Двадцать минут на миллиарды: взлом Binance превратился в гонку за деньгами

В четверг, 29 октября, крупнейшая в мире криптовалютная биржа столкнулась с атакой, которую специалисты отрасли назвали крупнейшей кражей цифровых активов за всю историю. По информации New York Post со ссылкой на аналитическую компанию TRM Labs и собеседников в индустрии, злоумышленники за короткое время опустошили несколько кошельков Binance. Сооснователь компании Fireblocks Идан Офрат рассказал газете, что среди затронутых кошельков был один, содержавший почти 800 млн долларов. Масштаб операции оказался необычным даже для рынка, уже пережившего несколько миллиардных хищений.

Первоначально Binance сообщила, что инцидент мог быть связан со взломом ноутбука инженера. Однако в пятницу, 30 октября, руководитель биржи Ричард Тенг заявил об обнаружении дополнительных точек проникновения. Это указывало на более сложную атаку, которую нельзя было объяснить только компрометацией одного устройства. При этом окончательная последовательность действий злоумышленников на момент публикации материалов ещё не была установлена.

Глава компании Blockaid Идо Бен-Натан, по его словам, обнаружившей подозрительный вывод средств в течение двух минут после его начала, не исключил участия человека внутри организации. Проникнуть в корпоративную сеть, объяснил он New York Post, можно с помощью фишинга либо устроив своего человека на работу в компанию. По его оценке, до успешного проникновения атакующие предприняли более пятидесяти попыток. Однако версия о внутреннем пособнике оставалась предположением, а не объявленным результатом расследования.

Идан Офрат также считал вероятной фишинговую атаку — например, сообщение в LinkedIn или электронное письмо, позволившее получить доступ к рабочей системе. Такие методы относятся к социальной инженерии: злоумышленник использует доверие человека, а не только недостатки программного обеспечения. Сотрудника могут убедить раскрыть учётные данные, перейти по опасной ссылке или выполнить действие, открывающее доступ к внутренним ресурсам. Офрат заявил, что надлежащие меры безопасности могли бы предотвратить подобное развитие событий.

Был ли у хакеров помощник в виде ИИ

Бен-Натан предположил, что в операции могли использовать искусственный интеллект. По его оценке, современные модели всё лучше находят ранее неизвестные ошибки программного обеспечения — так называемые уязвимости нулевого дня. Их название означает, что разработчик ещё не успел подготовить исправление к моменту обнаружения или эксплуатации проблемы. Но применение ИИ именно при взломе Binance в исходных публикациях не подтверждалось техническими доказательствами.

На практике злоумышленники могут сочетать обман сотрудников с использованием программных уязвимостей. Доступ к одному устройству способен стать первым этапом проникновения, после которого атакующие ищут возможность обойти другие защитные механизмы. Отдельную опасность представляет компрометация криптографических ключей, которыми подтверждаются операции с цифровыми активами. Получив необходимые ключи или контроль над механизмом подписания транзакций, преступники могут переводить средства без обычного входа в пользовательский аккаунт.

По словам Тенга, атакующие также применили механизм самоуничтожения, затруднивший установление обстоятельств произошедшего. Подробности его работы в материалах не раскрывались. Binance начала проверку рабочих устройств, облачной инфраструктуры и системы управления ключами. Компания заявила, что не располагает свидетельствами сохранения у злоумышленников прямого доступа к средствам.

Почему подозревают северокорейскую группу

TRM Labs связала атаку с TraderTraitor — группой, которую компания характеризует как одно из ведущих северокорейских хакерских подразделений. Аналитики заявили о высокой уверенности в своей оценке, сославшись на совпадение нескольких особенностей операции с предыдущими хищениями, связанными с КНДР. Сооснователь Chainalysis Джонатан Левин также высказал подозрения в адрес северокорейских хакеров. Это атрибуция специалистов по анализу блокчейна, которую следует отличать от окончательного установления виновников судом.

Бен-Натан выразился ещё определённее, заявив, что считает причастность Северной Кореи очевидной. Одним из характерных признаков он назвал быстрое распределение похищенных активов по множеству направлений.

После проникновения в Binance вывод основной суммы занял, по его оценке, около двадцати минут. Затем средства начали перемещать между различными сетями, усложняя их отслеживание и блокировку.

TraderTraitor ранее связывали с кражей примерно 1,5 млрд долларов у криптобиржи Bybit в 2025 году — на тот момент крупнейшим подобным хищением. New York Post также напомнила о подозрениях в адрес северокорейских групп после сентябрьской атаки на Bitget, где речь шла более чем о 350 млн долларов. По сведениям Многосторонней группы мониторинга санкций, объединяющей одиннадцать государств, включая США, TraderTraitor сформировали примерно в 2016 году для хищения криптовалюты. Эти эпизоды объясняют внимание аналитиков к группе, но сами по себе не доказывают её участие в каждом новом взломе.

Американские должностные лица ранее заявляли, что доходы от киберпреступлений обеспечивают около половины финансирования ракетной программы КНДР. В исходных материалах эта оценка приводится как объяснение государственного интереса к цифровым хищениям. Однако проследить назначение конкретных средств после множества переводов значительно сложнее, чем установить сам факт их вывода с биржи. Поэтому утверждение о финансировании определённой военной разработки деньгами именно этой атаки потребовало бы отдельных доказательств.

Деньги видны, но вернуть их трудно

Особенность криптовалютного хищения состоит в сочетании публичного следа и высокой скорости перемещения средств. Операции в открытых блокчейнах сохраняются в реестре, поэтому аналитики могут наблюдать переводы между адресами и сервисами. Однако сами адреса не обязательно раскрывают личность человека, который ими управляет. В отличие от физических ценностей, цифровые активы можно быстро распределить между множеством кошельков и перевести через несколько сетей.

После атаки началась гонка между похитителями и теми, кто пытался заблокировать средства. Cообщалось, что эмитенты стейблкоинов успели заморозить активы примерно на 2,8 млрд долларов. Стейблкоины — это цифровые токены, стоимость которых обычно привязана к валюте, например доллару. У некоторых эмитентов есть техническая возможность остановить движение выпущенных ими токенов по определённым адресам.

Но заморозка ещё не означает возврата денег владельцам. Для восстановления контроля над средствами могут потребоваться действия эмитентов, бирж, правоохранительных органов и других участников. В некоторых случаях обсуждается перевыпуск заблокированных токенов. При этом уже совершённые обмены и операции через другие сервисы способны существенно усложнить расчёты и определение того, кому принадлежат соответствующие требования.

По сообщению CNBC, атакующие успели продать часть стейблкоинов и занять эфир — актив, который сложнее заблокировать таким способом. Ещё один описанный специалистами путь — использование децентрализованных кредитных сервисов, где цифровые активы могут служить обеспечением займа. Это позволяет получить другие средства до того, как исходные токены окажутся заморожены. Поэтому блокировка одного элемента цепочки не обязательно останавливает движение всей похищенной суммы.

В исходной публикации приводилась оценка аналитиков, что около 3 млрд долларов могут оказаться практически невозвратными. Однако невозможность немедленно заморозить активы не равнозначна доказательству их окончательной утраты. Binance сообщила о начале возврата части средств и сотрудничестве с правоохранительными органами, включая Секретную службу США, аналитическими компаниями, эмитентами токенов и другими биржами. Результат этой работы зависел от того, удастся ли опередить дальнейшие переводы и обмены.

Обещания Binance и реакция рынка

Сразу после обнаружения атаки Binance приостановила вывод средств и пообещала покрыть потери клиентов. К пятнице компания заявила, что подготовила для этого более 6 млрд долларов собственных средств. Она также рассчитывала восстановить возможность вывода в течение двух дней. Эти заявления отражали планы биржи на момент выхода материалов, а не подтверждённое завершение выплат.

Стоит напомнить об отдельном резервном фонде Binance для защиты пользователей при инцидентах безопасности. На сайте биржи его объём указывался примерно в 1 млрд долларов в биткоинах. Аналитическая компания Nansen оценивала совокупные криптоактивы в кошельках Binance примерно в 167 млрд долларов. Однако активы, находящиеся на платформе, нельзя автоматически считать собственным капиталом компании или свободным резервом для компенсаций.

На фоне новостей об атаке биткоин опустился ниже 80 тысяч долларов впервые примерно за месяц, а эфир снизился до двухмесячного минимума около 2230 долларов. В публикации также отмечалось падение акций компаний, связанных с криптовалютами. Глава Coin Bureau Ник Пакрин назвал произошедшее, вероятно, крупнейшим взломом по денежной стоимости. Руководитель направления государственной политики TRM Labs Ари Редборд использовал ещё более широкое сравнение — «крупнейшее банковское ограбление в истории человечества», хотя Binance является криптобиржей, а не обычным банком.

История получила продолжение и в социальных сетях. Илон Маск отреагировал на сообщения об атаке смеющимися и гримасничающими эмодзи, после чего основатель Binance Чанпэн Чжао попросил его прекратить насмешки.

Чжао напомнил, что инвестиция в 500 млн долларов, сделанная при покупке Twitter, по его оценке, превратилась в долю стоимостью более миллиарда. Он назвал происходящее неподходящим моментом для троллинга и попросил поддержки.

Атака на Binance произошла на фоне роста потерь от взломов в криптовалютной отрасли. По данным компании CertiK, с июля по сентябрь в результате 255 атак было похищено около 1,2 млрд долларов. Во втором квартале потери составляли примерно 822 млн долларов при 222 инцидентах. Таким образом, ещё до истории с Binance увеличились и число зафиксированных атак, и их совокупная стоимость.