С крупнейшей в мире криптобиржи Binance вывели до 5,5 млрд долларов. Под подозрением — Северная Корея

В ночь с 29 на 30 октября неизвестные взломали крупнейшую в мире криптобиржу Binance и перевели с горячих (участвующих в торгах) кошельков пользователей, по разным оценкам, от 1,7 до 5,5 млрд долларов в криптовалютах. О взломе первым сообщил бывший глава Binance Чанпэн Чжао, который по-прежнему остается ее крупнейшим акционером.

Чжао поблагодарил компании-владельцев стейблкоинов Tether и Circle за то, что уже заморозили около эквивалента $1,8 миллиарда, который может быть связан с атакой. Глава Circle Джереми Аллейр, в частности, сообщал, что компания «внимательно отслеживает сообщения о потенциальной уязвимости, затронувшей Binance», и уже заморозила активы на сумму более $800 млн, связанные с инцидентом.

Подозрительные переводы аналитики заметили вечером в четверг, 29 октября. Первая крупная операция зафиксирована в 20:24 UTC (23:24 по Москве): с кошелька Binance 14 на недавно созданный адрес ушли 167 464 ETH и около 1,6 миллиарда USDT, а также десятки других токенов. Через две минуты из кошелька Binance 16 перевели ещё 28 005 ETH, а в 20:41 UTC — 780 миллионов USDC из горячего кошелька №34. Первоначально исследователи оценивали отток в 2,5–3,3 миллиарда, но по мере анализа картина расширялась: подозрительные транзакции обнаружились сразу в пяти блокчейнах — Ethereum, Bitcoin, TRON, Arbitrum и Avalanche. 

Конор Гроган, директор Coinbase, оценил возможные потери вплоть до 5,8 млрд долларов. Платформа блокчейн-аналитики Arkham Intelligence создала тег «binance-hacker-1029»: по ее данным, на 55 адресах, связанных с атакующим, накопилось примерно 5,84 миллиарда в цифровых активах. Это «сообщенные остатки», а не подтвержденная сумма кражи — часть движений может приходиться на внутренние операции биржи, а повторные переводы способны завышать итог. Согласно предварительной разбивке, среди выведенного — около 1,45 миллиарда в BTC, 875 миллионов в ETH, 234 миллиона в TRX, 50 миллионов в XAUT, 1,57 миллиарда в USDT, 823 миллиона в USDC, десятки миллионов в WBETH, RLUSD и других токенах. 

В Binance заявили, что всего криптобиржа заморозила цифровые активы на сумму более 2,5 млрд долларов, чтобы предотвратить их хищение. Сейчас Binance продолжает вместе с правоохранительными органами искать и замораживать украденные активы. Заморозка при этом не означает их возврат к владельцу — средства лишь больше не могут двигаться по биржам и кошелькам. 

Общий предполагаемый ущерб Binance оценили примерно в 6,3 млрд долларов, пообещав покрыть потери пользователей, в том числе за счет собственных средств, и заявила, что не обнаружила утечки закрытых ключей. В компании также заявили, что покроют все убытки. 

Binance — крупнейшая в мире криптовалютная биржа по объему ежедневных торгов. По актуальным данным мониторинговых платформ, суточный объем торгов на ней составляет около 8,36 млрд долларов. 

Официально пока неизвестно, что стоит за взломом. Исследователи компаний TRM Labs и Pangolin Intelligence приписывают атаку северокорейской группе TraderTraitor, которую связывают с более крупной группировкой Lazarus, пишет The Wall Street Journal. 

Издание Disruption Banking сравнило методы атаки на Binance с предыдущими крупными атаками на биржи и тоже предположило, что в этом могла участвовать КНДР. Но доказательств пока нет. 

До этого крупнейшим взломом криптобиржи группировкой Lazarus была атака на ByBit в марте 2023 года. Тогда хакеры вывели с биржи 1,5 млрд долларов. Компания заявила, что средства клиентов в безопасности и восполнены за счет инвестиционных займов.

У Lazarus и Binance давняя история: расследование Reuters показало, что биржа с 2017 по 2021 год обрабатывала не менее 2,35 млрд долларов криминальных средств, в том числе украденных северокорейской группировкой. В 2024 году ФБР установило, что Lazarus через мошенническую сделку выкрала 34 миллиона из криптостартапа, поддержанного Binance. 

Илон Маск отреагировал на новость короткой фразой из лексикона кибербезопасности: «Каждый день — это нулевой день», намекая на использование уязвимости, о которой разработчики не знали до атаки.