Хакерская группа TraderTraitor, которую связывают с Главным разведывательным управлением КНДР, оказалась в центре масштабного расследования после беспрецедентной атаки на крупнейшую в мире криптобиржу Binance. По данным аналитических компаний TRM Labs и Chainalysis, именно северокорейские киберпреступники стоят за кражей активов, сумма которых, по предварительным оценкам, превышает 5,5 миллиарда долларов.
Эксперты основывают свои выводы на детальном анализе цепочек транзакций и специфическом «почерке» злоумышленников. В частности, в отчете TRM Labs отмечается, что методы атаки идентичны тем, которые использовались во время февральского взлома биржи Bybit, где убытки составили 1,5 миллиарда долларов. Связь с Пхеньяном подтверждается и через механизмы отмывания средств: аналитики заметили смешивание активов, украденных с Binance, с деньгами, полученными во время сентябрьского инцидента на платформе Bitget.
## Анатомия взлома: от ноутбука инженера до миллиардных транзакций
Расследование, проведенное внутренней службой безопасности Binance, указывает на то, что «точкой входа» для хакеров стал ноутбук одного из DevOps-инженеров компании. Скомпрометировав рабочее устройство, злоумышленники смогли проникнуть в изолированный сервисный контейнер. Это позволило им не просто украсть ключи, а манипулировать всей инфраструктурой подписи транзакций.
Техническая подготовка к операции была чрезвычайно тщательной. За полтора дня до основного удара хакеры начали получать небольшие суммы с миксера Tornado Cash на свои операционные кошельки, тестируя код на различных сетях. Во время самой атаки злоумышленники действовали молниеносно: они заранее сгенерировали необходимые подписи и выполнили их массовым «залпом». Чтобы гарантировать прохождение транзакций через счетчики горячих кошельков, в сети Ethereum было подготовлено 50 параллельных авторизаций.
Идо Бен-Натан, руководитель компании Blockaid, подчеркивает, что хакерам удалось заставить систему безопасности Binance легитимизировать подписи одновременно в нескольких блокчейнах. Наибольших потерь понесли кошельки в сетях Ethereum, Bitcoin и Tron. Только из одного горячего кошелька биржи пропало около 1,6 миллиарда USDT и более 167 тысяч ETH. Характерно, что в этот раз хакеры отказались от использования кроссчейн-мостов, отдав предпочтение мгновенной конвертации через крупных маркетмейкеров и лендинговые протоколы, что значительно усложнило оперативное замораживание активов.
## Экономическое оружие Пхеньяна и история эксплуатации
Деятельность TraderTraitor (также известной в экспертных кругах как Lazarus Group или APT38) уже давно вышла за рамки обычного киберпреступления. Для Северной Кореи кража криптовалюты стала стратегическим источником финансирования государственных программ, в частности разработки вооружения, в условиях жестких международных санкций.
Настоящий год стал для северокорейских хакеров рекордно «продуктивным». Кроме Binance, под удар попали платформы Drift (285 миллионов долларов) и KelpDAO (292 миллиона долларов). Общая сумма добычи киберподразделений КНДР за последний год, по оценкам аналитиков Elliptic, уже значительно превысила миллиардный порог, а атака на Binance установила новый, шокирующий антирекорд для всей индустрии цифровых активов.
Исторически TraderTraitor специализируется на сложных методах социальной инженерии. Они часто используют поддельные предложения о работе или вредоносное программное обеспечение, замаскированное под профессиональный софт, чтобы получить доступ к внутренним сетям финансовых учреждений. Успех атаки на Binance демонстрирует, что даже самые мощные системы защиты имеют уязвимую ссылку — человеческий фактор и доступ к критической инфраструктуре через удаленные рабочие места технического персонала. Сейчас блокчейн-сообщество и правоохранительные органы пытаются отследить движение средств, однако скорость, с которой хакеры интегрировали украденное в децентрализованные финансовые протоколы, оставляет минимальные шансы на полное возвращение активов.
