Як сталася атака на Binance на 6,3 млрд доларів: гарячий гаманець і хакери з КНДР

Як відбувся злам

Спершу Binance повідомила, що скомпрометовано ноутбук одного з інженерів, і через це відбулися несанкціоновані виведення коштів. Пізніше компанія визнала, що зламування охопило більше точок.

Наше подальше розслідування виявило додаткові точки проникнення

Річард Тенг, співкерівник Binance (переклад)

TRM Labs припускає, що зловмисники отримали доступ до системи підпису гарячого гаманця Binance. Гарячий гаманець підключений до інтернету. За звинуваченнями, хакери скористалися спеціальним дозволом і перетворили його на інструмент, який автоматично переказував кошти зловмиснику.

Речник Binance повідомив у п'ятницю, що близько 80 % викрадених активів вдалося зберегти. Решта залишається невідомою.

Хто стоїть за атакою

TRM Labs і Chainalysis з високим ступенем впевненості пов'язують злам із Lazarus Group, яку також називають TraderTraitor. Це північнокорейський хакерський підрозділ.

Chainalysis зазначає, що зловмисники використали схеми відмивання, які компанія раніше не фіксувала. Binance не відповіла напряму на запити BBC щодо можливих зв'язків атаки з КНДР.

Попередні злами, пов'язані з КНДР

Атака на Binance – не перший випадок, який аналітики пов'язують з Північною Кореєю. Ось найвідоміші з них:

• 2014 рік – Sony Pictures, після якого оприлюднили тисячі незручних листів керівників студії. Злам не був фінансовим, а мав зв'язок із фільмом The Interview про змову з метою вбивства Кім Чен Ина.
• 2022 рік – викрадення криптовалюти на суму 620 млн доларів, у якому також підозрюють північнокорейських хакерів.
• Минулого року – ФБР назвало КНДР відповідальною за викрадення 1,5 млрд доларів на біржі Bybit. Агентство повідомило, що TraderTraitor швидко відмивав активи, конвертуючи їх у біткойн та інші цифрові активи, щоб згодом перетворити на тверду валюту.

Експерти звинувачують уряд Кім Чен Ина у фінансуванні через кіберзлочинність. Пхеньян це заперечує. За даними аналітичних звітів, країна систематично розвиває кіберопераційні підрозділи, рекрутуючи найперспективніших студентів.

Що це означає для ринку

Якщо атаку справді здійснили північнокорейські хакери, це свідчить про зростання їхніх можливостей. Масштаб викрадення робить його одним із найбільших у галузі. Для криптобірж це означає, що гарячі гаманці, підключені до інтернету, залишаються вразливою ланкою, навіть коли біржа має великі резерви.

Експерти також вказують на роль штучного інтелекту, який дає зловмисникам нові способи автоматизації атак. У цьому випадку BBC вважає правдоподібним його використання для проникнення в системи Binance, але підтвердження в джерелі немає.

Часті питання