Крупнейшая в мире криптовалютная биржа Binance подтвердила, что стала жертвой беспрецедентной хакерской атаки, в результате которой из ее кошельков были выведены цифровые активы на сумму около 6,36 миллиарда долларов США.
Аналитические компании TRM Labs и Chainalysis, отслеживающие транзакции в блокчейне, квалифицировали произошедшее как крупнейшую кражу в истории криптовалютной индустрии – примерно в четыре раза масштабнее взлома биржи Bybit в феврале 2025 года, когда было похищено $1,5 миллиарда. Инцидент произошел в ночь с 29 на 30 октября и затронул кошельки биржи сразу в десяти блокчейн-сетях, включая Ethereum, Bitcoin, Tron, Solana и XRP Ledger, причем основная часть средств была переведена примерно за 20 минут.
Расследование TRM Labs показало, что атаке предшествовала тщательная подготовка, начавшаяся как минимум за 36 часов до кражи. Операционный кошелек злоумышленника получил несколько небольших переводов через криптомиксер Tornado Cash, предназначенный для сокрытия происхождения средств, начиная с утра 28 октября. В течение следующих суток хакер развернул и протестировал код атаки на нескольких кошельках, а затем, после репетиции на третьем кошельке, установил финальную версию на «горячий» кошелек Binance – тот, который подключен к интернету и используется для обработки клиентских выводов.
Наиболее сложным элементом стала атака на Ethereum-кошелек Binance с использованием механизма EIP-7702, внедренного в сеть Ethereum в мае 2025 года. Эта функция позволяет обычному кошельку делегировать управление своим поведением смарт-контракту при помощи подписи-разрешения. Злоумышленник подготовил единую транзакцию, содержащую 50 предварительно подписанных разрешений, каждое из которых указывало на контракт-«свипер», принимающий команды только от оператора. Поскольку кошелек Binance постоянно обрабатывает выводы средств, счетчик его транзакций непрерывно растет, и хакер, подготовив подписи для 50 последовательных значений, гарантировал, что хотя бы одна из них окажется действительной в момент исполнения. Этого оказалось достаточно. Через три с половиной минуты после делегирования оператор дал команду кошельку перевести все его содержимое на адрес, контролируемый атакующим.
Параллельно с Ethereum-атакой средства выводились и из кошельков на других блокчейнах – через обычные подписанные транзакции. С XRP Ledger было выведено 233,46 миллиона XRP (около $296 миллионов), с Bitcoin – 18 270 BTC (примерно $1,47 миллиарда), причем злоумышленник сразу начал дробить эти средства на более мелкие части внутри одного блока, затрудняя отслеживание. Все эти кошельки использовали разные блокчейны, типы ключей и схемы подписей, однако все они выдали действительные подписи для атакующего в течение примерно получаса, что, по оценке TRM Labs, указывает на компрометацию инфраструктуры подписания горячих кошельков Binance.
TRM Labs и Chainalysis с высокой степенью уверенности возложили ответственность за атаку на хакерскую группировку из КНДР TraderTraitor, которую также отслеживают под именами Lazarus Group и APT38. Эта оценка основана на анализе данных как в блокчейне, так и за его пределами. Несколько характеристик нынешней атаки совпадают с предыдущими кражами, приписываемыми Пхеньяну, включая взлом Bybit в феврале 2025 года на $1,5 миллиарда, ответственность за который Федеральное бюро расследований США официально возложило на северокорейскую группировку. Среди общих черт – небольшие выводы через Tornado Cash для финансирования операционного кошелька, подготовка, начавшаяся задолго до самой кражи, и заранее полученные подписи, исполняемые одним пакетом.
Сам Binance первоначально не связывал инцидент с конкретной группировкой. Соучредительница биржи И Хэ сообщила, что, по предварительным данным, утечка могла начаться со взлома ноутбука инженера, занимающегося разработкой и поддержкой программного обеспечения. Это позволило злоумышленнику получить доступ к сервисному контейнеру и инициировать несанкционированные транзакции на вывод средств, хотя доказательств утечки секретных ключей кошельков в компании не обнаружили. Со-генеральный директор Binance Ричард Тенг подчеркнул, что атака не была простым использованием прав одного инженера или действием в один клик, а представляла собой более сложный процесс, и что расследование пока не возложило ответственность на какое-либо конкретное лицо.
Сразу после обнаружения подозрительных операций Binance временно приостановила все вводы и выводы средств, отозвала разрешения для затронутых адресов и подключила к расследованию правоохранительные органы и партнеров по блокчейн-аналитике. К заморозке активов присоединились эмитенты стейблкоинов: Tether заблокировала около $1,57-1,77 миллиарда USDT, Circle – более $800 миллионов USDC, а Ripple и World Liberty Financial также приняли участие в блокировке. Кроме того, Совет безопасности сети Arbitrum воспользовался чрезвычайными полномочиями и заморозил 8 426 ETH и 74,6 миллиона ARB. По оценке TRM Labs, совокупный объем замороженных средств составил около $2,7 миллиарда. Однако заморозка стейблкоинов не означает автоматического возврата средств. Эмитенты могут заблокировать переводы со своих адресов, но не могут конфисковать активы и вернуть их бирже – для этого требуются юридические и бухгалтерские процедуры.
Новость о взломе спровоцировала немедленную распродажу на криптовалютном рынке. Биткоин подешевел более чем на 3% и достиг шестинедельного минимума в $76 469, эфир упал более чем на 3% до $2 185, а токен BNB, изначально запущенный как Binance Coin, потерял более 8% за сутки. Настроения ударили и по акциям публичных криптокомпаний. Бумаги Coinbase Global, которая заявила, что не затронута инцидентом, упали на 4,8%, а акции биткоин-покупателя Strategy – почти на 6% на вечерних торгах в США.
Служба информации «А», фото из открытых интернет-источников
