Кибератака на криптовалютную биржу Binance может быть связана с северокорейской группировкой TraderTraitor. К такому предварительному выводу пришли специалисты TRM и Chainalysis, сопоставив данные о транзакциях в блокчейне с информацией о событиях за его пределами. Исследователи обнаружили, что похищенные у Binance средства смешивались с криптовалютой, украденной во время атаки на Bitget, которую ранее связывали с северокорейскими хакерами.
TraderTraitor в последние годы выделялась среди северокорейских кибергрупп уровнем подготовки и интересом к компаниям, работающим с криптовалютами и децентрализованными финансовыми сервисами. Федеральное бюро расследований США ранее возложило на нее ответственность за взлом биржи Bybit, в результате которого было похищено $1,5 млрд. По данным WIRED, подобные операции используются для получения средств в интересах находящегося под жесткими санкциями северокорейского режима.
Binance не стала отвечать изданию WIRED на вопрос о возможной причастности северокорейских хакеров. Компания заявила, что компенсирует все потери и сотрудничает с правоохранительными органами, чтобы установить виновных. «Наше первоначальное расследование показало, что инцидент с безопасностью мог быть связан с взломанным ноутбуком, однако последующая проверка выявила дополнительные точки проникновения», — говорится в заявлении Binance.
Эксперт компании Sophos Рэйф Пиллинг назвал участников TraderTraitor специалистами по проникновению в организации, связанные с децентрализованными финансами. По его словам, группировка ориентируется на крупные проекты и ранее создавала собственные поддельные приложения для доступа к внутренним системам. Представитель Elliptic Робинсон также отметил, что взлом ноутбука сотрудника соответствует характерному для TraderTraitor способу действий.
По оценке Робинсона, злоумышленники заранее отрабатывали атаку, а для пополнения своего криптовалютного кошелька использовали Tornado Cash — сервис для сокрытия происхождения транзакций. Chainalysis сообщила о необычных схемах отмывания средств и тысячах быстрых переводов, которые, вероятно, выполняются автоматически для запутывания следов. Вскоре после атаки было заморожено около $3 млрд в криптовалюте.
При этом заблокирована лишь часть похищенных активов. По данным Elliptic, криптовалютные компании и биржи заморозили примерно $2,8 млрд, или около 44% общей суммы, причем почти все эти средства представлены стейблкоинами — криптовалютами, привязанными к стабильным активам. Оставшиеся $3,3 млрд в основном приходятся на биткоин, эфир и XRP, которые нельзя заморозить напрямую: их можно остановить только при поступлении на биржу или в другой сервис, сообщил WIRED Робинсон.