DOJ арестовывает $1,2 млрд из взлома Binance и закрывает схему FaceStealer

Министерство юстиции США получило судебное разрешение изъять или заморозить более $1,2 млрд из $6,3 млрд, похищенных у Binance 29 октября. Одновременно ведомство раскрыло отдельную северокорейскую схему FaceStealer, которая за 18 месяцев забрала у людей из крипто-индустрии более $400 млн. Обе истории ведут к одной хакерской сети, так что разберём, что именно произошло.

Что именно разрешил суд?

Разрешение охватывает часть активов, до которых уже дотянулись власти и партнёры из частного сектора. С начала инцидента они заморозили более $2,7 млрд, и более $1,2 млрд из этой суммы теперь имеют судебное основание для ареста или ограничения. По нашим подсчётам, примерно $3,6 млрд из похищенного пока никто не заморозил. Следователи продолжают поиск.

ФБР в киберпредупреждении назвало авторами взлома северокорейскую группу TraderTraitor. Ким Ё Чжон, сестра лидера КНДР, причастность Пхеньяна отрицает. Сама Binance покрыла пострадавшие активы собственными средствами, а новый снимок proof-of-reserves (отчёт, который показывает, хватает ли бирже активов для всех клиентских балансов), по её посту в X, подтвердил обеспечение минимум один к одному.

Разница между "заморожено" и "арестовано" существенна. Заморозка останавливает движение средств на конкретных адресах, например когда биржа или эмитент стейблкоина блокирует токены. Судебное основание для изъятия даёт государству право забрать эти активы окончательно, но только когда они действительно под контролем.

Как работает схема FaceStealer?

Чтобы понять суть, стоит начать с доверия. Хакеры не ломают код, они пользуются привычкой верить знакомому лицу на экране. По данным DOJ, они тайно записывали видео прошлых жертв и делали дипфейки (видео или голос, сгенерированные ИИ и имитирующие реального человека) известных людей из крипто-мира.

• жертву приглашают на видеоразговор, где ей показывают кого-то знакомого или известного.
• На экране появляется записанное видео или дипфейк, который выглядит и звучит правдоподобно.
• В разговоре возникает якобы техническая проблема, для которой есть быстрое исправление.
• Исправление оказывается вредоносной программой, и хакеры получают доступ к устройству.

Мишенью были люди, работающие в крипто и Web3. Всё чаще хакеры переключались на разработчиков открытого кода и мейнтейнеров (тех, кто поддерживает популярные программные проекты). Через их устройства и аккаунты в репозиториях можно добраться до чужого программного обеспечения.

Это объясняет, почему жертвы часто не замечали подмены. Голос, мимика и даже манера говорить совпадали с тем, что они видели раньше, а просьба выглядела будничной, мол, что-то не работает и сейчас всё поправим. Именно будничность и делает схему опасной.

Что забрало ФБР?

DOJ изъяло облачную инфраструктуру, на которой держалась кампания. По федеральному ордеру бюро также получило более 900 видео с веб-камер жертв. Хакеры записывали их во время звонков, а затем использовали как сырьё для новых подделок, так что материал одних жертв помогал обмануть следующих.

ФБР опубликовало публичный совет о защите и о действиях после компрометации. Группу, стоящую за схемой, в отчётах называют Sapphire Sleet, UNC1069, Dangerous Password, CryptoCore, APT38, BlueNoroff и Stardust Chollima. Семь названий, а сеть, по версии DOJ, одна.

В ноябре 2025 года ведомство уже целилось в примерно $15 млн, связанные с APT38. Тогда речь шла о миллионах, теперь о миллиарде.

Почему арест ещё не означает возврат?

В пересказах сообщения DOJ, которые мы видели, нет ни слова о том, кому и когда вернут изъятое. Пока есть три разные цифры. Похищено $6,3 млрд, заморожено более $2,7 млрд, судебное основание для изъятия имеют более $1,2 млрд. Путать их не стоит.

Для клиентов Binance история уже закрыта, потому что биржа заявила, что покрыла убытки собственными средствами. Ранее компания рассказала, что хакеры зашли через фальшивые собеседования и внутренний ИИ-инструмент. То есть и там речь шла об обмане человека, а не о взломе протокола.

Что делать пользователям и чего ждать от рынка

Рынок на эту новость почти не реагирует. Биткоин стоит около $69 400 после падения почти на 5% за сутки, и, по данным CoinDesk и Cointelegraph, давление создают горячая инфляция в США и ставки ФРС. Ethereum торгуется около $1 960. Арест активов меняет картину безопасности отрасли, а не цену.

Для украинских пользователей, которые покупают и продают USDT через биржи и P2P, прямого эффекта нет: курсы в обменниках от этой новости не изменились. Но требование проверять человека вне звонка касается всех, кто ведёт дела с крипто дистанционно.

Если на видеозвонке вас просят что-то установить, остановитесь и проверьте собеседника по другому каналу. Знакомое лицо на экране ещё не доказательство. Инструкцию ФБР стоит прочитать всем, кто работает с кошельками или кодом.