Хакерська група TraderTraitor, яку пов’язують із Головним розвідувальним управлінням КНДР, опинилася в центрі масштабного розслідування після безпрецедентної атаки на найбільшу у світі криптобіржу Binance. За даними аналітичних компаній TRM Labs та Chainalysis, саме північнокорейські кіберзлочинці стоять за крадіжкою активів, сума яких, за попередніми оцінками, перевищує 5,5 мільярда доларів.
Експерти ґрунтують свої висновки на детальному аналізі ланцюжків транзакцій та специфічному «почерку» зловмисників. Зокрема, у звіті TRM Labs зазначається, що методи атаки ідентичні тим, які використовувалися під час лютневого злому біржі Bybit, де збитки склали 1,5 мільярда доларів. Зв’язок із Пхеньяном підтверджується і через механізми відмивання коштів: аналітики помітили змішування активів, викрадених з Binance, із коштами, отриманими під час вересневого інциденту на платформі Bitget.
## Анатомія злому: від ноутбука інженера до мільярдних транзакцій
Розслідування, проведене внутрішньою службою безпеки Binance, вказує на те, що «точкою входу» для хакерів став ноутбук одного з DevOps-інженерів компанії. Скомпрометувавши робочий пристрій, зловмисники змогли проникнути в ізольований сервісний контейнер. Це дозволило їм не просто викрасти ключі, а маніпулювати всією інфраструктурою підпису транзакцій.
Технічна підготовка до операції була надзвичайно ретельною. За півтори доби до основного удару хакери почали отримувати невеликі суми з міксера Tornado Cash на свої операційні гаманці, тестуючи код на різних мережах. Під час самої атаки зловмисники діяли блискавично: вони заздалегідь згенерували необхідні підписи та виконали їх масовим «залпом». Щоб гарантувати проходження транзакцій через лічильники гарячих гаманців, у мережі Ethereum було підготовлено 50 паралельних авторизацій.
Ідо Бен-Натан, керівник компанії Blockaid, підкреслює, що хакерам вдалося змусити систему безпеки Binance легітимізувати підписи одночасно в кількох блокчейнах. Найбільших втрат зазнали гаманці в мережах Ethereum, Bitcoin та Tron. Тільки з одного гарячого гаманця біржі зникло близько 1,6 мільярда USDT та понад 167 тисяч ETH. Характерно, що цього разу хакери відмовилися від використання кросчейн-мостів, віддавши перевагу миттєвій конвертації через великих маркетмейкерів та лендингові протоколи, що значно ускладнило оперативне заморожування активів.
## Економічна зброя Пхеньяна та історія експлуатацій
Діяльність TraderTraitor (також відомої в експертних колах як Lazarus Group або APT38) вже давно вийшла за межі звичайного кіберкриміналу. Для Північної Кореї викрадення криптовалюти стало стратегічним джерелом фінансування державних програм, зокрема розробки озброєння, в умовах жорстких міжнародних санкцій.
Нинішній рік став для північнокорейських хакерів рекордно «продуктивним». Окрім Binance, під удар потрапили платформи Drift (285 мільйонів доларів) та KelpDAO (292 мільйони доларів). Загальна сума здобичі кіберпідрозділів КНДР за останній рік, за оцінками аналітиків Elliptic, уже значно перевищила мільярдний поріг, а атака на Binance встановила новий, шокуючий антирекорд для всієї індустрії цифрових активів.
Історично TraderTraitor спеціалізується на складних методах соціальної інженерії. Вони часто використовують підроблені пропозиції про роботу або шкідливе програмне забезпечення, замасковане під професійний софт, щоб отримати доступ до внутрішніх мереж фінансових установ. Успіх атаки на Binance демонструє, що навіть найпотужніші системи захисту мають вразливу ланку — людський фактор та доступ до критичної інфраструктури через віддалені робочі місця технічного персоналу. Зараз блокчейн-спільнота та правоохоронні органи намагаються відстежити рух коштів, проте швидкість, з якою хакери інтегрували викрадене в децентралізовані фінансові протоколи, залишає мінімальні шанси на повне повернення активів.
