Аналитики связали взлом Binance на $6,4 млрд с группировкой TraderTraitor

Что произошло

TRM Labs, Chainalysis и сингапурская Pangolin Intelligence связали взлом Binance с северокорейской хакерской группировкой. TRM Labs и Chainalysis с высокой уверенностью назвали TraderTraitor ответственной за атаку, которую компании считают крупнейшей кражей криптовалюты в истории.

TRM Labs оценила похищенную сумму примерно в $6,36 млрд. Средства были выведены с кошельков Binance в 10 блокчейнах, причем основная часть — примерно за 20 минут. Chainalysis оценила общий ущерб примерно в $6,4 млрд.

Как проходила атака

По данным TRM Labs, операционный кошелек злоумышленников пополнялся через Tornado Cash. Подготовка атаки началась задолго до хищения и имела сходство с предыдущими атаками, связанными с Северной Кореей, включая взлом Bybit и апрельский инцидент с KelpDAO.

В Ethereum злоумышленник использовал делегирование EIP-7702, появившееся в обновлении Pectra. Эта функция позволила превратить горячий кошелек Binance в инструмент для вывода средств. Заранее были подготовлены 50 подписанных разрешений. На остальных девяти сетях средства отправлялись обычными подписанными переводами.

TRM Labs считает, что эти обстоятельства указывают на компрометацию инфраструктуры Binance, отвечающей за подпись операций с горячих кошельков. Binance сообщила, что расследование началось после компрометации ноутбука инженера, но позднее были обнаружены дополнительные точки проникновения.

Что происходит со средствами

Chainalysis зафиксировала тысячи транзакций за короткий период. По оценке компании, это может указывать на автоматизированное многократное перемещение средств между адресами.

По данным TRM Labs, злоумышленник продавал USDT маркетмейкерам и занимал ETH под залог USDT в протоколе Aave, пытаясь опередить заморозку активов эмитентами. Сейчас у него находится более 420 000 ETH и 18 270 BTC — примерно $2,4 млрд, недоступных для эмитентов.

Arbitrum Security Council заморозил 8 426 ETH и 74,6 млн ARB. Binance начала возвращать пострадавшие активы пользователям и продолжает отслеживать, замораживать и возвращать дополнительные средства.

Контекст

В феврале 2025 года та же группировка, согласно оценке ФБР, стояла за взломом Bybit на $1,5 млрд. TRM Labs отметила, что атака на Binance была примерно в четыре раза масштабнее.

Сильным свидетельством для Chainalysis стало обнаружение смешивания средств, украденных у Binance, с активами после прошлой месячной атаки на Bitget, которую связывали с северокорейскими операторами. Северная Корея ранее отрицала обвинения во взломах.