Вашингтон, 31 октября. ФБР заявило, что за кражей более 6 млрд долларов в виртуальных активах у криптобиржи Binance 29 октября стоит Северная Корея, а действия хакеров ведомство называет «TraderTraitor», говорится в оповещении ФБР.
Вместе с Секретной службой США и уголовно-следственным подразделением налоговой службы (IRS-CI) ФБР наблюдает, как участники группы переводят похищенное главным образом в эфир (Ethereum, ETH), и ожидает, что дальше активы будут отмывать через сервисы децентрализованных финансов (DeFi) и мгновенного обмена. Три ведомства призвали частные компании — операторов узлов THORNode и RPC, сервисы мгновенного обмена и DeFi, фирмы блокчейн-аналитики и других поставщиков услуг с виртуальными активами — блокировать операции с адресами, которыми пользуется «TraderTraitor», и операции, производные от них; список адресов приведён в оповещении. THORNode — узел сети THORChain, через которую обменивают криптовалюты между разными блокчейнами, а RPC-узлы — серверы, через которые приложения отправляют запросы в блокчейн. Тем, кто располагает сведениями о краже или её отмывании, ФБР предлагает обратиться в местное отделение или через Центр жалоб на интернет-преступления IC3, передаёт Newsweek.
Сама Binance оценила ущерб примерно в 6,3 млрд долларов и заявила, что убытки покроют фонд SAFU и средства компании, а не клиенты; Binance.US сообщила, что взлом её не затронул, рассказал ABC News. Сначала биржа связывала взлом со скомпрометированным ноутбуком инженера по эксплуатации (DevOps-инженера), позже нашла и другие точки проникновения, но не назвала, где именно. По словам одного из руководителей Binance Ричарда Тенга, злоумышленники применили механизм самоуничтожения, который стирает инструменты и следы, а через механизм EIP-7702 получили право проводить операции с одного из «горячих» кошельков в обход обычного согласования; пострадали «горячие» кошельки самой биржи, активы клиентов не затронуты, сообщил TokenPost. «Горячий» кошелёк подключён к интернету, чтобы быстро выдавать средства, а основная часть клиентских денег лежит в «холодных» — отключённых от сети. EIP-7702 — предложение по доработке Ethereum, которое позволяет обычному кошельку передать право на операции программе-контракту.
Накануне, 30 октября, биржа заявляла о восполнении 80% похищенного, а 31 октября Тенг сообщил, что восполнено 90%, и что десять крупнейших токенов, среди них BTC, ETH, USDT и BNB, покрыты полностью; остальное Binance докупает на рынке и у внебиржевых брокеров, пишет Blockonomi. Новый снимок резервов биржа зафиксировала на 00:00 UTC 31 октября; полное криптографическое доказательство, по её расчёту, готовится 40–50 часов и ожидается к 3 ноября, тогда как раньше Тенг называл срок «к 2 ноября». Возобновить вывод средств Binance по-прежнему собирается 1 ноября, поэтапно. Открыт ли вывод средств к утру 1 ноября, в найденных сообщениях не подтверждено.
В чём суть: У кражи появился официальный виновный в глазах США, а у бизнеса — просьба ведомств блокировать адреса, куда уходят деньги. Для клиентов Binance важнее другое: когда откроют вывод средств и когда будет готов полный отчёт о резервах.
Что известно сейчас: Виновного назвало ФБР: Северная Корея, группа «TraderTraitor». По оценке Binance, ущерб около 6,3 млрд долларов, 90% похищенного уже восполнено. О заморозке примерно 3 млрд долларов в блокчейне Binance сообщала ещё 30 октября; сколько из этого вернуть не удастся, не названо. Остаётся неизвестным, возобновлён ли вывод средств, что покажет технический разбор взлома, который биржа обещает опубликовать после проверки фактов, и когда выйдет полный отчёт о резервах.
Бэкграунд: «TraderTraitor» — то же название, под которым ФБР в феврале 2025 года обвинило Северную Корею в краже около 1,5 млрд долларов у биржи Bybit, писал NBC News. Нынешняя сумма — более 6 млрд долларов, то есть более чем в четыре раза больше.
Ранее мы также писали о том, что Binance выделила 6,34 млрд долларов на покрытие убытков, что Нацбанк назвал крипторезерв Казахстана не затронутым взломом и о следе КНДР и ноутбуке инженера.
