Группировка TraderTraitor из Северной Кореи украла у Binance $6,3 миллиарда

Северная Корея, если верить сразу нескольким независимым командам аналитиков, причастна к одной из крупнейших краж в истории криптобирж. Компании TRM Labs и Chainalysis, а также известный ончейн-детектив ZachXBT связали взлом Binance на $6,3 млрд с северокорейской группировкой TraderTraitor. Вывод построен не на догадках, а на анализе движения средств и совпадении почерка атаки с прошлыми инцидентами.

Почему Северная Корея оказалась под подозрением

В TRM Labs заявили, что атрибутируют атаку TraderTraitor с "высокой степенью уверенности", опираясь как на ончейн-данные, так и на офчейн-разведку. Это не первое дело, где всплывает это название. Северная Корея давно связана с крупнейшими кражами в крипте, и методы её кибергруппировок давно изучены специалистами по безопасности.

ZachXBT пошёл дальше и показал техническую связь между двумя разными взломами. По его словам, средства, украденные у Binance и у биржи Bitget ранее, в итоге оказались на одном и том же адресе после прохождения через протокол THORChain.

Это указывает на то, что за обоими инцидентами, вероятно, стоит один и тот же актор

Он также напомнил, что взлом Bitget уже ранее приписывали TraderTraitor, так что совпадение адресов выглядит не случайностью, а закономерностью в поведении одной и той же команды.

Что говорят в Chainalysis

Сооснователь и гендиректор Chainalysis Джонатан Левин подтвердил выводы коллег и назвал даже чуть большую сумму украденного - $6,4 млрд против официальной оценки Binance в $6,3 млрд.

Мы считаем, что взлом Binance на $6,4 млрд, вероятно, совершила северокорейская группировка TraderTraitor из-за связей с предыдущим взломом

Такая оценка перекликается с более ранним комментарием главы Blockaid Идо Бен-Натана, который ещё до официальной атрибуции говорил изданию Cointelegraph, что уровень подготовки атаки и характер действий в сети напомнили ему именно северокорейский почерк. Подробнее о масштабах этой истории и первых оценках ущерба мы писали в материале о том, как Binance снова взломали на $6,3 миллиарда, и в разборе о том, как биржа лишилась почти $6 миллиардов.

Северная Корея и список её громких краж

Северная Корея фигурирует в материалах американских властей в связи с несколькими самыми резонансными кражами в истории крипторынка. TraderTraitor также связывают с взломом биржи Bybit в феврале 2025 года, который стал одним из крупнейших в истории отрасли. ФБР вместе с американскими и японскими следователями ранее приписали этой же группе кражу более $300 млн у японской биржи DMM Bitcoin в мае 2024 года.

Схема во всех этих случаях удивительно похожа. Северная Корея делает ставку не столько на технические дыры в коде, сколько на человеческий фактор и доверие сотрудников к, казалось бы, обычным рабочим процессам.

Как работает социальная инженерия TraderTraitor

По данным ФБР, группа TraderTraitor предпочитает атаковать не саму биржу Binance как систему, а конкретных сотрудников компаний, связанных с криптоинфраструктурой. В случае с DMM Bitcoin злоумышленник выдал себя за рекрутера и отправил вредоносное тестовое задание по программированию сотруднику компании-поставщика кошельков Ginco.

Полученный таким образом доступ, по мнению следователей, позже использовали для манипуляции легитимным запросом на транзакцию, после чего средства ушли на кошельки, контролируемые атакующими. Похожая логика заложена и в более поздних инцидентах - детальный разбор одной из таких историй есть в материале о том, как крупнейшая биржа мира потеряла $5,57 миллиарда за один вечер.

Что это значит для пользователей бирж

Для рядового держателя монет на бирже вроде Binance такие новости звучат пугающе, но практический вывод довольно простой. Северная Корея охотится в первую очередь не за паролями обычных пользователей, а за доступом сотрудников к внутренним системам компаний. Это значит, что личная бдительность владельцев кошельков важна, но главная линия обороны - корпоративная безопасность самих площадок.

Пользователи ищут Binance самыми разными способами - кто-то вбивает в поиске "binans com" по старой памяти, кто-то переходит через www binance или полный адрес https www binance com, кто-то пользуется приложением binance android или веб-версией binance web. Независимо от способа входа стоит помнить одно правило: торговать монетами (coin binance) и держать активы на бирже - разные вещи с разным уровнем риска. После серии взломов вроде описанного в материале про то, как Binance лишился $5,7 миллиарда за один вечер, эксперты всё чаще советуют не хранить крупные суммы на горячих кошельках биржи.

Стоит также учитывать, что сама биржа Binance - это огромная экосистема: тут и exchange Binance с привычным трейдингом, и binance dex как децентрализованная площадка, и binance websocket для разработчиков торговых ботов, и программы вроде binance gift, binance bonus или функция binance p2p для прямых сделок между пользователями. Чем шире инфраструктура, тем больше точек потенциальной атаки, и именно поэтому такие группы, как TraderTraitor, годами выбирают своей мишенью именно крупные площадки, а не мелкие сервисы.

Северная Корея как системная угроза для крипторынка

Северная Корея, судя по накопленной статистике подобных инцидентов, выработала почти промышленный подход к отмыванию украденной криптовалюты. Использование THORChain в качестве моста для смешивания средств из разных атак - лишь один из приёмов в арсенале, который постоянно эволюционирует вместе с ростом внимания аналитиков.

Остаётся открытым вопрос, насколько санкции и блокировки адресов реально сдерживают такие операции. Пока атрибуция атак остаётся делом частных компаний вроде TRM Labs и Chainalysis, а не оперативным инструментом немедленного реагирования, Северная Корея продолжит пользоваться доверием сотрудников и уязвимостями процессов внутри криптокомпаний. Для обычных держателей монет это очередной повод относиться к хранению активов на биржах, включая Binance, trustpilot-отзывам о сервисах и каналам поддержки в telegram Binance, с большей долей здорового скепсиса.

Автор

Barbados