TRM i Chainalysis wiążą atak hakerski na Binance o wartości 6,4 mld dolarów z północnokoreańską grupą TraderTraitor

Trzy firmy analityki blockchain przypisały tegoroczny atak na Binance Korei Północnej, przy czym dwie największe wskazały TraderTraitor, północnokoreańską grupę hakerską, jako odpowiedzialną za to, co obie opisują jako największą kradzież kryptowalut w historii.

TRM Labs poinformowała, że dokonała przypisania "z wysoką pewnością", na podstawie "solidnych danych wywiadowczych on-chain i off-chain". Oszacowała kradzież na około 6,36 miliarda dolarów, wyprowadzonych z portfeli Binance w 10 blockchainach, z czego większość w ciągu około 20 minut od godziny 16:05 czasu wschodniego w czwartek. To około czterokrotnie więcej niż atak na Bybit o wartości 1,5 miliarda dolarów z lutego 2025 roku, który FBI przypisało tej samej grupie, zauważyła TRM.

Chainalysis, która oszacowała sumę na około 6,4 miliarda dolarów, poinformowała, że najsilniejszy dowód pojawił się, gdy jej śledczy zaobserwowali, jak środki skradzione z Binance mieszają się w czasie rzeczywistym ze środkami z zeszłomiesięcznego ataku na Bitget, który został przypisany północnokoreańskim podmiotom.

Rzecznik Chainalysis powiedział CNN, że firma ma "wysoką pewność", iż za atakiem stoi Korea Północna. Singapurska Pangolin Intelligence również powiedziała CNN, że uważa, iż odpowiedzialna jest północnokoreańska jednostka hakerska, na podstawie "analizy aktywności on-chain związanej z tym atakiem i skorelowania jej z informacjami zebranymi z wcześniejszych znanych incydentów". Korea Północna wcześniej zaprzeczała oskarżeniom o hakowanie.

TRM i Chainalysis obie poinformowały, że portfel operacyjny atakującego został zasilony przez Tornado Cash, mikser kryptowalut. TRM stwierdziła, że to oraz inne cechy, w tym przygotowania, które rozpoczęły się na długo przed kradzieżą, odpowiadały wcześniejszym atakom powiązanym z Koreą Północną, takim jak atak na Bybit i kwietniowy atak na KelpDAO.

Jak przebiegał atak

Na Ethereum atakujący wykorzystał delegację EIP-7702, funkcję wprowadzoną w aktualizacji Pectra, która pozwala zwykłemu portfelowi uruchamiać kod smart kontraktu, aby zamienić gorący portfel Binance w kontrolowany przez siebie sweeper, z 50 wcześniej podpisanymi autoryzacjami przygotowanymi z wyprzedzeniem, według TRM. Portfele Binance w pozostałych dziewięciu łańcuchach wysłały środki do atakującego za pośrednictwem zwykłych podpisanych transferów. W ocenie TRM wskazuje to na kompromitację infrastruktury podpisywania gorącego portfela Binance.

Binance poinformowała, że jej dochodzenie rozpoczęło się od przejętego laptopa inżyniera, ale od tego czasu odkryła "dodatkowe punkty naruszenia". Atak na Bybit również rozpoczął się od jednej przejętej maszyny: północnokoreańscy hakerzy umieścili złośliwy kod w infrastrukturze dostawcy portfeli Safe po przejęciu komputera dewelopera Safe, Decryptdonosił wówczas.

Napastnik szybko przystąpił do prania tego, czego nie mógł zatrzymać. Chainalysis poinformował, że obserwuje "wzorce prania pieniędzy, jakich nigdy wcześniej nie widziano", z tysiącami transakcji w krótkim czasie, co sugeruje użycie automatyzacji do wielokrotnego krążenia środków między adresami. Według TRM napastnik sprzedał także USDT animatorom rynku i pożyczył ETH pod zastaw USDT w protokole pożyczkowym Aave, aby wyprzedzić zamrożenia ze strony emitentów, a obecnie posiada ponad 420 000 ETH i 18 270 BTC, około 2,4 miliarda dolarów poza zasięgiem jakiegokolwiek emitenta.

Tether, Circle, Ripple i World Liberty Financial zamroziły około 2,67 miliarda dolarów w stablecoinach, a Rada Bezpieczeństwa Arbitrum zamroziła 8 426 ETH i 74,6 miliona ARB, jak podało TRM. Binance podaje, że łączna zamrożona kwota wynosi około 3 miliardów dolarów.

W aktualizacji z piątku Binance podał, że zarezerwował ponad 6,34 miliarda dolarów środków firmy na pokrycie incydentu, z czego 5 miliardów jest już przechowywane w dokładnie tych tokenach, które zostały skradzione. Resztę kupuje za pośrednictwem kanałów rynkowych i pozagiełdowych, co "może potrwać dłużej, ponieważ niektóre tokeny mogą mieć niską płynność", jak podała giełda. Liczby te nie obejmują zamrożonych aktywów.

"Przetrwamy tę burzę" — powiedział Binance.

Północnokoreańscy hakerzy od dawna obierają sobie tę giełdę za cel. W sierpniu 2025 roku główny dyrektor ds. bezpieczeństwa Binance, Jimmy Su, powiedziałDecrypt, że północnokoreańscy napastnicy codziennie próbują zostać zatrudnieni w Binance, i nazwał ich jedynym największym zagrożeniem dla firm kryptowalutowych. W środę amerykański Departament Skarbu nałożył sankcje na 10 osób i jeden podmiot w związku z północnokoreańskimi schematami pracowników IT, które przeniosły miliony dolarów w kryptowalutach.