Взлом Binance на $6,3 млрд стал шоком для криптоиндустрии и продемонстрировал, как далеко могут — и готовы — зайти хакеры при поддержке государства после череды всё более серьезных инцидентов в сфере кибербезопасности — на этот раз атака пришлась на крупнейшую криптобиржу мира.

TRM Labs, компания в области блокчейн-аналитики, оказалась на передовой борьбы с кражей и после атаки опубликовала отчет. Фирма одной из первых связала взлом с северокорейской хакерской группировкой TraitorTrader, ссылаясь на «неопровержимые» ончейн- и офчейн-доказательства. Та же группировка стояла за взломом Bybit на $1,5 млрд в феврале 2025 года.

В разборе инцидента, опубликованном 3 ноября, Binance сообщила, что злоумышленники под видом рекрутеров внедрили вредоносное ПО на рабочий компьютер инженера, а затем воспользовались скомпрометированным внутренним ИИ-инструментом, чтобы получить доступ к сервису подписи транзакций кошельков биржи.

Ари Редборд, глобальный руководитель направления политики и взаимодействия с госорганами в TRM Labs, сообщил Cointelegraph, что, хотя скоординированный ответ отрасли на атаку был беспрецедентным, «мы будем видеть такое всё чаще и чаще».

Беспрецедентный ответ отрасли

Редборда выделили среди прочего скорость и масштаб реакции индустрии. Tether заморозила 971,1 млн токенов USDt (USDT) всего через 37 минут после основной выводки, а эмитенты стейблкоинов в совокупности заморозили токены примерно на $2,67 млрд, по данным TRM.

«Ничего подобного раньше не делалось, — сказал Редборд. — Они смогли вернуть 40% средств практически сразу».

Гонка за перехват украденных средств до того, как хакеры выведут их офчейн, — критически важная часть защиты от таких атак. Редборд пояснил, что сеть Beacon Network — система обмена разведданными, запущенная TRM в 2025 году, — позволила компаниям быстро скоординироваться и заблокировать средства, прежде чем приступать к их изъятию.

«Обычно я вижу несколько оповещений Beacon, может быть, каждый день. За последние несколько дней я видел, не знаю, сотни, а может, даже тысячу оповещений Beacon», — сказал он.

Призыв к координации прозвучал на фоне сообщения Bloomberg от 4 ноября о том, что подразделение T3 Financial Crime Unit, созданное TRM совместно с Tron и Tether в сентябре 2024 года, распалось в конце августа; источники ссылались на медленные реакции и слабую координацию. Tether заявила, что продолжит сотрудничать с TRM через Beacon. Этот отчет напоминает, насколько мобильная стратегия быстрого реагирования индустрии зависит от межфирменного сотрудничества — и насколько хрупкими могут быть подобные договоренности.

Хотя Редборд выступил за более тесную координацию, он предупредил, что такие усилия вряд ли сдержат будущие атаки. Он отметил, что кража 29 октября была эквивалентна примерно трети ВВП КНДР и составила половину от $12,5 млрд, украденных хакерами при поддержке государства с 2017 года. Даже если злоумышленники потеряют всего $1 млрд, потенциальная прибыль остается огромной, считает он.

«КНДР будет продолжать это делать, пока это работает», — сказал он.

От обороны к наступлению

Редборд утверждает, что предотвращение таких атак требует наступательных действий со стороны государств в ответ на использование КНДР хакеров как части государственного аппарата. Согласно отчету TRM о разрыве потенциалов, разрыв между атакующими и специалистами по кибербезопасности продолжает расти из-за раннего внедрения хакерами передовых технологий, таких как ИИ. По его словам, правоохранительным органам и комплаенс-командам нужен ИИ, чтобы находить и закрывать уязвимости так же быстро, как хакеры их эксплуатируют. Взлом Binance стал наглядным примером: вредоносное ПО попало через поддельное сообщение рекрутера, скомпрометированный внутренний ИИ-инструмент открыл путь внутрь, а сервис подписи транзакций кошельков стал целью.

«Каждый раз, когда КНДР взламывает нас, мы должны взламывать ее в ответ», — продолжил он, призывая к наступательным кибероперациям и мерам против сетей отмывания денег и банков, которыми хакеры пользуются для обналичивания средств. «Это кибервойна», — сказал он.