Северная Корея взломала Binance на $6,3 млрд

TRM Labs приписывает рекордную кражу $6,3 млрд с Binance хакерской группе TraitorTrader из Северной Кореи, которую также связывают с взломом Bybit на $1,5 млрд в феврале 2025 года. Блокчейн-аналитическая компания указала на, по её словам, неопровержимые доказательства как ончейн, так и оффчейн, связывающие атаку с операторами, действующими по поручению государства.

В посмертном анализе от 3 ноября Binance сообщила, что злоумышленники использовали социальную инженерию для компрометации рабочего устройства инженера, выдавая себя за рекрутеров для установки вредоносного ПО. Затем нападавшие воспользовались скомпрометированным внутренним AI-инструментом для доступа к сервису подписания транзакций биржи.

Ари Редборд, глава отдела политики и взаимодействия с государственными органами TRM Labs, предупредил, что несмотря на беспрецедентную реакцию отрасли, подобные инциденты будут только учащаться.

Координированная заморозка заблокировала 40 процентов украденных средств

Реакция отрасли на инцидент с Binance стала поворотным моментом по скорости и координации. Tether заморозила 971,1 млн USDt всего через 37 минут после основного вывода средств, а суммарно различные эмитенты заблокировали $2,67 млрд стейблкоинов. Редборд подчеркнул, что ранее ни в одном случае не предпринимались столь быстрые меры — удалось заморозить 40 процентов украденной суммы до того, как хакеры смогли вывести её оффчейн.

Beacon Network от TRM, запущенная в 2025 году для обмена оперативной информацией между компаниями в реальном времени, сыграла ключевую роль в реагировании. По словам Редборда, количество оповещений через платформу выросло с нескольких в день до сотен, возможно, тысячи, в первые дни после атаки. Система позволила компаниям действовать скоординированно, блокируя средства ещё до начала процесса изъятия.

Инициатива по координации последовала после роспуска в конце августа подразделения T3 Financial Crime Unit — партнёрства, которое TRM основала с Tron и Tether в сентябре 2024 года. Bloomberg 4 ноября сообщила, что причиной роспуска стали медленная реакция и недостаточная координация. Tether подтвердила, что продолжит сотрудничество с TRM через Beacon Network.

Редборд предупредил, что даже успешные возвраты средств не остановят будущие атаки. Кража 29 октября составила примерно треть ВВП Северной Кореи и половину из $12,5 млрд, похищенных государственными хакерами с 2017 года. Даже если злоумышленники смогут вывести лишь $1 млрд из похищенного на Binance, потенциальная выгода всё равно достаточна, чтобы оправдать дальнейшие операции.

Призыв к государственным наступательным операциям

Редборд заявил, что одними защитными мерами невозможно противостоять хакерским кампаниям, поддерживаемым государством. Он призвал власти организовать наступательные кибероперации против инфраструктуры северокорейских хакеров, а также сетей отмывания и финансовых учреждений, которые используются для обналичивания украденных активов.

В отчёте TRM о дисбалансе возможностей отмечается, что разрыв между атакующими и защищающимися растёт из-за быстрого внедрения хакерами новых технологий, в частности AI. Редборд подчеркнул, что правоохранительным органам и специалистам по комплаенсу необходимы AI-инструменты для выявления и устранения уязвимостей с той же скоростью, с какой их эксплуатируют злоумышленники.

Он описал ситуацию как конфликт, требующий мер военного уровня. По его словам, государства должны отвечать кибератаками на каждый взлом со стороны Северной Кореи, характеризуя происходящее как кибервойну, а не просто преступную деятельность. Без наступательных действий, направленных на государственные структуры, стоящие за этими операциями, Северная Корея продолжит получать финансовую выгоду до тех пор, пока эта модель остаётся эффективной.