ФБР связало взлом Binance, в котором с биржи похитили около $6,36 млрд в криптоактивах, с северокорейской группировкой TraderTraitor. Деньги, по данным следствия, ушли примерно за 20 минут и были выведены через десять блокчейнов — это крупнейшая известная кража криптовалюты. Для команд, управляющих платежной и финансовой инфраструктурой, история неприятно проста: точкой входа оказался не экзотический zero-day, а скомпрометированный ноутбук DevOps-инженера.
Как сообщает BleepingComputer, американское ведомство считает TraderTraitor группой, действующей при поддержке властей КНДР. В индустрии ее также знают под именами Lazarus Group, Jade Sleet и APT38. ФБР заявило, что кража виртуальных активов произошла 29 октября 2026 года; ранее к той же группе атаку отнесли компании, анализирующие блокчейн-транзакции, TRM Labs и Chainalysis.
Один ноутбук — доступ к контейнеру и миллиардные выводы
Binance связала инцидент с заражением устройства сотрудника DevOps. Злоумышленники получили доступ к сервисному контейнеру и смогли отправить несанкционированные транзакции на вывод. Публично не раскрыто, какой именно контроль не сработал: ограничение привилегий, подтверждение критических операций, сегментация среды или мониторинг аномалий. Но уже известной цепочки достаточно, чтобы увидеть масштаб проблемы: компрометация рабочей станции превратилась в доступ к компоненту, способному распоряжаться активами пользователей.
После кражи атакующие, по наблюдениям ФБР, преимущественно конвертируют активы в Ethereum. Следующий ожидаемый этап — отмывание через DeFi-площадки и сервисы мгновенного обмена. Ведомство попросило криптобиржи, операторов блокчейнов и других поставщиков услуг виртуальных активов блокировать операции, связанные с адресами злоумышленников. В опубликованном списке — 628 адресов: 608 Ethereum-адресов, 19 Bitcoin-адресов и один адрес Solana.
Для рынка это не просто просьба поставить адреса в denylist. Крупная кража быстро распадается на множество транзакций и обменов между сетями, а попытка остановить их требует координации площадок с разными правилами комплаенса и скоростью реакции. Чем дольше адреса остаются активными, тем больше средств успевает пройти через пулы ликвидности, обменники и промежуточные кошельки. Необратимость блокчейн-транзакций здесь соседствует с вполне обычной операционной задачей: успеть заметить сигнал и применить ограничение раньше, чем деньги разъедутся по десяткам маршрутов.
Социнженерия остается главным «эксплойтом»
TraderTraitor давно охотится за криптокомпаниями и их сотрудниками. Одна из характерных схем — Operation DreamJob: злоумышленники выдают себя за рекрутеров, предлагают разработчикам и сотрудникам криптопроектов вакансию, а затем убеждают установить вредоносное ПО под видом тестового задания или рабочего материала. В атаке на японскую DMM Bitcoin в мае 2024 года, как указывало ФБР, сотрудника провайдера криптокошельков Ginco убедили выполнить вредоносный Python-код, замаскированный под предтрудовое тестирование.
Похожий паттерн прослеживался и в других эпизодах. В феврале 2025 года хакеры похитили $1,5 млрд у Bybit после компрометации компьютера разработчика Safe{Wallet}; это позволило подменить легитимный запрос на транзакцию. В апреле 2026 года атакующие в течение шести месяцев выстраивали отношения с участниками Drift, представляясь сотрудниками криптотрейдинговой компании и встречаясь с ними на отраслевых конференциях. Предположительно, устройства могли быть заражены через вредоносный репозиторий с кодом или приложение TestFlight. Это не серия несвязанных курьезов, а методичная работа по поиску человека, чьи доступы значат больше его должности в оргструктуре.
Для разработчиков и руководителей инженерных команд вывод практический. Ноутбук с доступом к CI/CD, облаку, секретам или production-контейнерам должен рассматриваться как элемент платежного контура, а не как просто рабочее место. Одних инструктажей о фишинге мало: нужны отдельные привилегированные учетные записи, короткоживущие креденшелы, аппаратная многофакторная аутентификация, ограничения на доступ из непривычного окружения и независимая верификация операций, которые двигают деньги. Особенно там, где один сервисный аккаунт способен инициировать вывод средств.
Binance сообщила, что готовится возобновить первый этап вывода средств 1 ноября с 06:00 до 09:00 UTC. Биржа утверждает, что покрыла около 95% затронутой суммы; оставшиеся 5% приходятся на менее ликвидные токены, которые она продолжает покупать на рынке и внебиржевых площадках. Также компания заявила о полном обеспечении балансов BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD и ZEC и пообещала не перекладывать потери на пользователей.
Финансовый ущерб в этой истории огромен, но ее главный вопрос не в размере резервов Binance. Сможет ли криптоиндустрия перестроить доступ к критическим операциям так, чтобы заражение одного устройства не давало путь к миллиардным выводам? Пока ответ на этот вопрос важнее любой очередной процедуры KYC: атакующие давно поняли, что проще взломать доверие и рабочий процесс, чем криптографию. Детали атрибуции и список связанных адресов приведены в публикации .
