Криптоограбление века: что случилось, кто виноват и вернет ли миллиарды Binance
Аналитик вредоносного ПО центра исследования киберугроз Solar 4RAYS ГК “Солар” Василий Штырков разобрался в ситуации и рассказал о деталях взлома платформы, последствиях инцидента и о том, может ли биржа вернуть похищенные средства, опираясь на прошлые похожие случаи.
Что случилось?
Атака стала возможной из-за взлома ноутбука одного из DevOps-инженеров с широкими полномочиями во внутренней инфраструктуре Binance. По оценке аналитиков TRM Labs, перед атакой велась многомесячная целевая фишинговая кампания в социальных сетях, направленная на компрометацию специалиста криптобиржи.
Именно расширенные права атакованного сотрудника, по предварительным данным, позволили злоумышленникам добиться одобрения крупных транзакций. В частности, компрометация ноутбука DevOps-инженера дала атакующим доступ к сервисному контейнеру. Это может говорить о проблемах во внутренних механизмах управления доступами, несмотря на защищенность самих криптовалютных кошельков.
Есть и свидетельства тщательной предварительной подготовки операции. Например, по данным TRM Labs, злоумышленники заранее подготовили специальные смарт-контракты для вывода средств. Хакеры воспользовались механизмом делегирования, чтобы заставить горячий кошелек Binance переводить активы на подконтрольные им адреса. После кражи средства распределили между сотнями кошельков, которые также были подготовлены заранее.
Все это указывает на хорошо спланированную операцию, для проведения которой требовалась команда специалистов с глубокими знаниями блокчейна и принципов работы криптовалютных бирж.
Кого подозревают?
Binance пока не опубликовала полноценный отчет по итогам расследования атаки. Поэтому однозначно оценить ее уровень сложности и установить виновных нельзя. Однако аналитики TRM Labs считают, что за атакой стоит северокорейская группировка TraderTraitor, связанная с Lazarus.
Их оценка основана на сходстве этой атаки с другими инцидентами, причастность Lazarus к которым ранее получила широкое признание в отрасли. В первую очередь речь идет о взломе Bybit зимой 2025 года и атаке на KelpDAO весной 2026 года. Оба инцидента связывают с деятельностью северокорейской группировки.
У этих атак есть общие черты: заблаговременная подготовка инфраструктуры, использование механизма делегирования и ряд других технических признаков. Совокупность совпадений позволяет рассматривать версию о причастности одного из подразделений Lazarus к взлому Binance как одну из основных. Однако окончательные выводы можно будет сделать только после завершения расследования и публикации дополнительных технических данных.
Северокорейские хакерские группировки известны продвинутыми схемами социальной инженерии и высоким техническим уровнем. Например, ранее Lazarus создала полноценную копию игры DeFiTankLand исключительно для того, чтобы похищать криптовалюту у пользователей.
К характерным методам группировки относятся и внедрение участников в компании под видом сотрудников для шпионажа и хищения криптовалют, и схема Contagious Interview. В последнем случае злоумышленники проводят фиктивное собеседование и под видом рабочего задания или тестового проекта заражают устройство кандидата вредоносным ПО.
Можно ли вернуть украденную криптовалюту?
В случае с централизованными стейблкоинами USDT, эмитентом которых выступает Tether, и USDC, выпускаемыми Circle, существует возможность заморозки средств со стороны эмитента. Это отличает их, например, от Bitcoin. В смарт-контракте USDT предусмотрены методы добавления адресов в черный список (addBlackList) и уничтожения украденных средств (destroyBlackFunds). Фактически Tether может изъять такие токены из обращения.
С Bitcoin и Ethereum ситуация сложнее. У этих криптовалют нет единого владельца или централизованного механизма блокировки, поэтому технически заморозить монеты непосредственно в сети невозможно. Однако похищенные средства можно пометить, отслеживать их перемещение и попытаться заблокировать в тот момент, когда злоумышленники будут выводить их через криптобиржу, обменный сервис или банк.
Существуют примеры возврата криптовалюты после краж, совершенных предположительно северокорейскими группировками. Вернуть всю сумму обычно крайне сложно. Так, после взлома Ronin Network было возвращено около $30 млн из примерно $625 млн, то есть около 5% похищенного. Но есть и обратные примеры – в случае с Munchables удалось вернуть около $62 млн из примерно $62,5 млн, то есть почти все.
Что делать пользователям Binance?
По заявлению биржи, инцидент не связан с компрометацией клиентских аккаунтов, поэтому паниковать не стоит. Главный риск для клиента сейчас – не сама атака, а мошенники, которые пользуются паузой в выводе средств и общим ажиотажем.
Особую опасность представляют «юристы», «аналитики блокчейна» и «службы возврата криптовалюты», а также предложения «ускоренно разблокировать вывод» или «оформить компенсацию». Такие «помощники» просят предоплату, доступ к аккаунту, seed-фразу или код двухфакторной аутентификации. Законная поддержка биржи не попросит передать эти данные. После громких инцидентов количество подобных мошеннических предложений обычно резко растет.
Следите только за официальными каналами криптобиржи и не переходите по ссылкам из сообщений, даже если они выглядят как уведомления биржи. Базовая гигиена не помешает: убедитесь, что включена двухфакторная аутентификация, проверьте активные сессии, адреса для вывода средств и историю операций, а при малейшем подозрении смените пароль.
