ФБР официально возложило на КНДР ответственность за кражу примерно 6,3 миллиарда долларов у криптобиржи Binance, однако президент США Дональд Трамп публично выразил сомнение в этой версии. Binance уже покрыла большую часть убытков за счёт собственных средств и начала восстанавливать вывод средств.
Согласно заявлению ФБР от 31 октября, американские следователи установили, что за атакой 29 октября стояла связанная с правительством КНДР хакерская группировка TraderTraitor . По данным ведомства, злоумышленники уже начали конвертировать похищенные активы преимущественно в Ethereum и планировали в дальнейшем отмывать средства через децентрализованные финансовые сервисы (DeFi) и мгновенные обменники, чтобы скрыть их происхождение . ФБР призвало участников крипторынка блокировать подозрительные транзакции, связанные с этими средствами.
Однако Трамп, отвечая на вопросы журналистов в Мар-а-Лаго, заявил, что расследование продолжается и причастность КНДР пока не подтверждена. «Меня это не беспокоит. Мы изучаем ситуацию. Мы не знаем, Северная ли это Корея», — сказал он, добавив при этом, что если версия подтвердится, Вашингтон может обсудить этот вопрос с Пхеньяном .
Технические детали атаки
Согласно анализу блокчейн-аналитической компании TRM Labs, подготовка к атаке началась как минимум за 36 часов до кражи. Злоумышленники пополняли кошельки через сервис микширования Tornado Cash и проводили тренировки на тестовых кошельках . Атака началась 29 октября около 20:05 по UTC. Основные активы были выведены из горячих кошельков Binance примерно за 20 минут и распределены по десяти блокчейн-сетям, включая Bitcoin, Ethereum, Tron и Solana .
Ключевым техническим элементом стала функция делегирования EIP-7702 в сети Ethereum. По данным Fireblocks, злоумышленники заранее подписали 50 авторизаций EIP-7702, из которых как минимум одна совпала с текущим значением nonce горячего кошелька «Binance 14», что позволило вредоносному контракту получить контроль над кошельком. В течение примерно трёх минут из кошелька было выведено 167 464 ETH и около 1,615 миллиарда USDT . Впоследствии было выведено ещё 780 миллионов USDC из связанных кошельков, а общая активность затронула сети Ethereum, Arbitrum и Avalanche .
Что касается первоначальной точки проникновения, предварительное расследование Binance указывает на взлом ноутбука DevOps-инженера, через который злоумышленник получил доступ к служебному контейнеру и инициировал несанкционированный вывод средств. Binance заявила, что не обнаружила утечки приватных ключей, но позднее признала наличие других точек проникновения .
Масштабы ущерба и компенсация
TRM Labs оценивает общую сумму похищенных активов примерно в 6,36 миллиарда долларов . Эмитенты стейблкоинов, включая Tether и Circle, смогли заморозить часть средств на сумму около 2,8–3 миллиардов долларов . Однако Bitcoin и Ethereum не имеют эмитента, способного заморозить активы, поэтому возврат этой части средств зависит от отслеживания средств и последующего юридического процесса.
Binance заявила, что выделила около 6,34 миллиарда долларов из собственных средств и Фонда безопасных активов для пользователей (SAFU) для полного покрытия убытков пользователей. На данный момент около 95% стоимости похищенных активов уже восполнено, оставшаяся часть приходится на менее ликвидные токены, которые требуют постепенной закупки на внебиржевом рынке. Вывод средств планируется возобновить поэтапно с 1 ноября, начиная с основных активов, таких как Bitcoin, Ethereum и Dogecoin .
Справочная информация
TRM Labs отмечает, что с 2017 года связанные с КНДР хакерские группировки похитили в общей сложности около 128 миллиардов долларов в ходе примерно 100 инцидентов. В феврале 2025 года группировка TraderTraitor уже была обвинена ФБР в краже approximately 1,5 миллиарда долларов у биржи Bybit, что до нынешнего инцидента считалось крупнейшей кражей криптовалют в истории . Северная Корея традиционно отрицает причастность к подобным атакам.
