Binance и Северная Корея: как следователи вышли на след похищенных $6,3 млрд
ФБР возложило вину за взлом Binance на $6,3 млрд на северокорейскую группу TraderTraitor. Как двигались деньги, что заморозили и три сценария развития.
SECURITY & HACKSEXCHANGESANALYSIS
Lukas Brenner
11/1/20261 мин чтение
Через три дня после крупнейшей кражи в истории криптовалют картина стала яснее. 31 октября ФБР публично возложило ответственность за хищение примерно $6,3 млрд у Binance на TraderTraitor — северокорейское государственное хакерское подразделение, которое ведомство также считает виновным в краже $1,5 млрд у Bybit в феврале 2025 года. Аналитические компании TRM Labs, Chainalysis и Elliptic пришли к тому же выводу уже через несколько часов после атаки, опираясь лишь на публичные данные блокчейна и собственные разведданные. Разбираемся, что показывает цепочка транзакций, почему следователи указывают на Пхеньян и как, вероятно, будет развиваться дело.
Десять блокчейнов, двадцать минут
Кража началась 29 октября в 20:05 UTC, когда пять кошельков Binance в XRP Ledger отправили 233,46 млн XRP на один адрес. В считаные минуты за ними последовали кошельки Binance в Solana и Optimism. В 20:20 UTC горячий биткоин-кошелек отправил 18 270 BTC, а кошелек в Tron — 612,7 млн USDT и 46,4 млн TRX. Самый сильный удар пришелся на Ethereum: там горячий кошелек лишился 167 464 ETH, 1,615 млрд USDT и десятков других токенов. Около 23:05 UTC вторая волна атаки накрыла кошельки Binance в Avalanche и Polygon.
Оценки общей суммы немного расходятся, поскольку каждая компания оценивает активы на разный момент времени. Binance оценивает ущерб примерно в $6,3 млрд, TRM Labs — в $6,36 млрд, Elliptic — в $6,43 млрд в 11 сетях. При любом подсчете это более чем вчетверо больше, чем у Bybit, а по данным Elliptic — более чем в шесть раз больше $1 млрд, вывезенного из Центрального банка Ирака в 2003 году: до сих пор это считалось крупнейшей кражей в истории.
Как злоумышленник проник в систему
Атака в Ethereum опиралась на EIP-7702 — функцию, добавленную в обновлении Pectra в мае 2025 года, которая позволяет обычному кошельку исполнять код смарт-контракта после подписания авторизации. По данным TRM Labs, злоумышленник отправил одну транзакцию с 50 заранее подписанными авторизациями для последовательных nonce, чтобы одна из них наверняка совпала с текущим счетчиком транзакций горячего кошелька, каким бы он ни оказался. Одна совпала, и кошелек превратился в «сборщик», подчинявшийся только атакующему. Поскольку этот горячий кошелек также служил исполнителем для отдельного смарт-аккаунта Binance, злоумышленник смог вывести еще 823 млн USDC.
В остальных девяти сетях никаких хитрых трюков с контрактами не было — только обычные транзакции с действительными подписями. Эта деталь важнее, чем EIP-7702. Кошельки в десяти сетях используют разные ключи и схемы подписи, однако все они выдали действительные подписи примерно за полчаса. По оценке TRM, злоумышленник получил возможность заставить систему подписи горячих кошельков Binance одобрять любые нужные ему транзакции. Предварительные выводы Binance указывали на скомпрометированный ноутбук DevOps-инженера, а позднее — на дополнительные точки взлома, которые биржа пока не описала.
Почерк Северной Кореи
Атрибуция в криптоиндустрии строится на закономерностях, и эта атака вписывается в хорошо задокументированный сценарий. Операционный кошелек злоумышленника был пополнен утром 28 октября тремя небольшими выводами из Tornado Cash. Код атаки развернули и протестировали на двух кошельках, отрепетировали на третьем и примерно через четыре часа установили на горячий кошелек Binance. Затем заранее собранные подписи были исполнены одним залпом. TRM Labs, оценивающая достоверность своей атрибуции как высокую, утверждает, что та же схема проявилась при краже у Bybit и при взломе KelpDAO в апреле 2026 года.
Решающую ончейн-связь установила Chainalysis: похищенные у Binance средства были смешаны с доходами от кражи у Bitget в сентябре 2026 года, которую уже связали с Северной Кореей. Elliptic обнаружила использование тех же сервисов, что и в трех прежних кражах TraderTraitor — у BigONE, WOO X и AFX. Затем ФБР подтвердило атрибуцию, опубликовало связанные с операцией адреса в Ethereum, Bitcoin и Solana и призвало отрасль блокировать связанные с ними транзакции.
Ставки выходят далеко за рамки одной биржи. По оценке Elliptic, связанные с Северной Кореей группировки за последние годы похитили более $6,5 млрд, в том числе свыше $1 млрд в 2026 году до этого инцидента. Если атрибуция подтвердится, одна ночь в Binance почти удвоит эту сумму. Наблюдатели ООН и западные правительства давно заявляют, что эти деньги помогают финансировать оружейные программы Пхеньяна.
Гонка за заморозкой
Эмитенты стейблкоинов действовали быстрее, чем при любом предыдущем взломе. Tether заморозила 971,1 млн USDT на главном кошельке-получателе в 21:01 UTC, примерно через 40 минут после основного вывода, а общий объем ее заморозок позднее достиг около 1,77 млрд USDT. Тремя минутами позже Circle в координации с правоохранительными органами заморозила около 823 млн USDC. Ripple заморозила 40,5 млн RLUSD, World Liberty Financial — 27,8 млн USD1, а Совет безопасности Arbitrum принудительно перевел 8426 ETH и 74,6 млн ARB с кошелька злоумышленника. Elliptic подтвердила заморозку или изъятие $2,85 млрд — около 44% похищенного.
Злоумышленник ответил сбросом стейблкоинов с большими потерями. По подсчетам Elliptic, около $786 млн удалось конвертировать в ETH и TRX до того, как заморозки вступили в силу. В том числе 434 млн USDT были обменяны на 160 451 ETH с дисконтом от 12% до 26% к рынку, а в Aave под залог похищенных USDT был взят заем в 19 762 ETH — прежде чем Aave заморозила затронутые рынки. В Tron основной кошелек совершил 546 переводов с медианным интервалом 96 секунд — признак автоматизированного отмывания.
Что пока вне досягаемости
Неудобная цифра — та часть, которую не может заморозить ни один эмитент. Elliptic оценивает ее примерно в $3,21 млрд, включая около 519 000 ETH, все 18 270 BTC, 233 млн XRP и около 475 млн TRX. Биткоины были раздроблены через peel chain («цепочку отщепления») на 19 адресов, на большинстве из которых лежит ровно по 1000 BTC; по последним данным, ни один из них не дошел до биржи или иного сервиса. У биткоина нет центрального эмитента и функции черного списка, поэтому эти монеты можно остановить лишь тогда, когда они попадут в компанию, проверяющую входящие депозиты.
Тем временем Binance сосредоточилась на полной компенсации клиентам. Биржа выделила более $6,34 млрд корпоративных средств и 31 октября сообщила, что восполнила 90% похищенных активов за счет покупок на рынке и на внебиржевом (OTC) рынке. По словам биржи, она по-прежнему планирует возобновить вывод средств 1 ноября и вскоре после этого опубликовать полный отчет о подтверждении резервов (proof of reserves). Любой возврат замороженных средств станет дополнением к этому резерву.
Три сценария развития событий
Первый сценарий — путь Bybit — наиболее вероятен. После кражи у Bybit северокорейские отмыватели за несколько недель провели большую часть похищенного эфира через кроссчейн-протоколы обмена, цепочки новых кошельков и, наконец, через внебиржевых брокеров, обменивающих криптовалюту на наличные, — часто в Азии. TRM, Chainalysis и Elliptic единодушно ожидают, что средства Binance в ближайшие недели пойдут через мосты, сервисы обмена и OTC-площадки. В этом сценарии замороженные $2,8 млрд так и останутся замороженными, но из оставшихся $3 млрд почти ничего вернуть не удастся.
Второй сценарий — долгое ожидание. Северокорейские группировки порой не трогали монеты месяцами и даже годами, пока внимание к ним не ослабевало. 19 биткоин-кошельков с круглыми балансами по 1000 BTC больше похожи на хранилище, чем на канал для отмывания. Если они останутся неактивными, дело превратится в долгое наблюдение, при котором каждой бирже и каждой OTC-площадке придется бессрочно сверять операции с опубликованными адресами.
Третий сценарий — частичный возврат. Сам масштаб кражи создает проблему для отмывателей. Провести более $3 млрд через OTC-брокеров, не задев ни одной регулируемой компании, крайне сложно, а у каждой биржи теперь есть списки адресов ФБР и Elliptic. Всякий раз, когда часть средств окажется на добросовестной площадке, ее можно будет заморозить. Возврат в этом сценарии, скорее всего, будет идти небольшими частями на протяжении многих месяцев, а не в виде одного крупного изъятия.
Каким бы ни был путь, регуляторные последствия уже вырисовываются. Стоит ожидать, что надзорные органы поставят вопрос, не сделать ли формальными требованиями лимиты для горячих кошельков, разделение систем подписи по сетям и мониторинг делегирований EIP-7702. Давление на OTC-площадки и кроссчейн-протоколы с требованием проверять потоки в реальном времени будет расти. Ноябрьский отчет Binance о резервах и обещанный технический разбор инцидента будут внимательно изучать как регуляторы, так и конкурирующие биржи.
Что могут сделать пострадавшие пользователи и компании
Клиенты Binance защищены резервом биржи, поэтому большинству розничных пользователей достаточно следить за возобновлением вывода средств и отчетом о резервах. Куда больший риск для обычных пользователей — волна мошенничества, которая следует за каждым крупным взломом: фальшивые сотрудники поддержки, сомнительные сервисы по «возврату» средств и фишинговые сайты, обещающие вернуть потерянное за плату. Binance не запрашивает пароли или сид-фразы, и ни один добросовестный следователь не может гарантировать возврат средств.
Компаниям и частным лицам, потерявшим деньги в результате кражи или мошенничества, а также тем, кто подозревает, что их средства прошли через адреса, связанные с подобным инцидентом, следует задокументировать хеш каждой транзакции, оперативно сообщить в полицию и на соответствующие платформы и обратиться к квалифицированным специалистам по блокчейн-криминалистике. Такие компании, как Crypto Alba Trust, которая называет себя международной компанией по расследованиям, основанной в 2017 году, и позиционирует себя как одного из ведущих специалистов в области криптовалютных расследований и отслеживания активов, предлагают восстановление путей транзакций в нескольких блокчейнах, отслеживание депозитов на биржах и сопровождение дел о возврате средств. Важна скорость: как показывает случай Binance, заморозка возможна лишь до тех пор, пока средства находятся в активах или на площадках, способных принять меры.
Кража у Binance показала обе стороны прозрачности криптовалют. Каждое движение похищенных денег видно всем — это позволило аналитикам установить авторов атаки в течение нескольких часов, а эмитентам — заморозить миллиарды за считаные минуты. Но видеть — не значит контролировать. Следующий этап зависит от того, успеют ли биржи, OTC-площадки и протоколы отреагировать на то, что они видят, прежде чем оставшиеся средства растворятся в наличной экономике.
Источник: FBI, TRM Labs, Chainalysis, Elliptic, Binance, CNBC, Cointelegraph, Seoul Economic Daily