Хакеры Binance восемь недель были внутри, а $3,1 млрд ещё не отмыто

Хакеры, связанные с КНДР, попали на устройство сотрудника Binance примерно за восемь недель до кражи на $6,3 млрд. К такому выводу пришла организация Security Alliance (SEAL) в отчёте от четверга. Пробиться удалось через ноутбуки инженеров, а не через код биржи.

Что именно показал отчёт SEAL?

SEAL оценила, что компьютер программиста Binance скомпрометировали в сентябре через фальшивое предложение работы. После первого проникновения злоумышленники могут месяцами двигаться внутри сети незаметно, и здесь они воспользовались именно этим. До самой кражи 29 октября прошло около восьми недель.

Сама Binance уточнила хронологию. По словам её представителя, первые устройства пострадали ещё в июне и сентябре, но к кошелькам злоумышленники не имели доступа до 20 октября. Так что восемь недель от SEAL описывают окно между сентябрём и октябрём, а не всю кампанию.

Как они дошли до кошельков?

Схему легко проследить по датам. Вот что рассказала биржа.

• Июнь: сотрудник скачал поддельный установщик Homebrew, когда ставил ИИ-инструмент для кодинга. Binance заметила инцидент и заменила устройство, но хакеры уже собрали данные о людях, которые работают с инфраструктурой кошельков.
• В сентябре заражённый компьютер получил инженер, которого атаковали через фальшивый набор на работу. SEAL нашла минимум четыре компании-прокладки, через которые КНДР вела такие кампании в 2026 году.
• 20 октября с этого компьютера и внутреннего ИИ-инструмента злоумышленники взяли под контроль устройства двух инженеров, отвечающих за кошельки.
• Там нашёлся токен разрешения на развёртывание. Его и использовали 29 октября.

Фальшивая вакансия, поддельный установщик, внутренний ИИ-инструмент. Криптографию никто не ломал. Хакеры воспользовались привычной рутиной разработчиков.

Это уникальный случай?

Нет, и в этом главная опасность. SEAL нашла похожий рисунок в нескольких громких кражах. Перед взломом Bitget на $388 млн нападавшие имели около шести недель доступа. До эксплойта Kelp DAO на $293 млн они примерно столько же сидели в LayerZero. Менее масштабный взлом AFX на $24 млн предшествовали примерно три недели.

Чем дольше хакеры ходят по сети, тем точнее знают, где лежит разрешение на перевод. ФБР в субботу назвало автором атаки группировку TraderTraitor из КНДР, а Ким Ё Чжон, сестра северокорейского лидера, обвинения отвергла.

Сколько украденного уже отмыли?

Меньше, чем можно было ожидать. По данным аналитиков Elliptic, на адресах воров до сих пор лежит около $3,11 млрд, преимущественно в Ethereum и Bitcoin. 18 270 BTC разбили на 19 адресов в день взлома, и с тех пор их не трогали. Девять крупнейших эфирных адресов с 89% украденного ETH молчат с 30 октября.

Отмывание уже идёт. Хакеры задействовали более 20 000 кошельков в 16 блокчейнах. Больше всего, около $220 млн в TRX, прошло через Tron: один кошелёк разослал 684,6 млн TRX на сотни новых адресов за 51 час, в том числе ночью по пхеньянскому времени. Все украденные SOL (примерно $87 млн) обменяли, перебросили мостами или смешали. Из XRP конвертировали около $50 млн, ещё $226 млн ждут своей очереди. Часть биткоинов появилась через THORChain, а 33 BTC прошли через коинджоины.

Что из этого выносит пользователь биржи?

Заморозка сработала. Эмитенты стейблкоинов, такие как Tether и Circle, блокировали токены в течение часа, и 44% добычи оказалось недоступным для хакеров. После взлома Bybit в феврале 2025 года заморозили около 3%.

Для тех, кто держит USDT на бирже и выводит его в гривну через P2P, вывод будничный. Не храните на бирже больше, чем нужно для ближайшей сделки, и не открывайте вакансии от неизвестных компаний на рабочем ноутбуке. Судя по отчёту, именно с этого эта история и началась.