DOJ арештує $1,2 млрд із зламу Binance і закриває схему FaceStealer

Міністерство юстиції США отримало судовий дозвіл вилучити або заморозити понад $1,2 млрд із $6,3 млрд, викрадених у Binance 29 жовтня. Одночасно відомство розкрило окрему північнокорейську схему FaceStealer, яка за 18 місяців забрала в людей із крипто-індустрії понад $400 млн. Обидві історії ведуть до однієї хакерської мережі, тож розберемо, що саме сталося.

Що саме дозволив суд?

Дозвіл охоплює частину активів, до яких уже дотягнулися влада й партнери з приватного сектору. З початку інциденту вони заморозили понад $2,7 млрд, і понад $1,2 млрд із цієї суми тепер мають судову підставу для арешту або обмеження. За нашими підрахунками, приблизно $3,6 млрд із викраденого поки що ніхто не заморозив. Слідчі продовжують пошук.

ФБР у кіберпопередженні назвало авторами зламу північнокорейську групу TraderTraitor. Кім Ё Чжон, сестра лідера КНДР, причетність Пхеньяна заперечила. Сама Binance покрила постраждалі активи власними коштами, а новий знімок proof-of-reserves (звіт, що показує, чи вистачає біржі активів для всіх клієнтських балансів), за її дописом у X, підтвердив забезпечення щонайменше один до одного.

Різниця між "заморожено" і "арештовано" суттєва. Заморожування зупиняє рух коштів на конкретних адресах, наприклад коли біржа чи емітент стейблкоїна блокує токени. Судова підстава для вилучення дає державі право забрати ці активи остаточно, але лише тоді, коли вони справді під контролем.

Як працює схема FaceStealer?

Щоб зрозуміти, у чому суть, варто почати з довіри. Хакери не ламають код, вони користуються звичкою вірити знайомому обличчю на екрані. За даними DOJ, вони таємно записували відео попередніх жертв і робили діпфейки (відео чи голос, згенеровані ШІ, що імітують реальну людину) відомих людей із крипто-світу.

• жертву запрошують на відеорозмову, де їй показують когось знайомого або відомого.
• На екрані з'являється записане відео чи діпфейк, який виглядає і звучить правдоподібно.
• У розмові виникає нібито технічна проблема, для якої є швидке виправлення.
• Виправлення виявляється шкідливою програмою, і хакери отримують доступ до пристрою.

Мішенню були люди, які працюють у крипто та Web3. Дедалі частіше хакери переключалися на розробників відкритого коду й мейнтейнерів (тих, хто підтримує популярні програмні проєкти). Через їхні пристрої та акаунти в репозиторіях можна дістатися до чужого програмного забезпечення.

Це пояснює, чому жертви часто не помічали підміни. Голос, міміка й навіть манера говорити збігалися з тим, що вони бачили раніше, а прохання виглядало буденним, мовляв, щось не працює і зараз усе поправимо. Саме буденність і робить схему небезпечною.

Що забрало ФБР?

DOJ вилучило хмарну інфраструктуру, на якій трималася кампанія. За федеральним ордером бюро також отримало понад 900 відео з вебкамер жертв. Хакери записували їх під час дзвінків, а потім використовували як сировину для нових підробок, тож матеріал одних жертв допомагав обманути наступних.

ФБР опублікувало публічну пораду про захист і про дії після компрометації. Групу, що стоїть за схемою, у звітах називають Sapphire Sleet, UNC1069, Dangerous Password, CryptoCore, APT38, BlueNoroff і Stardust Chollima. Сім назв, а мережа, за версією DOJ, одна.

У листопаді 2025 року відомство вже брало на приціл близько $15 млн, пов'язаних з APT38. Тоді йшлося про мільйони, тепер про мільярд.

Чому арешт ще не означає повернення?

У переказах повідомлення DOJ, які ми бачили, немає жодного слова про те, кому і коли повернуть вилучене. Поки що є три різні цифри. Викрадено $6,3 млрд, заморожено понад $2,7 млрд, судову підставу для вилучення мають понад $1,2 млрд. Плутати їх не варто.

Для клієнтів Binance історія вже закрита, бо біржа заявила, що покрила збитки власними коштами. Раніше компанія розповіла, що хакери зайшли через фальшиві співбесіди та внутрішній ШІ-інструмент. Тобто й там ішлося про обман людини, а не про злам протоколу.

Що робити користувачам і чого чекати від ринку

Ринок на цю новину майже не реагує. Біткоїн коштує близько $69 400 після падіння майже на 5% за добу, і, за CoinDesk та Cointelegraph, тиск створюють гаряча інфляція в США та ставки ФРС. Ethereum торгується біля $1 960. Арешт активів міняє картину безпеки галузі, а не ціну.

Для українських користувачів, які купують і продають USDT через біржі та P2P, прямого ефекту немає: курси в обмінниках від цієї новини не змінилися. Але вимога перевіряти людину поза дзвінком стосується всіх, хто веде справи з крипто дистанційно.

Якщо на відеодзвінку вас просять щось встановити, зупиніться й перевірте співрозмовника іншим каналом. Знайоме обличчя на екрані ще не доказ. Інструкцію ФБР варто прочитати всім, хто працює з гаманцями чи кодом.