К взлому крупнейшей криптобиржи Binance на $6,36 млрд, по предположению специалистов аналитической компании TRM Labs, причастна северокорейская хакерская группировка TraderTraitor.
Эксперты TRM Labs проанализировали транзакции в десяти блокчейнах и сравнили действия злоумышленников с тем, как ранее действовали северокорейские хакеры. Среди признаков причастности TraderTraitor — предварительная подготовка кошельков, применение криптомиксера Tornado Cash, а также получение подписанных разрешений на операции задолго до вывода средств.
По данным TRM Labs, подготовка к атаке стартовала как минимум за 36 часов до её осуществления. Утром 28 октября кошелёк, который контролировали хакеры, получил несколько небольших переводов через Tornado Cash. На следующий день злоумышленники развернули вредоносный смарт‑контракт и протестировали его на тестовых адресах.
Чтобы получить контроль над одним из горячих эфириум‑кошельков Binance, хакеры применили механизм EIP‑7702 — он появился после обновления блокчейна Эфириума Pectra. Злоумышленники подготовили 50 подписанных разрешений с последовательными номерами транзакций. Одно из них оказалось действительным и дало возможность передать управление кошельком вредоносному контракту. Спустя три минуты и 24 секунды с адреса вывели 167 464 эфира и 63 других токена, в том числе 1,615 млрд стейблкоинов USDT.
Практически одновременно средства начали выводиться с кошельков Binance в сетях Биткоин, Tron, Solana, XRP Ledger и других блокчейнах. В TRM Labs полагают, что злоумышленники могли получить доступ к инфраструктуре подписания транзакций биржи — благодаря этому они могли проводить операции сразу в нескольких сетях с разными криптографическими механизмами.
Binance заявляет, что причиной инцидента стал взлом ноутбука одного из инженеров компании. По предварительной версии, через него хакеры попали в служебный контейнер и запустили несанкционированный вывод средств. При этом биржа пока не нашла доказательств утечки приватных ключей и официально не подтвердила личности злоумышленников.
Ранее ФБР США связывало северокорейскую группировку TraderTraitor со взломом криптобиржи Bybit в феврале 2025 года — тогда злоумышленники похитили криптовалюту на сумму около $1,5 млрд.