRM Labs съобщи, че хакерите са успели да преобразуват и запазят контрол върху базови активи на стойност около 2,4 милиарда долара (2,21 милиарда евро), които не могат да бъдат замразени, държани главно в над 420 000 ETH и 18 270 BTC.

Binance спря тегленията в множество мрежи, докато екипите по сигурност се опитваха да изолират засегнатите системи за подписване.

Съоснователката и съизпълнителен директор на Binance И Хъ публикува официално изявление, потвърждаващо пробива, в което заяви, че депозитите остават незасегнати, балансът на компанията ще поеме всички загуби, а средствата на потребителите са напълно гарантирани чрез нейните резерви за спешен капитал – фонда за сигурност на активите за потребители (SAFU).

Тя заяви, че нормалните операции по теглене се очаква да бъдат възобновени в рамките на 48 часа.

Говорител на Binance каза, че компанията „работи в тясно сътрудничество с правоприлагащите партньори за установяване на самоличността на престъпниците и изправянето им пред правосъдието“.

Мащабът на инцидента отекна на европейските и световните търговски пазари сутринта на 30 октомври.

Bitcoin поевтиня с над 3 на сто до 76 368 долара (70 244 евро), Ether се понижи с 3,2 на сто до 2 178 долара (2 003 евро), а собственият токен на борсата Binance, BNB, загуби около 5 на сто от стойността си.

Пробивът идва в момент, когато Binance е подложена на засилен контрол в ЕС. Борсата не успя да си осигури лиценз съгласно Регламента за пазарите на криптоактиви (MiCA) преди крайния срок 1 юли и понастоящем обслужва европейски клиенти чрез юридическото си лице в Абу Даби.

Регулаторите във Франция, Германия и Гърция проверяват използването от нейна страна на изключението за т.нар. „обратно поискване“ (reverse solicitation) за тази цел, съобщи Financial Times на 1 октомври.

Представители на западното разузнаване и органите за наблюдение на санкциите отдавна посочват киберапарата на Пхенян като основен канал за финансиране на забранените балистични и ядрени програми на режима.

През декември 2025 г. Chainalysis изчисли, че севернокорейските хакери са откраднали криптовалута на стойност около 2 милиарда долара (1,84 милиарда евро) за онази година, което беше рекорд по онова време.

Властите в Европейския съюз и Съединените щати препотвърдиха, че усилията по проследяване остават активни чрез координирани многостранни мрежи за киберотбрана.

Източник: „Brussels Signal“