В пятницу, 30 октября, Binance сообщила о несанкционированных операциях с горячими кошельками сразу в нескольких блокчейнах. По предварительной оценке биржи, общий объём затронутых активов составил около $6,3 млрд. Об этом сообщает «Хайтек».
Что случилось?
Взлом стал возможен из-за компрометации ноутбука одного из DevOps-инженеров, у которого были широкие полномочия во внутренней инфраструктуре Binance. По оценке аналитиков TRM Labs, перед атакой велась многомесячная целевая фишинговая кампания в социальных сетях. Её целью был именно этот специалист криптобиржи.
Расширенные права атакованного сотрудника, по предварительным данным, и позволили злоумышленникам добиться одобрения крупных транзакций. Компрометация ноутбука дала доступ к сервисному контейнеру. Это может говорить о проблемах во внутренних механизмах управления доступами, хотя сами криптовалютные кошельки оставались защищёнными.
Есть и свидетельства тщательной подготовки операции. По данным TRM Labs, злоумышленники заранее создали специальные смарт-контракты для вывода средств. Они воспользовались механизмом делегирования, чтобы заставить горячий кошелёк Binance переводить активы на подконтрольные адреса. После кражи средства распределили между сотнями кошельков, которые тоже были подготовлены заранее.
Всё это указывает на хорошо спланированную операцию, сообщают эксперты группы компании «Солар». Для неё нужна была команда специалистов с глубокими знаниями блокчейна и принципов работы криптовалютных бирж.
Кого подозревают?
Binance пока не опубликовала полноценный отчёт по итогам расследования. Поэтому однозначно оценить уровень сложности атаки и установить виновных нельзя. Однако аналитики TRM Labs считают, что за атакой стоит северокорейская группировка TraderTraitor, связанная с Lazarus.
Их оценка основана на сходстве этого инцидента с другими атаками, причастность Lazarus к которым ранее получила широкое признание в отрасли. В первую очередь речь о взломе Bybit зимой 2025 года и атаке на KelpDAO весной 2026 года. Оба инцидента связывают с деятельностью северокорейской группировки. У этих атак есть общие черты: заблаговременная подготовка инфраструктуры, использование механизма делегирования и ряд других технических признаков. Совокупность совпадений позволяет рассматривать версию о причастности одного из подразделений Lazarus как одну из основных. Но окончательные выводы можно будет сделать только после завершения расследования и публикации дополнительных технических данных.
Северокорейские хакерские группировки известны продвинутыми схемами социальной инженерии и высоким техническим уровнем. Например, ранее Lazarus создала полноценную копию игры DeFiTankLand исключительно для того, чтобы похищать криптовалюту у пользователей. К характерным методам группировки относятся и внедрение участников в компании под видом сотрудников для шпионажа и хищения криптовалют, и схема Contagious Interview. В последнем случае злоумышленники проводят фиктивное собеседование и под видом рабочего задания или тестового проекта заражают устройство кандидата вредоносным ПО.
Можно ли вернуть украденную криптовалюту?
Вернуть всю сумму обычно крайне сложно, отмечают эксперты ГК «Солар». Так, после взлома Ronin Network было возвращено около $30 млн из примерно $625 млн, то есть около 5% похищенного. Но есть и обратные примеры: в случае с Munchables удалось вернуть около $62 млн из примерно $62,5 млн, то есть почти всё.
В случае с централизованными стейблкоинами USDT, эмитентом которых выступает Tether, и USDC, выпускаемыми Circle, существует возможность заморозки средств со стороны эмитента. Это отличает их, например, от Bitcoin. В смарт-контракте USDT предусмотрены методы добавления адресов в чёрный список и уничтожения украденных средств. Фактически Tether может изъять такие токены из обращения.
С Bitcoin и Ethereum ситуация сложнее. У этих криптовалют нет единого владельца или централизованного механизма блокировки, поэтому технически заморозить монеты непосредственно в сети невозможно. Однако похищенные средства можно пометить, отслеживать их перемещение и попытаться заблокировать в тот момент, когда злоумышленники будут выводить их через криптобиржу, обменный сервис или банк.
Существуют примеры возврата криптовалюты после краж, совершённых предположительно северокорейскими группировками.
Что делать пользователям Binance?
По заявлению биржи, инцидент не связан с компрометацией клиентских аккаунтов, поэтому паниковать не стоит. Главный риск для клиента сейчас — не сама атака, а мошенники, которые пользуются паузой в выводе средств и общим ажиотажем.
Особую опасность представляют «юристы», «аналитики блокчейна» и «службы возврата криптовалюты», а также предложения «ускоренно разблокировать вывод» или «оформить компенсацию». Такие «помощники» просят предоплату, доступ к аккаунту, seed-фразу или код двухфакторной аутентификации. Законная поддержка биржи не попросит передать эти данные. После громких инцидентов количество подобных мошеннических предложений обычно резко растёт.
Следите только за официальными каналами криптобиржи и не переходите по ссылкам из сообщений, даже если они выглядят как уведомления биржи. Базовая гигиена не помешает: убедитесь, что включена двухфакторная аутентификация, проверьте активные сессии, адреса для вывода средств и историю операций, а при малейшем подозрении смените пароль.
Обложка: magnific