Федеральное бюро расследований США (ФБР) официально приписало кражу виртуальных активов на сумму более 6 миллиардов долларов с Binance ТрейдерПредательэлитная хакерская группа, связанная с Северной Кореей, также отслеживается как Jade Sleet, Pressure Chollima, PUKCHONG, Slow Pisces и UNC4899.
ФБР вместе с Секретной службой США (USSS) и Службой уголовных расследований Службы внутренних доходов (IRS-CI) заявило, что наблюдало, как злоумышленник конвертировал украденные активы в основном в Ethereum (ETH).
«Ожидается, что эти активы затем будут подвергаться дальнейшему отмыванию путем их конвертации с использованием DeFi и сервисов мгновенного обмена, поскольку они подготавливают их к дальнейшим этапам отмывания», — говорится в заявлении ФБР.
Агентство также предоставило список адресов кошельков, которые, как утверждается, злоумышленники используют для отмывания украденных активов.
Это произошло после того, как Binance заявила, что возобновила первую фазу вывода средств, начиная сегодня с 6 до 9 утра по всемирному координированному времени, после того, как они были приостановлены после инцидента.
«После инцидента наши команды приняли меры предосторожности для защиты платформы, провели оценку безопасности и работали над проверкой готовности затронутых сервисов», — говорится в заявлении Binance.
«Мы стремимся постепенно восстанавливать снятие средств по мере завершения проверок безопасности и готовности. Депозитные услуги остаются открытыми, и инцидент не затрагивает их».
Эта кража превосходит 1,46 миллиарда долларов, украденных у Bybit в феврале 2025 года, что делает ее крупнейшей кражей криптовалюты в истории. Средства были украдены через 11 блокчейнов, 82% из которых находились на Ethereum и Bitcoin.
«Этот единственный инцидент почти вдвое увеличивает общее количество криптоактивов, украденных режимом», — заявила аналитическая фирма по блокчейну Elliptic. «Считается, что за последние годы субъекты, связанные с Северной Кореей, официально — Корейской Народно-Демократической Республикой (КНДР), украли криптоактивы на сумму более 6,5 миллиардов долларов».
Из $6,43 млрд, украденных TraderTraitor, $2,85 млрд активов были заморожены в цепочке Tether, Circle, Ripple, Arbitrum и Optimism.
TraderTraitor — это имя, присвоенное северокорейской группе, которая имеет опыт организации краж криптовалюты в индустрии Web3.0, обманом заставляя жертв загружать приложения, содержащие вредоносное ПО. Известно, что кластер активен как минимум с 2020 года.
В последние годы злоумышленнику приписывают кражу криптовалюты, нацеленную на DMM Bitcoin, Bybit, KelpDAO и Bitget.
Отчеты SentinelOne, Zscaler ThreatLabz и Microsoft показали, что TraderTraitor продолжает оттачивать свое профессиональное мастерство, используя зараженных троянами поставщиков Terraform в качестве вектора распространения вредоносного ПО и привлекая подставные компании для проведения целенаправленных нападений на лиц, занимающихся кибербезопасностью, искусственным интеллектом, блокчейном и компаниями по подбору талантов.
Отравленный провайдер Terraform используется для доставки загрузчика Bash, который выбирает и загружает вредоносное ПО, адаптированное к операционной системе жертвы. Сюда входит кросс-платформенный имплант под названием FLATROOF, который перекачивает конфиденциальные данные жертвы с помощью похитителя информации на основе Python, прежде чем в конечном итоге отключить бэкдор ROOFDECK для получения полного удаленного управления.
Эта деятельность еще раз демонстрирует, как северокорейские злоумышленники продолжают злоупотреблять рабочими процессами доверенных разработчиков через зараженных троянами поставщиков Terraform для доставки кроссплатформенного вредоносного ПО в системы macOS, Linux и Windows и получения постоянного доступа.
Методика работы TraderTraitor, как и другие кампании, связанные с Северной Кореей, такие как «Операция «Работа мечты» Lazarus Group и «Заразительное интервью» знаменитого Чоллимы, использует приманки на тему вербовки в качестве предлога, чтобы убедить жертв запустить вредоносный код. Фаза социальной инженерии дополняется использованием искусственного интеллекта (ИИ) для создания убедительных приманок, создания фальшивых персонажей и уклонения от обнаружения.
«Актер использовал специальные домены, профили в социальных сетях и отраслевые знания, чтобы выдавать себя за рекрутеров для поддельной разведывательной компании, работающей на основе искусственного интеллекта, используя возможности инженера-программиста, чтобы инициировать контакты и планировать собеседования с людьми, которые участвовали в работе по информированию», — заявили в Microsoft.
«В течение этого короткого периода времени Джейд Слит провела аналогичный таргетинг по тематике должностей, используя две дополнительные подставные компании, поддерживаемые сопоставимой инфраструктурой и соответствующими знаниями в предметной области».
Обновлять
Binance заявила, что возобновила вывод средств во всех 15 сетях после того, как начала поэтапное восстановление вывода средств в 6 утра по всемирному координированному времени 1 ноября 2026 года после рекордного ограбления криптовалюты.
«Между 06:00 и 15:30 UTC 1 ноября мы обработали вывод средств на сумму 4,649 миллиарда долларов и депозиты на 1,01 миллиарда долларов, в результате чего чистый отток составил примерно 3,64 миллиарда долларов», — говорится в сообщении Binance. «Наша команда продолжает тщательно тестировать оставшиеся сети и активы».
