Grupa Lazarus z Korei Północnej stała się głównym podejrzanym w dużym cyberatacie na Binance, który rozegrał się 29 października, podczas którego przejęto około 6,3 miliarda dolarów w aktywach cyfrowych — łup, który po potwierdzeniu byłby największą kradzieżą w historii kryptowalut.

Śledczy ds. blockchain zidentyfikowali podobieństwa między tą operacją a wcześniejszymi kampaniami przypisywanymi północnokoreańskim hakerom. Badacze bezpieczeństwa uważają, że wyrafinowany atak wiązał się z TraderTraitor, jednostką hakerską powiązaną z Lazarus, którą amerykańskie agencje wcześniej wskazywały w wspólnych ostrzeżeniach jako celującą w firmy kryptowalutowe. Eksperci ONZ wcześniej raportowali, że skradzione kryptowaluty stanowiły istotne źródło przychodów Korei Północnej. Władze nie oficjalnie potwierdziły tożsamości sprawców, a śledztwo trwa.

Śledczy ds. blockchain wskazują północnokoreańskich hakerów

Śledczy ds. blockchain ZachXBT zidentyfikował grupę Lazarus jako prawdopodobnego sprawcę włamania na Binance, jak poinformował CoinDesk. Niezależnie od tego firma analityki blockchain TRM Labs wyraziła wysoką pewność, że operację zorganizowała północnokoreańska jednostka TraderTraitor.

Według TRM Labs atakujący przenieśli około 6,36 miliarda dolarów z portfeli Binance poprzez 10 sieci blockchain, przy czym większość transakcji zakończono w ciągu około 20 minut — tempo sugerujące rozległe przygotowanie i skoordynowane wykonanie. Badacze zidentyfikowali paralele z wcześniejszymi północnokoreańskimi atakami na kryptowaluty, w tym podejrzaną aktywność portfeli i wcześniejsze przygotowanie transakcji, choć śledczy wciąż badają dowody przed wyciągnięciem ostatecznych wniosków.

Binance identyfikuje możliwe naruszenie bezpieczeństwa

Binance poinformował, że włamanie mogło być możliwe dzięki skompromitowanemu laptopowi należącemu do inżyniera DevOps. Podejrzewane wtargnięcie umożliwiło nieautoryzowany dostęp do kontenera serwisowego, który atakujący mieli wykorzystać do zainicjowania fałszywych transakcji wypłat — szczegół podkreślający, dlaczego wewnętrzne mechanizmy kontroli dostępu w giełdach scentralizowanych pozostają kluczową linią obrony obok zabezpieczeń on-chain.

Giełda podkreśliła, że nie znaleziono dowodów na wyciek prywatnych kluczy portfeli. Binance również tymczasowo zawiesił wpłaty i wypłaty, wzmacniając kontrole bezpieczeństwa i prowadząc dochodzenie w sprawie incydentu.

Zgodnie z najnowszym oświadczeniem firmy około 3 miliardy dolarów dotkniętych aktywów zostało już zamrożonych dzięki współpracy z partnerami blockchain. Binance zobowiązał się pokryć straty klientów przy użyciu Secure Asset Fund for Users — rezerwy awaryjnej utworzonej w 2018 roku — oraz zasobów firmy.

Rekordowa kradzież kryptowalut budzi obawy branży

Podejrzewane zaangażowanie Lazarus następuje po kilku poważnych atakach na kryptowaluty wcześniej przypisywanych północnokoreańskim hakerom. W lutym 2025 roku atakujący powiązani z grupą ukradli około 1,5 miliarda dolarów z giełdy kryptowalut Bybit, a władze amerykańskie powiązały również grupę z kradzieżą około 600 milionów dolarów z mostu Ronin Network w 2022 roku. Najnowszy incydent znacznie przewyższa tamten rekord i uwypukla utrzymujące się luki w scentralizowanej infrastrukturze kryptowalut.

Włamanie wstrząsnęło również rynkami aktywów cyfrowych. Bitcoin spadł poniżej 77 000 dolarów w początkowej reakcji rynkowej, podczas gdy Ethereum i powiązany z Binance BNB odnotowały znaczne spadki.

Eksperci ds. bezpieczeństwa oczekują, że śledztwo skoncentruje się na tym, jak atakujący uzyskali dostęp do systemów autoryzacji transakcji Binance. Tymczasem działania na rzecz śledzenia i zamrażania skradzionych kryptowalut pozostają kluczowe dla ograniczenia szkód finansowych. Przy środkach rozproszonych w 10 sieciach odzyskiwanie prawdopodobnie będzie zależało od dalszej koordynacji między giełdami, firmami analitycznymi i organami ścigania, a uwaga skupia się teraz na tym, czy władze oficjalnie przypiszą atak, czy uda się zamrozić więcej aktywów i kiedy Binance w pełni przywróci usługi wpłat i wypłat.