За масштабною хакерською атакою на криптовалютну біржу Binance, внаслідок якої з її гаманців вивели цифрові активи на мільярди доларів, може стояти північнокорейське угруповання TraderTraitor, пов'язане з Lazarus Group. Аналітики виявили характерні ознаки операцій, які раніше проводили хакери з КНДР. Про це йдеться в дослідженні американської компанії TRM Labs, опублікованому 29 жовтня.
Фахівці заявили про високий рівень упевненості у причетності TraderTraitor до атаки. Висновки ґрунтуються на аналізі транзакцій у блокчейні, додаткових розвідувальних даних і порівнянні дій зловмисників із попередніми операціями північнокорейських хакерів. Зокрема, дослідники виявили схожість зі зламом криптобіржі Bybit у лютому 2025 року, коли було викрадено приблизно $1,5 млрд.
Тоді Федеральне бюро розслідувань США пов'язало атаку з TraderTraitor. За даними TRM Labs, підготовка до зламу Binance розпочалася щонайменше за 36 годин до основної атаки. Зловмисники заздалегідь проводили тестові операції та готували інфраструктуру для швидкого виведення активів.
Увечері 29 жовтня з гаманців Binance у десяти блокчейн-мережах перемістили криптовалюти загальною вартістю приблизно $6,36 млрд. Основну частину транзакцій здійснили протягом близько 20 хвилин. Аналітики вважають, що атакувальники могли отримати можливість ініціювати підписання транзакцій від імені біржових гаманців одразу в кількох мережах.
На це вказує характер одночасного виведення активів із систем, які використовують різні механізми авторизації. Як повідомляє CoinDesk, версію про північнокорейський слід підтримали й інші дослідники криптовалютних транзакцій, зокрема ZachXBT та представники компанії Blockaid. Водночас співрозмовники видання наголошують, що остаточно встановити виконавців атаки поки не вдалося.
Попри схожість із попередніми операціями Lazarus, окремі особливості переміщення викрадених коштів відрізняються від звичайних методів цього угруповання. Сама Binance у повідомленні від 30 жовтня заявила, що попереднє внутрішнє розслідування вказує на можливе проникнення через скомпрометований ноутбук одного з DevOps-інженерів компанії. За версією біржі, це дозволило зловмисникам отримати доступ до службового контейнера та ініціювати несанкціоноване виведення криптовалют.
При цьому компанія не виявила доказів витоку приватних ключів гаманців. Binance поки офіційно не підтвердила причетність TraderTraitor або Lazarus Group. Компанія продовжує розслідування спільно з правоохоронними органами та фахівцями з блокчейн-аналітики.
Біржа повідомила, що разом із партнерами вже вдалося заблокувати приблизно $3 млрд активів, пов'язаних з інцидентом. Binance також пообіцяла компенсувати втрати користувачів за рахунок страхового фонду SAFU та власних коштів. Нагадаємо, раніше "Курс України" повідомляв про підозрілі перекази з гаманців Binance.
Згодом компанія підтвердила масштабний інцидент із безпекою та тимчасово обмежила операції з криптовалютами. За матеріалами: TRM Labs, CoinDesk, Binance
