Взлом биржи Binance провела северокорейская группировка TraderTraitor — подразделение Lazarus Group, заявило Федеральное бюро расследований США (ФБР). Ведомство опубликовало сотни связанных с атакой криптовалютных адресов и призвало участников индустрии блокировать проходящие через них транзакции.
В ходе атаки 29 октября злоумышенники вывели с платформы цифровые активы на сумму более $6 млрд. ФБР отслеживает движение средств вместе с Секретной службой и отделом уголовных расследований Налогового управления Соединенных Штатов.
Правоохранители установили, что хакеры переводили похищенное в основном в Ethereum. По их оценке, затем киберпреступники попытаются скрыть происхождение активов с помощью DeFi-приложений.
Чтобы помешать этому, ФБР опубликовало более 600 адресов Ethereum, 19 биткоин-кошельков и один адрес Solana, на которых хранилась или до сих пор хранится украденная криптовалюта.
Операторов узлов THORChain, поставщиков RPC-инфраструктуры, децентрализованные протоколы, сервисы мгновенного обмена и аналитические компании попросили блокировать транзакции с этими адресами и активами, которые с них поступили.
При этом речь идет о мерах против отмывания, а не о технической возможности принудительно заморозить любую криптовалюту на уровне блокчейна.
Аналитики обнаружили связь со взломом Bitget
Chainalysis связала атаку на Binance с TraderTraitor еще 30 октября. Cпециалисты заметили, что похищенные средства смешивались в блокчейне с активами из сентябрьского взлома Bitget, который ранее приписали северокорейским хакерам.
По оценке компании, несанкционированные переводы с горячих кошельков Binance в нескольких блокчейнах в сумме составили около $6,4 млрд. Схема зависела от сети.
В Ethereum злоумышленники использовали действительные подписанные разрешения, которые позволили им запускать собственный код через кошелек биржи. В других сетях часть переводов выглядела как обычные подписанные транзакции.
Вскоре после начала атаки хакеры попытались обменять $500 млн в стейблкоинах на активы, которые эмитент не может заблокировать. За 20 минут они успели конвертировать $325 млн в ETH стоимостью около $285 млн. По данным Chainalysis, первые заморозки, начались к 17:14 по восточному времени США 29 октября.
Дальнейшее движение средств указывало на автоматизированное отмывание. Злоумышленники провели тысячи операций между многочисленными адресами и неоднократно возвращали активы на уже использованные кошельки.
В Tron прослеживалась характерная последовательность: новый адрес сначала получал ровно 1 TRX, затем дополнительные средства, которые потом уходили дальше.
Глава Chainalysis Джонатан Левин допустил, что в ближайшие недели число задействованных в отмывании адресов может вырастет до десятков тысяч.
Binance закрыла 95% дефицита резервов
Тем временем Binance сообщила, что к 1 ноября закрыла около 95% дефицита, образовавшегося после взлома. Днем ранее показатель составлял 90%.
По заявлению биржи, клиентские средства в BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD и ZEC уже полностью обеспечены резервами. Оставшиеся 5% приходятся на менее ликвидные токены — компания продолжила докупать их на открытом рынке и через внебиржевые сделки.
Деньги на это Binance взяла из части SAFU и страхового фонда фьючерсного рынка, а также из корпоративных резервов. Позже компания намерена вернуть фонд к уровню около $1 млрд.
Биржа также сделала новый снимок резервов на 31 октября. К 3 ноября она планирует опубликовать полное криптографическое подтверждение того, что клиентские активы обеспечены.
Восстановление резервов не означает, что похищенную криптовалюту удалось вернуть. Ранее Binance сообщила, что при содействии отраслевых партнеров заморозила около $3 млрд.
Вывод средств платформа запланировала возобновить поэтапно: 1 ноября с 06:00 до 09:00 UTC. На первом этапе он станет доступен для основных криптовалют в 15 сетях, включая биткоин, Ethereum, Solana, Tron и BNB Chain. Прием депозитов работает в штатном режиме.
Напомним, взлом Binance поднял вопрос о двойных стандартах при заморозке украденной криптовалюты.