ФБР официально возложило ответственность за взлом Binance на 6,3 млрд долларов на TraderTraitor — хакерскую операцию, связанную с Северной Кореей, — выявив сотни криптовалютных адресов, причастных к краже, и призвав биржи, протоколы децентрализованных финансов (DeFi) и провайдеров блокчейн-инфраструктуры блокировать транзакции с похищенными средствами. Вывод был изложен в уведомлении, опубликованном 31 октября, через два дня после того, как злоумышленники скомпрометировали горячие кошельки биржи и перевели миллиарды долларов через несколько блокчейнов.

Примерно 3 млрд долларов затронутых активов с тех пор заморожены благодаря координации с эмитентами стейблкоинов и блокчейн-партнерами. Тем временем Binance восстановила около 95% затронутых активов за счет корпоративных резервов и экстренных фондов, готовясь возобновить вывод средств клиентов 1 ноября.

Федеральные ведомства отслеживают отмывание похищенных средств

В своем заявлении ФБР связало кражу 29 октября с TraderTraitor — операцией, ранее причастной к крупным криптовалютным хищениям. Эта группировка впервые была названа в рекомендациях правительства США в 2022 году, когда федеральные ведомства связали ее с хищением около 620 млн долларов с моста Ronin — крупнейшим взломом в отрасли на тот момент. Совместно с Секретной службой США и уголовным следственным управлением IRS федеральные следователи установили, что похищенные активы в основном конвертируются в Ethereum, а дальнейшее отмывание ожидается через децентрализованные биржи, сервисы мгновенного обмена и другую инфраструктуру DeFi. В предыдущих делах, связанных с TraderTraitor, цепочки отмывания проходили через миксеры — эта схема побудила министерство финансов США ввести в 2022 году санкции против миксеров, включая Blender.io и Tornado Cash.

Ведомства призвали торговые платформы, операторов THORNode, провайдеров RPC и компании блокчейн-аналитики блокировать транзакции с выявленными адресами, контролируемыми злоумышленниками. ФБР также опубликовало обширный список криптовалютных адресов, связанных с операцией, включая сотни адресов в Ethereum и дополнительные адреса в Bitcoin и Solana. Публикация списков адресов в таком формате дает биржам и аналитическим компаниям общий ориентир для скрининга, превращая централизованные шлюзы ввода и функции заморозки эмитентов в практические точки перехвата.

Эта атрибуция подтверждает более ранние выводы компаний блокчейн-аналитики TRM Labs и Chainalysis, выявивших схемы транзакций, характерные для северокорейских операций. Американские официальные лица и эксперты ООН по санкциям ранее приходили к выводу, что хищение криптовалют служит значимым источником дохода для оружейных программ Северной Кореи. TraderTraitor также причастна к атаке на Bybit в феврале 2025 года, приведшей к потерям около 1,5 млрд долларов. Взлом Binance более чем в четыре раза крупнее, что делает его крупнейшей кражей криптовалюты на основании текущих оценок.

Президент Дональд Трамп отреагировал сдержанно на вопрос о связи с Северной Кореей 31 октября, заявив, что его администрация все еще оценивает ситуацию. «Мы не знаем, Северная Корея это или нет, но если да, мы обсудим это с Северной Кореей», — сказал Трамп в своих замечаниях в Mar-a-Lago.

Binance восстановила 95% активов перед возобновлением вывода средств

Binance быстро приступила к восстановлению затронутых резервов, увеличив покрытие замены с 80% 30 октября до 90% на следующий день и примерно до 95% к 1 ноября. Биржа подтвердила, что десять основных активов теперь полностью обеспечены: BTC, ETH, USDT, USDC, BNB, SOL, XRP, USD1, RLUSD и ZEC. Оставшиеся 5% состоят преимущественно из менее ликвидных токенов, которые Binance продолжает приобретать через рыночные покупки и внебиржевые сделки.

Пополнение опирается на фонд Secure Asset Fund for Users (SAFU) Binance, страховой фонд фьючерсов и корпоративную казну. SAFU был создан в 2018 году как экстренный резерв для защиты средств клиентов в случае дефицита на бирже. Однако замена резервов отличается от возврата похищенной криптовалюты: около 3 млрд долларов, замороженных в блокчейне, не обязательно будут возвращены бирже.

Согласно заявлению компании, вывод средств планируется возобновить поэтапно с 06:00 до 09:00 UTC 1 ноября, начиная с крупных сетей, включая Bitcoin, Ethereum, BNB Chain, Solana, Tron и XRP Ledger. Депозиты оставались доступными на протяжении всего процесса восстановления.

Первоначальное расследование Binance выявило потенциально скомпрометированный ноутбук сотрудника DevOps и несанкционированный доступ к внутренней инфраструктуре вывода средств, хотя последующие находки выявили дополнительные точки компрометации. По словам биржи, нет никаких доказательств утечки приватных ключей кошельков. Полное техническое объяснение еще не предоставлено.

Теперь, когда атрибуция ФБР официально оформлена, внимание смещается на отслеживание и пресечение движения похищенных средств. Ключевые моменты для наблюдения: возобновится ли вывод средств по графику 1 ноября, будет ли какая-то часть из примерно 3 млрд долларов замороженных активов возвращена через юридические каналы, и технический разбор, который Binance еще предстоит опубликовать. Масштаб атаки, несмотря на обязательство Binance принять на себя потери клиентов, подчеркивает сохраняющуюся угрозу, которую государственные хакерские операции представляют для криптовалютной инфраструктуры.