Хакеры могли находиться в системах Binance около восьми недель до взлома

Что произошло

Security Alliance заявила, что связанная с Северной Кореей группировка TraderTraitor получила доступ к системам Binance примерно за восемь недель до взлома на $6,3 млрд, который произошел 29 октября.

По оценке организации, доступ был получен в сентябре. После первоначального проникновения злоумышленники могли длительное время перемещаться по системам с высокой степенью скрытности.

Детали расследования

SEAL выявила как минимум четыре компании, связанные с фиктивными кампаниями по найму TraderTraitor в 2026 году: citalab.net, citalab.com, bitfit.io и oddium.io.

Организация обнаружила похожую многоэтапную схему проникновения в других крупных взломах криптовалютных проектов. По ее оценке, перед атакой на Bitget злоумышленники имели доступ около шести недель, столько же — к LayerZero перед уязвимостью, которая привела к взлому Kelp DAO на $293 млн, и около трех недель — до атаки на AFX на $24 млн.

Позиции сторон

Binance объяснила взлом фальшивым собеседованием, в ходе которого хакеры скомпрометировали устройство сотрудника и похитили учетные данные для доступа к инфраструктуре кошельков биржи.

Биржа заявила, что отслеживает кампанию с июня, когда было скомпрометировано устройство другого сотрудника. Binance обнаружила инцидент и заменила устройство, однако к тому моменту злоумышленники уже собрали сведения о команде и инфраструктуре кошельков.

Федеральное бюро расследований США приписало атаку TraderTraitor. Ким Ё Чжон, сестра лидера Северной Кореи Ким Чен Ына, отвергла эти обвинения.