Следователи выясняют, как хакерам удалось похитить 6,3 млрд долларов (5,6 млрд евро) с криптовалютной биржи Binance, в инциденте, который описывают как «крупнейший взлом в истории», при этом признаки указывают на причастность северокорейской хакерской группировки.

Суммы, о которых идёт речь, многократно превышают масштабы предыдущих криптовзломов, таких как Bybit (1,5 млрд долларов, 1,39 млрд евро), Poly Network (610 млн долларов, 545 млн евро) и Ronin Network (540 млн долларов, 482 млн евро). Случай с Binance стал последним эпизодом в серии инцидентов кибербезопасности в октябре, и эксперты по кибербезопасности во многом связывают их с расширением использования ИИ для поиска уязвимостей.

Binance – крупнейшая в мире криптовалютная биржа, которая, по данным компании, контролирует около 35% общей доли рынка криптовалют. Она играет роль важного столпа криптоэкосистемы, позволяя людям покупать и продавать криптовалюты.

Как и традиционные валютные биржи, платформа хранит монеты клиентов в кошельках, которые она контролирует, и обрабатывает вывод средств из нескольких кошельков, остающихся в сети круглосуточно.

Атака произошла менее чем за четыре часа: хакеры получили доступ к ряду кошельков через скомпрометированный ноутбук и отправили средства из кошельков Binance на свои. К счастью, Binance и её партнёры смогли заморозить 2,7 млрд долларов (2,4 млрд евро) похищенных средств, но оставшиеся средства остаются нетронутыми в кошельках злоумышленников.

Вот хронология произошедшего:

Четверг

22:29 CET Binance заявляет, что активно расследует сообщения о возможной проблеме безопасности и заверяет клиентов, что их средства «полностью в безопасности», но предупреждает о «мошенничествах».

23:15 CET Компания сообщает, что проводит проверки безопасности и что вывод средств возобновится, как только проблема будет устранена.

Пятница

00:06 CET Компания приостанавливает торги Binance Alpha, заявляя, что торговля возобновится после решения проблемы безопасности. Она вновь заверяет клиентов, что их средства остаются в безопасности.

00:22 CET Binance впервые сообщает, что активы затронуты. Компания заявляет, что осведомлена о сообщениях о замороженных средствах и уточняет, что на данный момент заморожено 2,54 млрд долларов (2,26 млрд евро). Она добавляет, что эта сумма может вырасти, поскольку компания тесно сотрудничает с правоохранительными органами и соответствующими ведомствами для отслеживания и блокировки активов.

01:13 CET Binance публикует заявление, в котором говорит, что «покроет все потери» и что в качестве меры предосторожности все депозиты и вывод средств временно приостановлены.

01:52 CET Компания обновляет данные о замороженных активах, сумма выросла до 3 млрд долларов (2,68 млрд евро).

03:25 CET Binance сообщает, что общий ущерб составляет около 6,3 млрд долларов (5,6 млрд евро), а расследование указывает на то, что скомпрометированный ноутбук инженера DevOps мог стать точкой входа для атаки, которая дала доступ к сервисному контейнеру и позволила отправлять несанкционированные транзакции на вывод средств.

Компания добавляет, что нет доказательств утечки каких-либо приватных ключей кошельков. В качестве меры предосторожности она отозвала авторизацию затронутого адреса и привлекла правоохранительные органы и партнёров по блокчейну для отслеживания и возврата средств, а также для заморозки счетов.

05:36 CET В очередном обновлении компания отмечает, что инцидент стал результатом нескольких факторов, а не только скомпрометированного ноутбука.

09:47 CET Binance подтверждает прежнее заявление о том, что скомпрометированный ноутбук мог быть точкой входа, но сообщает, что следователи выявили другие нарушения в рамках «сложной атаки». Компания заявляет, что идёт по графику и планирует возобновить услуги по выводу средств через 45 часов.

11:55 CET Компания сообщает, что начала возвращать затронутые активы пользователям и покроет потери за счёт средств компании, при этом на покрытие инцидента зарезервировано 6,34 млрд долларов (5,66 млрд евро).

«Мы переживём этот шторм», заявляет компания на платформе X.

Как им это удалось?

Binance заявила, что инцидент был «сложной атакой», возникшей из-за совокупности факторов.

Предварительное расследование компании показывает, что инцидент безопасности может быть связан со скомпрометированным ноутбуком инженера DevOps, который позволил злоумышленнику получить доступ к сервисному контейнеру и отправлять несанкционированные транзакции на вывод средств.

Компания по инфраструктуре блокчейн-данных Bitquery сообщает, что собственная система вывода Binance подписала транзакции на вывод 6,3 млрд долларов (5,6 млрд евро) из 17 её горячих кошельков менее чем за четыре часа, с четверга с 21:04 до 00:56 CET в пятницу утром.

По данным Bitquery, это побудило эмитентов стейблкоинов Tether, Circle и Arbitrum, а также четырёх меньших эмитентов, заморозить 2,7 млрд долларов, чтобы предотвратить хищение средств, тогда как Bitcoin подтвердил, что в общей сложности было заморожено 3 млрд долларов.

Злоумышленник успел обменять ещё 729 млн долларов стейблкоинов до начала заморозок. В итоге, по данным Bitquery, у атакующего всё ещё оставалось около 3,1 млрд долларов, преимущественно в Ether и Bitcoin.

Bitquery также сообщает, что средства были отправлены на новые адреса в девяти блокчейнах, при этом сильнее всего пострадали Ethereum, Bitcoin и TRON.

Компания продолжает расследование инцидента совместно с правоохранительными органами и партнёрами по блокчейн-аналитике, чтобы отследить и вернуть средства.

Binance временно приостановила депозиты и вывод средств до завершения проверок безопасности, отозвала авторизацию затронутого адреса и привлекла правоохранительные органы и партнёров по блокчейн-аналитике для отслеживания и возврата средств.

Компания заявила, что опубликует подробный технический отчёт о происшествии после завершения расследования и проверки фактов.

Она также планирует опубликовать обновлённое доказательство резервов после завершения устранения последствий инцидента.

Кто стоит за атакой?

Фирма TRM Labs, занимающаяся блокчейн-разведкой и кибербезопасностью, утверждает, что за атакой стоит TraderTraitor, северокорейская хакерская группировка.

«Опираясь на надёжную информацию на блокчейне и за его пределами, мы делаем этот вывод с высокой степенью уверенности», говорится в заявлении компании.

Также отмечается, что ФБР назвало ту же группировку ответственной за взлом Bybit на 1,5 млрд долларов (1,34 млрд евро) в феврале 2025 года.