Министерство юстиции США (DOJ) получило судебное разрешение на арест или ограничение более $1,2 млрд в криптовалюте, похищенной у Binance северокорейскими военными хакерами. Правоприменительная акция, объявленная 12 ноября, нацелена на средства, связанные с тем, что чиновники описывают как кибератаку на $6,3 млрд, и является частью более широкой стратегии по срыву операций режима по хищению криптовалюты (заявление Министерства юстиции).

С момента атаки 29 октября правительство США совместно с партнерами заморозило более $2,7 млрд похищенной криптовалюты. Сумма, охваченная судебным приказом DOJ, составляет почти половину замороженных похищенных средств, а расследования по розыску остальной части продолжаются. Реакция была быстрой: взлом произошел 29 октября, ФБР выпустило предупреждение об атрибуции 31 октября, а одобренное судом действие последовало 12 ноября. ФБР приписало атаку группировке TraderTraitor (предупреждение ФБР о киберугрозах).

Акция 12 ноября также нацелена на вторую схему, связанную с КНДР, — FaceStealer, которая за 18 месяцев похитила более $400 млн в криптовалюте с помощью заранее записанных видео и технологии дипфейков.

Министерство юстиции нацеливается на хищения криптовалюты КНДР

DOJ утверждает, что КНДР использует хищение криптовалюты как способ получения денег для финансирования государства и запрещенного вооружения. В последней серии действий участвовали несколько ведомств, включая подразделение национальной безопасности, уголовное подразделение, ФБР, Секретную службу США и Уголовное расследование IRS.

The US Department of Justice seized infrastructure linked to North Korea's $400 million FaceStealer crypto theft scheme and froze over $1.2 billion in cryptocurrency stolen from Binance. #Crypto #Binance — Lego (@Doctor_Stefan) November 12, 2026

Источник: пост в X

Участие поставщиков услуг виртуальных активов позволило властям заморозить миллиарды долларов до того, как деньги покинули их юрисдикцию. Для криптоиндустрии эта деталь показывает, насколько исход правоприменительных действий может зависеть от сотрудничества поставщиков услуг: средства, находящиеся на бирже или в кастодиальной платформе, могут быть заблокированы до их распределения. Заместитель генерального прокурора А. Тайсен Дува пояснил, что уголовное подразделение и его коллеги быстро действовали, чтобы остановить около половины масштабного взлома Binance.

Суд постановил, что правительство должно арестовать или ограничить более $1,2 млрд из замороженных $2,7 млрд. Это различие важно: заморозка криптовалюты означает предотвращение движения средств, а ограничение — получение права на их арест.

TraderTraitor переводит похищенные активы Binance через криптосети

ФБР сообщило, что за атакой на Binance 29 октября стояли военные Корейской Народно-Демократической Республики, использовавшие псевдоним "TraderTraitor". В предупреждении о киберугрозах, выпущенном 31 октября, ФБР сообщило, что злоумышленники переводили активы на счета, где похищенные средства конвертировались в эфир (ETH).

По данным ФБР, злоумышленники использовали приложения децентрализованных финансов (DeFi) и сервисы мгновенного обмена для конвертации криптовалют в другие формы средств. Это затрудняет отслеживание транзакций для следователей, поскольку деньги перемещаются через несколько блокчейн-сетей и цифровых активов.

ФБР призвало операторов криптовалютных бирж, DeFi-сервисы, компании по анализу блокчейнов и поставщиков инфраструктуры блокировать любые транзакции, связанные с выпущенными им адресами кошельков, использовавшимися для отмывания средств.

Расследование продолжается: северокорейские хакеры по-прежнему пытаются перемещать похищенные средства с помощью криптовалютных мостов, миксеров и бирж.

FaceStealer использует дипфейки для хищения более $400 млн

Наряду с действиями, связанными с Binance, Министерство юстиции объявило о захвате облачной инфраструктуры, использовавшейся в кампании FaceStealer. По данным ФБР, расследование показало, что злоумышленники взламывали учетные записи людей, занятых в криптовалютах, Web3 и разработке программного обеспечения с открытым исходным кодом, и за 18 месяцев похитили более $400 млн в криптовалюте.

Видеовстречи организовывались с использованием взломанных учетных записей. Во время звонков хакеры показывали заранее записанные кадры людей, известных жертвам, а также применяли сгенерированные искусственным интеллектом видео для выдачи себя за влиятельных лиц в сфере криптовалют и Web3.

Во время видеозвонков злоумышленники выдумывали ложные технические проблемы — например, утверждали, что не слышат жертву, — а затем предоставляли ссылки или подсказки для "исправления", что приводило к установке вредоносного ПО на устройства жертв, открывавшего доступ к криптовалюте и другой информации.

Злоумышленники выжидали месяцы и даже годы после первоначального заражения компьютера, прежде чем совершать кражи или захватывать аккаунты связи. Они также использовали взломанные компьютеры для доступа к контактам жертв, аккаунтам соцсетей и сообщениям, чтобы находить новые цели.

Агенты ФБР изъяли более 900 записей с веб-камер по ордеру, выданному федеральным судом, нарушили работу облачных вычислительных ресурсов, использовавшихся в кампании, и опубликовали технический отчет (совместное консультативное уведомление по кибербезопасности), объясняющий, как проводилась операция.

Действия DOJ подчеркивают риски для криптоиндустрии и разработчиков ПО

FaceStealer нацеливался на разработчиков программного обеспечения с открытым исходным кодом. Кампания была направлена на взлом учетных записей людей, ответственных за разработку и сопровождение ПО, чтобы осуществлять атаки на цепочки поставок против приложений других организаций. При атаке на цепочку поставок компрометация доверенного разработчика или зависимости имеет значение, поскольку каждое нисходящее приложение, использующее этот код, наследует уязвимость.

Поэтому последствия выходят за рамки держателей криптовалют. Хакеры могут нанести ущерб не только тем, кто работает с криптовалютами, но и компаниям-разработчикам ПО и их продуктам, то есть предприятия, использующие открытое ПО, могут быть под угрозой, даже если они не связаны с криптовалютами.

Патрик Гранди, помощник директора офиса ФБР в Лос-Анджелесе, заявил, что операция могла обмануть даже технических специалистов, используя доверенные контакты и надежные инструменты видеоконференцсвязи. Те, кто не верил, что может стать жертвой подобных атак, по его словам, возможно, не учли все возможные способы обмана.

Для криптобизнеса эти события подчеркивают важность проверки приглашений на встречи, подтверждения личности через отдельные каналы связи и отказа от незнакомых предложений по установке ПО. Для бирж и поставщиков инфраструктуры также стали ключевыми мониторинг кошельков и быстрое реагирование на уведомления правоохранительных органов.

По данным Министерства юстиции, отслеживание, заморозка, арест и конфискация активов, связанных с Binance, продолжаются. Расследования обеих операций — TraderTraitor и FaceStealer — продолжаются, и власти направили запросы о предоставлении отчетов о подозрительной активности. Дальнейшее развитие будет процессуальным: перейдут ли ограничения к окончательной конфискации и последуют ли новые аресты активов по мере розыска остальной части похищенных средств.