Взлом Binance: TRM и Chainalysis связали кражу $6,4 млрд с КНДР

Две компании блокчейн-аналитики назвали одного и того же исполнителя взлома Binance. TRM Labs «с высокой уверенностью» приписывает кражу примерно $6,36 млрд группе TraderTraitor из КНДР — той самой, которую ФБР обвинило во взломе Bybit на $1,5 млрд в феврале 2025 года.

Chainalysis оценивает кражу примерно в $6,4 млрд и приходит к тому же выводу, сообщил Decrypt 30 октября. КНДР прежде отрицала обвинения во взломах.

Доказательства

Главный довод Chainalysis — деньги, которые движутся вместе. Компания видела, как украденные у Binance средства в реальном времени смешивались с добычей от взлома Bitget, который расследователи уже связывали с северокорейскими хакерами.

TRM добавляет ещё два признака: рабочий кошелёк атакующего пополнили через Tornado Cash, а подготовка началась задолго до кражи. Оба совпадают со взломом Bybit и апрельским взломом KelpDAO.

Сингапурская Pangolin Intelligence сказала CNN, что пришла к тому же выводу по ончейн-данным. Elliptic осторожнее: пересечение со средствами Bitget маленькое, около $39 тыс., а на вопрос, кто взломал Binance, ни одно правительство пока официально не ответило.

Как ушли деньги

В Ethereum атакующий использовал делегирование EIP-7702, функцию из обновления Pectra, и превратил горячий кошелёк Binance в «пылесос» с 50 заранее подписанными разрешениями. В остальных девяти сетях кошельки Binance отправляли средства обычными подписанными переводами.

TRM считает это признаком взлома системы подписи горячих кошельков Binance. Сама биржа говорит, что взлом начался с ноутбука инженера, а потом нашлись «дополнительные точки проникновения». Атака на Bybit тоже началась с одного взломанного компьютера.

Большая часть денег ушла примерно за 20 минут, начиная с 20:05 UTC 29 октября, через 10 блокчейнов по подсчёту TRM. Chainalysis описывает «никогда прежде не виданные схемы отмывания»: тысячи транзакций за короткое время, что указывает на автоматизацию.

По данным TRM, атакующий продавал USDT маркетмейкерам и занимал ETH под залог USDT в Aave, чтобы успеть до заморозки со стороны эмитентов.

“Мы переживём этот шторм”

— Binance, 30 октября 2026 года, в цитате Decrypt · decrypt.co

Что делает Binance

Binance отложила больше $6,34 млрд собственных средств, чтобы покрыть потери клиентов. Около $5 млрд из них уже лежат в тех же токенах, что были украдены, остальное биржа докупает на рынке и через OTC-сделки.

Что уже заморожено:

• около $2,67 млрд в стейблкоинах заморозили Tether, Circle, Ripple и World Liberty Financial;
• Совет безопасности Arbitrum заблокировал 8426 ETH и 74,6 млн ARB;
• всего, по оценке Binance, заморожено около $3 млрд.

Накануне взлома Минфин США ввёл санкции против 10 человек и одной организации за схемы с северокорейскими IT-работниками, через которые прошли миллионы в криптовалюте. А в августе 2025 года глава безопасности Binance Джимми Су говорил Decrypt, что северокорейцы каждый день пытаются устроиться в Binance на работу.

Наш подсчёт

• у атакующего всё ещё около 420 000 ETH и 18 270 BTC. По ценам утра пятницы это примерно $0,93 млрд в эфире и $1,4 млрд в биткоине — близко к оценке TRM в $2,4 млрд, недоступных для заморозки;
• резерв Binance в $6,34 млрд покрывает 99% оценки Chainalysis в $6,4 млрд;
• 79% резерва уже лежали в украденных токенах, так что докупить биржа должна лишь около $1,3 млрд;
• кража примерно в четыре раза больше рекорда Bybit.

Если ваши средства лежат на крупной бирже, смотрите на ту цепочку, которую описывает TRM: компьютер одного инженера, затем система подписи. Спросите свою биржу, требуют ли выводы из горячих кошельков подтверждения с разных устройств.

Новость носит информационный характер и не является инвестиционной рекомендацией. Атрибуция — TRM Labs и Chainalysis в изложении Decrypt. КНДР прежде отрицала подобные обвинения, ни одно правительство атрибуцию не подтвердило.