Исследователи блокчейн-безопасности и ончейн-расследователи связали взлом криптобиржи Binance на $6,3 млрд с группировкой TraderTraitor, ассоциируемой с КНДР. Если оценка потерь подтвердится, это станет крупнейшей единичной кражей в истории криптовалют, затмевая прежние инциденты, приписываемые этой группировке, включая взлом DMM Bitcoin более чем на $300 млн.

TRM Labs с «высокой степенью уверенности» связала атаку с TraderTraitor, ссылаясь как на ончейн-, так и на офчейн-данные, согласно ее анализу.

Оончейн-расследователь ZachXBT сообщил, что средства, украденные из Binance и в ходе более раннего взлома Bitget, были объединены на одном адресе после прохождения через THORChain — кроссчейн-протокол, позволяющий пользователям обменивать активы между блокчейнами. «Это указывает на то, что за обоими инцидентами, вероятно, стоит один и тот же субъект», — отметил он, добавив, что атака на Bitget уже была приписана TraderTraitor.

Джонатан Левин, сооснователь и глава Chainalysis, также указал на северокорейскую группировку, заявив, что она похитила $6,4 млрд — чуть выше оценочного ущерба Binance в $6,3 млрд. «Мы считаем, что взлом Binance на $6,4 млрд, вероятно, совершила северокорейская группировка TraderTraitor из-за связей с предыдущим взломом», — сказал он.

Эта атрибуция следует за более ранней оценкой Идо Бен-Натана, главы компании Blockaid, который сообщил Cointelegraph, что сложность атаки и ончейн-подготовка напоминали активность северокорейских хакеров.

Американские власти ранее связывали TraderTraitor — название, которое агентства США используют для обозначения комплекса северокорейской активности, направленной на кражу криптовалют, — с некоторыми из крупнейших краж в криптоиндустрии, включая взлом Bybit в феврале 2025 года. ФБР также присоединилось к американским и японским расследователям, чтобы приписать кражу более $300 млн у DMM Bitcoin в мае 2024 года северокорейским злоумышленникам.

По данным ФБР, TraderTraitor нацеливается на сотрудников компаний с помощью социальной инженерии. В случае с DMM злоумышленник, выдававший себя за рекрутера, отправил сотруднику провайдера кошельков Ginco вредоносное тестовое задание по программированию. Расследователи сообщили, что полученный доступ, вероятно, использовался для манипуляции легитимным запросом транзакции с перенаправлением средств на подконтрольные злоумышленнику кошельки.

Как будут выводиться украденные средства далее — и повторят ли ведомства публичный ответ, подобный реакции после взлома Bybit, когда ФБР призвало криптокомпании блокировать отмывание украденных средств, — один из открытых вопросов после этой атрибуции. Объединение средств из Binance и Bitget на одном адресе дает аналитикам общий ончейн-след для отслеживания.

Related: Глава Bitget подозревает КНДР во взломе на $352 млн, ссылаясь на IP-улики