Три компании в сфере блокчейн-аналитики связали взлом Binance на этой неделе с КНДР, причем две крупнейшие — TRM Labs и Chainalysis — назвали ответственной группировку TraderTraitor, северокорейских хакеров, которых обе компании считают причастными к крупнейшей криптовалютной краже в истории.

TRM Labs заявила, что сделала вывод «с высокой степенью уверенности» на основе «надежной разведывательной информации как on-chain, так и off-chain». По оценке компании, объем кражи составил около $6,36 млрд, выведенных из кошельков Binance на 10 блокчейнах, причем большая часть средств покинула их примерно за 20 минут, начиная с 16:05 по восточному времени в четверг. Это примерно в четыре раза больше, чем взлом Bybit на $1,5 млрд в феврале 2025 года, который ФБР также приписало той же группировке, отметила TRM.

Chainalysis, оценившая общий ущерб примерно в $6,4 млрд, сообщила, что самым весомым доказательством стало то, что ее исследователи в режиме реального времени увидели смешивание украденных из Binance средств с доходами от атаки на Bitget в прошлом месяце, которую приписали северокорейским акторам. Представитель Chainalysis сообщил CNN, что компания «с высокой степенью уверенности» считает КНДР организатором взлома.

Сингапурская Pangolin Intelligence также сообщила CNN, что, по ее мнению, за атакой стоит северокорейское хакерское подразделение, основываясь на «анализе активности в блокчейне, связанной с этим взломом, и сопоставлении с информацией, полученной из предыдущих известных инцидентов». КНДР ранее отвергала обвинения во взломах.

Как работала атака

TRM и Chainalysis сообщили, что операционный кошелек атакующего финансировался через Tornado Cash, криптомикшер. TRM заявила, что этот и другие признаки — включая подготовку, начавшуюся задолго до кражи, — соответствуют более ранним атакам, связанным с КНДР, таким как взлом Bybit и апрельская атака на KelpDAO.

В Ethereum атакующий использовал делегирование EIP-7702 — функцию, появившуюся в обновлении Ethereum Pectra, которая позволяет обычному кошельку выполнять код смарт-контрактов, — чтобы превратить горячий кошелек Binance (подключенный к интернету кошелек) в контролируемый «средство очистки» (sweeper), подготовив заранее 50 подписанных авторизаций, согласно TRM. Sweeper автоматически выводит любые средства, отправленные на адрес. Кошельки Binance на остальных девяти блокчейнах отправляли средства атакующему через обычные подписанные транзакции. По оценке TRM, это указывает на компрометацию инфраструктуры подписания транзакций горячих кошельков Binance.

Binance сообщила, что расследование началось со взломанного ноутбука инженера, но с тех пор были обнаружены «дополнительные точки проникновения». Атака на Bybit также началась с одной скомпрометированной машины: северокорейские хакеры внедрили вредоносный код в инфраструктуру провайдера кошельков Safe, взломав компьютер разработчика Safe, сообщал тогда Decrypt.

Быстрое отмывание и растущие заморозки

Атакующий быстро приступил к отмыванию того, что не смог удержать. Chainalysis сообщила, что наблюдает «доселе невиданные схемы отмывания»: тысячи транзакций за короткий период указывают на использование автоматизации для многократной циркуляции средств между адресами.

По данным TRM, атакующий также продавал USDT маркетмейкерам и занимал ETH под залог USDT на кредитном протоколе Aave, пытаясь опередить заморозку средств эмитентами. Сейчас у него более 420 000 ETH и 18 270 BTC — около $2,4 млрд, недоступных для воздействия любого эмитента, поскольку ни у ETH, ни у BTC нет компании-эмитента, способной их заморозить.

Tether, Circle, Ripple и World Liberty Financial заморозили стабильных монет примерно на $2,67 млрд, а Совет по безопасности Arbitrum заморозил 8 426 ETH и 74,6 млн ARB, сообщила TRM. По оценке Binance, общий объем замороженных средств составляет около $3 млрд.

Binance обязуется покрыть убытки пользователей

Binance начала восстановление затронутых активов для пользователей и продолжает сотрудничать с правоохранительными органами, эмитентами, компаниями блокчейн-аналитики и отраслевыми партнерами для отслеживания, заморозки и возврата дополнительных средств.

Binance has begun recovering affected assets for users and continues to work with law enforcement, issuers, blockchain intelligence firms and industry partners to trace, freeze and recover additional funds. The company has already publicly committed to cover losses through… pic.twitter.com/UqtBd37Fpj

— Binance (@binance) October 30, 2026

В обновлении в пятницу биржа сообщила, что зарезервировала более $6,34 млрд собственных средств для покрытия последствий инцидента, из которых $5 млрд уже хранятся в точно таких же токенах, какие были украдены. Остальное она покупает через рыночные и внебиржевые каналы, что «может занять больше времени, поскольку некоторые токены могут иметь низкую ликвидность», заявила Binance. Эти цифры не включают замороженные активы. Как быстро удастся завершить покупки, каков полный масштаб взлома и удастся ли заморозить или вернуть больше украденных средств — эти вопросы остаются открытыми по мере продолжения расследования.

«Мы переживем эту бурю», — заявила Binance.

Давно действующий противник

Северокорейские хакеры давно нацелились на биржу. В августе 2025 года директор по безопасности Binance Джимми Су сообщал Decrypt, что северокорейские атакующие ежедневно пытаются устроиться на работу в Binance, и назвал их самой большой угрозой для криптокомпаний.

В среду — за день до начала кражи — министерство финансов США ввело санкции против 10 физических лиц и одной организации за схемы с северокорейскими IT-работниками, через которые было проведено криптовалют на миллионы долларов.