Korea Północna będzie dalej kradła kryptowaluty, mówi TRM Labs po haku Binance wartym 6,3 miliarda dolarów
Najważniejsze informacje
- •TRM Labs przypisała włamanie do Binance o wartości 6,3 miliarda dolarów północnokoreańskiej grupie TraitorTrader, powołując się na niedyskutowalne dowody onchain i offchain; ta sama grupa przeprowadziła hak Bybit wart 1,5 miliarda dolarów w lutym 2025 roku.
- •Raport pokontrolny Binance z 3 listopada ujawnił, że napastnicy podszywali się pod rekruterów, aby zainstalować malware na komputerze służbowym inżyniera, i wykorzystali skompromitowane wewnętrzne narzędzie AI, aby uzyskać dostęp do usługi podpisywania portfeli.
- •Emitenci stablecoinów łącznie zamrozili około 2,67 miliarda dolarów w skradzionych tokenach, przy czym Tether zamroził 971,1 miliona USDT zaledwie 37 minut po głównym przelewie, co umożliwiło odzyskanie około 40% środków.
- •Szybka koordynacja opierała się na Beacon Network uruchomionym przez TRM w 2025 roku — w czasie, gdy Bloomberg poinformował 4 listopada, że T3 Financial Crime Unit, utworzona przez TRM, Tron i Tether we wrześniu 2024 roku, rozwiązała się pod koniec sierpnia z powodu wolnych reakcji i słabej koordynacji.
- •Redbord ostrzegł, że odstraszanie jest mało prawdopodobne, ponieważ kradzież z 29 października równała się około jednej trzeciej PKB Korei Północnej i połowie z 12,5 miliarda dolarów skradzionych przez hakerów wspieranych przez państwo od 2017 roku, i wezwał do ofensywnych operacji cybernetycznych wymierzonych w reżim i jego sieci prania pieniędzy.
Hak Binance wart 6,3 miliarda dolarów wstrząsnął branżą kryptowalut, pokazując, jak daleko mogą — i chcą — się posunąć hakerzy wspierani przez państwo po serii coraz poważniejszych incydentów w dziedzinie cyberbezpieczeństwa. Tym razem celem stała się największa giełda kryptowalut na świecie.
TRM Labs, firma zajmująca się analizą blockchaina, była na pierwszej linii wysiłków na rzecz powstrzymania kradzieży i po ataku opublikowała raport. Firma jako jedna z pierwszych przypisała włamanie północnokoreańskiej grupie hakerskiej TraitorTrader, powołując się na "niedyskutowalne" dowody onchain i offchain. Ta sama grupa stała za hakiem Bybit wartym 1,5 miliarda dolarów w lutym 2025 roku.
W raporcie pokontrolnym opublikowanym 3 listopada Binance poinformował, że napastnicy podszywali się pod rekruterów, aby zainstalować malware na komputerze służbowym inżyniera, a następnie wykorzystali skompromitowane wewnętrzne narzędzie AI, aby dotrzeć do usługi podpisywania portfeli giełdy.
Ari Redbord, globalny szef polityki i spraw rządowych w TRM Labs, powiedział Cointelegraphowi, że choć skoordynowana odpowiedź branży na atak była bezprecedensowa, "będziemy widzieć tego znacznie więcej".
Bezprecedensowa odpowiedź branży
Szybkość i skala reakcji branży na hak należały do czynników, które zwróciły uwagę Redborda. Tether zamroził 971,1 miliona tokenów USDt (USDT) zaledwie 37 minut po głównym przelewie środków, a łącznie emitenci stablecoinów zamrozili tokeny o wartości około 2,67 miliarda dolarów — według TRM.
"Nigdy wcześniej nic takiego nie miało miejsca" — powiedział Redbord. "Zdołali odzyskać 40% środków od razu na starcie"
Wyścig o przechwycenie skradzionych środków, zanim hakerzy przeniosą je offchain, to kluczowy element obrony przed takimi atakami. Redbord wyjaśnił, że Beacon Network — system wymiany informacji wywiadowczych uruchomiony przez TRM w 2025 roku — pozwolił firmom szybko się skoordynować i unieruchomić środki, zanim przystąpiono do ich przejęcia.
"Zwykle widzę kilka alertów Beacon może codziennie. W ostatnich dniach widziałem, nie wiem, setki, a może nawet tysiąc alertów Beacon" — powiedział.
Próba większej koordynacji przypada na czas, gdy Bloomberg poinformował 4 listopada, że T3 Financial Crime Unit — jednostka utworzona przez TRM we współpracy z Tron i Tether we wrześniu 2024 roku — rozwiązała się pod koniec sierpnia; źródła wskazywały na wolne reakcje i słabą koordynację. Tether zapowiedział, że będzie dalej współpracować z TRM poprzez Beacon. Ten raport przypomina, jak bardzo playbook szybkich reakcji branży zależy od współpracy między firmami — i jak kruche mogą być takie porozumienia.
Chociaż Redbord wzywał do większej koordynacji, ostrzegał, że takie działania mogą niewiele zdziałać w odstraszaniu przyszłych ataków. Zauważył, że kradzież z 29 października odpowiadała mniej więcej jednej trzeciej PKB Korei Północnej i stanowiła połowę z 12,5 miliarda dolarów skradzionych przez hakerów wspieranych przez państwo od 2017 roku. Nawet jeśli napastnicy odzyskają tylko miliard dolarów, potencjalna korzyść pozostaje ogromna — argumentował.
"Korea Północna będzie to robić dalej, dopóki będzie to skuteczne" — powiedział.
Od obrony do ataku
Redbord twierdził, że powstrzymanie takich ataków wymaga działań ofensywnych ze strony rządów w odpowiedzi na wykorzystywanie przez Koreę Północną hakerów działających jako ramię państwa. Raport TRM o luce zdolności wykazał, że przepaść między napastnikami a obrońcami cyberbezpieczeństwa wciąż rośnie, napędzana wczesnym przyjmowaniem przez hakerów technologii granicznych, takich jak AI. Według niego zespoły ścigania i compliance potrzebują AI, aby znajdować i łatać luki równie szybko, jak hakerzy są w stanie je wykorzystać. Włamanie do Binance stało się studium przypadku: fałszywa wiadomość od rekrutera zainstalowała malware, skompromitowane wewnętrzne narzędzie AI otworzyło drogę do środka, a usługa podisywania portfeli stała się celem.
"Za każdym razem, gdy Korea Północna hakuje, powinniśmy hakować jej z powrotem" — mówił dalej, wzywając do ofensywnych operacji cybernetycznych oraz działań przeciwko sieciom prania pieniędzy i bankom, których hakerzy używają do wypłacania środków. "To jest wojna cybernetyczna" — powiedział.
