Ing. Calogero Bono
ФБР официально связала TraderTraitor, группу хакеров, связанную с Северной Кореей, с кражей более 6 миллиардов долларов в цифровых активах у Binance. По данным источника, это крупнейшая кража криптовалюты в истории, более чем в четыре раза превышающая взлом Bybit в феврале 2025 года. Binance тем временем начала постепенное возобновление выводов средств. Это важно и для тех, кто не пользуется криптой, ведь злоумышленники часто атакуют людей, а не технологии.
Несколько терминов, прежде чем перейти к фактам. TraderTraitor — так называют северокорейскую группу, активную с 2020 года, известную также как Jade Sleet или UNC4899. DeFi — децентрализованные финансовые сервисы, которые используют для перемешивания средств. Terraform provider — компонент, который разработчики используют для управления облачной инфраструктурой. Backdoor — скрытый доступ, дающий удалённый контроль над компьютером. Заморозка on-chain — блокировка средств эмитентами или сетями.
Что установило ФБР о краже у Binance?
По данным The Hacker News, ФБР вместе с U.S. Secret Service и IRS Criminal Investigation наблюдала, как группа конвертировала украденные средства в основном в Ethereum. По мнению агентства, дальше средства, вероятно, пойдут через DeFi-сервисы и сервисы мгновенного обмена, в подготовке к дальнейшим этапам отмывания.
ФБР также опубликовало список адресов кошельков, которые, по её данным, используют злоумышленники. Добыча превышает 1,46 миллиарда, похищенные у Bybit. Украдено в 11 блокчейнах, 82% — в Ethereum и Bitcoin.
Первые подробности мы уже рассказывали в статье Binance, похищено 6,3 миллиарда за 20 минут.
Сколько украдено и сколько заморожено?
Цифры зависят от источника. ФБР, по данным The Hacker News, говорит о 6,43 миллиарда долларов. The Verge называет 6,3 миллиарда, а TechRadar — 6,36 миллиарда, похищенных примерно за 20 минут.
Из 6,43 миллиарда 2,85 миллиарда заморожены on-chain компаниями Tether, Circle, Ripple, Arbitrum и Optimism. Это наш подсчёт, но получается около 44% от общей суммы.
По оценке аналитической компании Elliptic, эпизод почти вдвое превышает всё, что северокорейский режим украл ранее. Кражи, связываемые с субъектами из Северной Кореи, по их данным, за последние годы превысили 6,5 миллиарда.
Вернут ли деньги пользователям Binance?
Binance заявляет, что полностью покроет финансовый ущерб. По данным The Verge, генеральный директор утверждает, что 90% средств уже возмещено. Оставшиеся 10% относятся к токенам «с меньшей ликвидностью», на которые может уйти больше времени.
Нигел Грин, генеральный директор deVere Group, отмечает, что аварийный фонд составляет около 1,2 миллиарда, а разрыв гораздо больше. Значит, остальное должно прийти из бюджета компании.
По выводам, Binance сообщила о возобновлении первого этапа между 6 и 9 UTC. Пополнения, уточняет компания, оставались открытыми и не пострадали.
Как работает TraderTraitor и при чём здесь разработчики?
Группа обманывает жертв заражёнными приложениями. По отчётам SentinelOne, Zscaler и Microsoft, на которые ссылается источник, она использует подменённые провайдеры Terraform как средство распространения. Загрузчик на Bash выбирает вредонос под операционную систему, вплоть до бэкдора ROOFDECK.
Приманкой служат фейковые вакансии. Microsoft описывает рекрутеров вымышленной компании блокчейн-аналитики на основе ИИ, которые связываются с инженерами-программистами и назначают собеседования. ИИ также используется для создания приманок и поддельных профилей.
О том, как злоумышленники попали в Binance, TechRadar сообщает, что скомпрометированный ноутбук сотрудника был первоначальной гипотезой, но картина, похоже, шире. Исследователь Пит Арнц из Malwarebytes говорит, что нужно понять, какие защиты не остановили несанкционированные транзакции.
Ту же логику атаки на начальном этапе мы видим в разборе на тему хакеров, которые используют ИИ для кражи аккаунтов.
Ограничения, которые стоит знать
Неясно, как злоумышленники получили доступ к системам вывода средств Binance, а версия со скомпрометированным ноутбуком — лишь первоначальная гипотеза. Цифры в разных источниках отличаются. Не подтверждено, что метод с провайдерами Terraform применялся именно против Binance, источник связывает его с группой в целом. Мы не знаем, сколько средств удастся вернуть и когда выводы полностью восстановятся.
Что меняется для тех, кто работает с цифровыми технологиями
Если ты разрабатываешь или администрируешь инфраструктуру, компоненты, которые ты устанавливаешь, нужно проверять как код, даже если они пришли из известного источника. Проверяй происхождение провайдеров Terraform и зависимостей. Относись с недоверием к рекрутерам, которые просят запустить код во время собеседования. Для компании с собственными серверами обновления и постоянный мониторинг важнее одной только защиты периметра, как напоминает Бен Бернстайн из Huntress, советующий исходить из того, что кто-то рано или поздно проникнет внутрь. И будь осторожен с сообщениями, которые используют историю с Binance для фишинга.
Наше мнение
Самое неприятное — гигант с сильной защитой был взломан примерно за 20 минут после нескольких дней подготовки. Заявление о компенсациях успокаивает клиентов, но не отвечает на главный вопрос – какие проверки не сработали. Пока Binance этого не объяснит, обещание прозрачности остаётся неполным. Для компаний урок касается не только крипты. Мишенью становятся люди и повседневные рабочие инструменты, и одной только технической безопасности недостаточно.
Частые вопросы
Кто такой TraderTraitor?
Это группа хакеров, связанная с Северной Кореей и активная с 2020 года. По данным источника, её также называют Jade Sleet и UNC4899, а ранее её связывали с атаками на DMM Bitcoin, Bybit, KelpDAO и Bitget.
Сколько украли у Binance?
Зависит от источника. ФБР, по данным The Hacker News, называет 6,43 миллиарда долларов, The Verge — 6,3 миллиарда, а TechRadar — 6,36 миллиарда.
Средства вернули?
Частично. Tether, Circle, Ripple, Arbitrum и Optimism заморозили 2,85 миллиарда. Кроме того, Binance заявляет, что вернула клиентам 90% средств.
Выводы на Binance возобновились?
Да, постепенно. Binance открыла первый этап выводов между 6 и 9 UTC, а пополнения никогда не закрывались.
Есть ли риски для тех, кто не пользуется криптой?
Прямой риск невелик, по словам Бена Бернстайна из Huntress. Но остаются возможны мошенничества, использующие этот случай как приманку, поэтому проверяй состояние аккаунта только через официальные приложения и сайты.
На что смотреть после атрибуции ФБР
Дело открыто на нескольких направлениях – от расследования до компенсаций. Вот сигналы, за которыми стоит следить в ближайшие недели.
- Следи, опубликует ли Binance технический отчёт о том, как злоумышленники добрались до систем вывода, и новое подтверждение резервов.
- Проверяй, замораживают ли или возвращают новые средства, используя адреса кошельков, опубликованные ФБР.
- Смотри, введут ли власти США, Европы и Азии обязательные стандарты безопасности для платформ, как предполагает Нигел Грин.
