- 5 мин
- 79
Взлом на $6,3 млрд связали с КНДР: эксперт рассказал, как могли обойти защиту Binance
Атаку на Binance стоимостью около $6,3 млрд аналитики связали с северокорейскими хакерами. По предварительной версии биржи, точкой входа стал ноутбук инженера, однако признаков кражи приватных ключей не обнаружено. Криптоэксперт Артур Ратнер рассказал RTVI, как доступ к внутреннему сервису мог позволить выводить средства из нескольких кошельков.
Около $6,3 млрд вывели с кошельков Binance в результате атаки, которую аналитики TRM Labs связали с северокорейской группировкой TraderTraitor. Криптоэксперт Артур Ратнер рассказал RTVI, почему для такой кражи необязательно взламывать всю биржу, какие механизмы защиты могли дать сбой и можно ли вернуть деньги.
Атака началась вечером 29 октября. По подсчетам TRM Labs, злоумышленник вывел активы примерно на $6,36 млрд через десять блокчейн-сетей. Основная часть средств ушла приблизительно за 20 минут, отдельные переводы продолжались позднее. Аналитики называют произошедшее крупнейшей криптовалютной кражей за всю историю наблюдений.
Для операции такого масштаба не обязательно получать контроль над всеми системами площадки, объяснил Ратнер. Достаточно добраться до инфраструктуры, которая разрешает движение средств.
«Для вывода таких сумм необязательно взламывать всю биржу. Если злоумышленник получает контроль над системой, которая авторизует и подписывает транзакции, он потенциально может выводить средства из нескольких кошельков, не похищая приватные ключи напрямую», — рассказал эксперт RTVI.
Предварительная версия самой Binance указывает на взлом ноутбука инженера DevOps — специалиста, работающего с программной инфраструктурой. Через него атакующий мог получить доступ к внутреннему сервису и отправлять несанкционированные запросы на вывод средств. Признаков утечки приватных ключей биржа, по ее заявлению, не обнаружила.
Ратнер считает, что в таком случае слабым звеном могла стать система управления операциями с активами.
Один из главных вопросов — почему защита позволила провести переводы на миллиарды долларов. По мнению эксперта, у крупной площадки должны быть ограничения по объему операций, дополнительные проверки критических транзакций и разделение полномочий, при котором один доступ не дает возможности распоряжаться всеми средствами.
«Однако даже наличие таких механизмов не гарантирует защиту, если злоумышленник получает доступ к доверенному внутреннему сервису. Пока нет полного технического отчета, мы не можем точно сказать, какие именно защитные механизмы не сработали», — подчеркнул Ратнер.
Движение криптовалют позволяет восстановить лишь часть картины. В блокчейне видны адреса, суммы и последовательность переводов, но этих данных недостаточно, чтобы установить способ проникновения в инфраструктуру компании. Для этого, пояснил эксперт, нужны журналы доступа, сведения с устройств и результаты внутреннего расследования.
Часть активов удалось заблокировать. В обновлении от 30 октября Binance сообщила примерно о $3 млрд замороженных средств. Биржа пообещала покрыть все потери за счет защитного фонда SAFU и собственных денег.
В расчетах TRM Labs на 03:30 мск 30 октября фигурировали около $2,7 млрд замороженных активов. Отдельно аналитики оценили примерно в $2,4 млрд часть средств в биткоине и эфире, которую эмитенты токенов не могут заблокировать.
«Замороженные активы не обязательно уже возвращены бирже, а незамороженные не обязательно окончательно потеряны», — отметил Ратнер.
Ответственность за атаку TRM Labs с высокой уверенностью возлагает на TraderTraitor. В совместном предупреждении правоохранительных органов Японии и США эту северокорейскую группу описывали как часть Lazarus. В феврале 2025 года ФБР связало с деятельностью TraderTraitor другую крупную кражу — вывод примерно $1,5 млрд с биржи Bybit.
При этом вывод аналитиков об атаке на Binance нужно отделять от юридически установленной ответственности государства, подчеркнул собеседник RTVI.
«Аналитическая атрибуция и юридически доказанная ответственность государства — не одно и то же», — сказал Ратнер.
Практическими инструментами, по его словам, остаются выявление участников атаки, отслеживание переводов, блокировка доступных активов и пресечение каналов отмывания. Задержание подозреваемых значительно сложнее, если они находятся в стране, которая не сотрудничает со следствием.
«Безопасность криптобиржи — это не только защита приватных ключей. Необходимо защищать всю инфраструктуру, которая принимает решения о движении средств», — заключил эксперт.
Утром 30 октября Binance сообщила, что пополнение счетов работает, а вывод средств остается приостановленным на время усиления защиты. Компания рассчитывает возобновить его в течение 48 часов.
