Кражу $6,36 млрд с криптобиржи Binance приписали хакерам Северной Кореи. Такой вывод сделала аналитическая компания TRM Labs. Она «с высокой уверенностью» связала взлом с группой TraderTraitor.
TRM Labs отслеживает движение денег по блокчейну. TraderTraitor - имя, которым ФБР называет государственных хакеров КНДР. Их относят к Lazarus Group, самой известной северокорейской хакерской структуре.
Для трейдера это история про доверие к бирже. Деньги клиентов лежат на чужой инфраструктуре, и её взлом касается каждого. Binance обещает закрыть потери сама.
Насколько это много?
- $6,36 млрд - выведено по десяти блокчейнам, по подсчёту TRM.
- около $6,6 млрд - сумма 118 предыдущих взломов централизованных бирж с 2014 года.
- $1,5 млрд - кража у Bybit в феврале 2025, новый случай вчетверо больше.
Один случай почти сравнялся с двенадцатью годами. Тот же вывод сделали Chainalysis и независимый аналитик ZachXBT.
Как взломали биржу?
Binance объяснила схему в заявлении от 05:25 МСК 30 октября. Точкой входа стал компьютер сотрудника.
- Заражённый ноутбук. Доступ дал ноутбук DevOps-инженера, через него атакующий добрался до сервиса, который отправляет заявки на вывод.
- Ключи целы. Следов утечки приватных ключей не нашли.
- Тревожный фон. За три дня до этого, 27 октября, биржа отчитывалась, что отбила атаки КНДР через фейковые собеседования с «тестовым заданием» из вредоносного кода.
Готовились заранее. С 28 октября кошелёк атакующего пополняли мелкими выводами из Tornado Cash - минимум за 36 часов до кражи. Tornado Cash - миксер, обрывающий связь между адресами.
- 29 октября. Код развернули и обкатали на трёх кошельках.
- Одна транзакция. В Ethereum провели 50 авторизаций, подписанных горячим кошельком биржи.
Сколько удалось заморозить?
- около $2,7 млрд - общий объём заморозки.
- 1,77 млрд USDT - заблокировал Tether.
- 825 млн USDC - заблокировал Circle.
- ~$3 млрд - оценка самой Binance.
- $2,4 млрд - вне досягаемости эмитентов: свыше 420 000 ETH и 18 270 BTC.
Биткоины уже дробят на куски по 1000 и 100 BTC. Часть USDT на 325 млн продали за 122 300 ETH с дисконтом около 10% к рынку.
Что дальше?
Binance обещает покрыть потери из фонда SAFU и своих средств. Выводы биржа намерена возобновить в течение 48 часов и выпустить технический разбор.
- Атрибуции от госорганов пока нет. В случае Bybit ФБР назвало TraderTraitor через пять дней после кражи.
- Вопрос к себе. Объём позиции на бирже равен вашему же депозиту, а работу с чужим капиталом разбирает академия; условия компаний собраны в каталоге проп-компаний.
Главное: один взлом унёс почти столько же, сколько 118 предыдущих вместе. Пока госорганы молчат, выводы о риске хранения трейдер делает сам.
Пересчитывал ночью, где у тебя что лежит?
Первая мысль при таком заголовке - открыть приложение и проверить остатки. Дальше простая арифметика: объём твоей позиции равен твоему же депозиту. Каждый лишний доллар номинала - это лишний доллар своих денег на чужой инфраструктуре. В проп-трейдинге капитал для торговли даёт компания: платишь за отбор, работаешь по её лимитам и получаешь долю результата. Разобрать механику стоит до следующего заголовка такого калибра.