Binance е изправена пред най-големия обир на криптовалута – твърди се, че севернокорейска група е откраднала 6,36 милиарда долара

Съобщава се, че Binance е загубила приблизително 6,36 милиарда долара в криптовалута на 29 октомври 2026 г., след като атакуващ е източил портфейли в десет блокчейна.

TRM Labs определя инцидента като най-голямата кражба на криптовалута, регистрирана някога, като по-голямата част от откраднатите средства са били прехвърлени в рамките на около 20 минути след атаката.

Разследването приписва операцията на TraderTraitor – хакерска група, свързана със Северна Корея, известна с атаките си срещу криптоплатформи и финансови организации с цел кражба на цифрови активи.

Според TRM от Binance са потвърдили за инцидент със сигурността, временно са спрели тегленията в няколко мрежи и са заявили, че средствата на потребителите са в безопасност. Съобщената загуба надхвърля четири пъти кражбата на 1,5 милиарда долара от Bybit.

По-ранни доклади за разследването на многоетапната атака срещу Bybit обясняват как компрометирана инфраструктура е позволила друга мащабна кражба на криптовалута, въпреки че първоначалната точка на проникване в Binance остава неизвестна.

Binance е поразена от най-големия криптообир в историята

Изследователи от TRM идентифицираха злонамерена активност на тип договор за автоматично източване (sweeper contract), която е позволила на атакуващия многократно да източва горещ портфейл на Binance за Ethereum.

Публикуваният от тях анализ на хакерската атака срещу Binance описва вредоносен код в интелигентен договор, а не конкретно семейство зловреден софтуер за крайни устройства. TRM приписва операцията на TraderTraitor с висока степен на сигурност, позовавайки се на записи в блокчейна и разузнавателни данни, събрани извън него.

Подготовката е започнала поне 36 часа преди кражбата. Операторът е получил три малки тегления от Tornado Cash, започвайки на 28 октомври, след което е внедрил и тествал кода за атаката срещу няколко портфейла.

Финална репетиция е предшествала инсталирането на същия код върху горещ портфейл на Binance с приблизително четири часа, което предполага планирана операция, а не опортюнистичен трансфер.

Първата регистрирана кражба е извършена в XRP Ledger между 20:05 и 20:09 ч. UTC, когато пет портфейла на Binance са прехвърлили 233,46 милиона XRP.

Последвали са трансфери в мрежите на Solana и Optimism. В 20:20 ч. UTC горещ портфейл за Bitcoin е изпратил 18 270 BTC към атакуващия, който незабавно е разделил средствата на по-малки суми чрез верига за раздробяване (peel chain).

Активността в мрежата на Ethereum разкрива основната техническа характеристика на атаката: делегиране чрез EIP-7702. Този механизъм позволява на даден портфейл да упълномощи код на интелигентен договор да контролира неговото поведение.

В 20:20 ч. UTC операторът е подал 50 оторизации, подписани от портфейла на Binance, насочвайки го към контролиран от атакуващия договор за автоматично източване (sweeper). За разлика от документираните по-рано кампании на TraderTraitor за компрометиране на облачни среди, този доклад не установява как е бил получен първоначалният достъп.

Всяка оторизация е покривала последователен еднократен номер (nonce) – броячът, използван за проследяване на активността на портфейла. Подготовката на множество подписи е увеличила вероятността един от тях да съвпадне с текущия брояч на портфейла при изпълнение.

Един от тях е съвпаднал. Три минути и 24 секунди по-късно с еднократно източване са прехвърлени 167 464 ETH и 63 токена, включително 1,615 милиарда USDT.

Делегирането е останало активно, позволявайки още шест източвания при постъпването на нови депозити. Компрометираният портфейл е контролирал и изпълнението за друг интелигентен акаунт на Binance, което е позволило изтеглянето на 823 милиона USDC.

Междувременно портфейлите в други мрежи са генерирали обикновени подписани трансфери. Поради това TRM подозира компрометирана инфраструктура за подписване, а не фишинг инцидент с оторизация, ограничен само до Ethereum. В доклада се посочва, че Binance все още не е публикувала първопричината за инцидента.

Замразени средства, дейности по изпиране на пари и приоритети в защитата

TRM оценява откраднатите активи по цените им в момента на прехвърлянето, откъдето идва и оценката за 6,36 милиарда долара. На Ethereum се падат приблизително 3,79 милиарда долара, следван от Bitcoin с 1,47 милиарда долара и Tron с 628 милиона долара.

Цифрите отразяват наблюденията върху блокчейна до 00:30 ч. UTC на 30 октомври, което означава, че последващи движения или промени в цените биха могли да променят по-късните оценки.

Емитентите и екипите за реакция в мрежите са ограничили достъпа до приблизително 2,7 милиарда долара. Tether, Circle, Ripple и World Liberty Financial са замразили стейбълкойни, докато Съветът по сигурността на Arbitrum е премахнал 8426 ETH и 74,6 милиона ARB от контрола на атакуващия.

Тези действия са ограничили достъпа до средствата, но не означават, че активите са били върнати на Binance. Атакуващият също така е конвертирал приблизително 325 милиона USDT в около 122 300 ETH чрез маркетмейкъри и договори за търговия.

Друг портфейл е депозирал 60 милиона USDT в Aave и е взел назаем около 19 760 ETH. По-ранни разследвания на мрежите за изпиране на криптовалута на Lazarus показват защо проследяването на контрагентите е от значение, макар че тези констатации не трябва да се разглеждат като доказателство за участниците в настоящия инцидент.

TRM препоръчва проверка на депозитите и търговските контрагенти, известяване при неочаквани делегирания на портфейли и отхвърляне на неодобрени оторизации по EIP-7702.

Борсите трябва да разделят системите за подписване и пътищата за одобрение между отделните блокчейни и нива на портфейлите. Финансовите екипи се нуждаят и от тествани процедури за отмяна на права, тъй като злонамереното делегиране може да продължи да пренасочва входящи средства и след първоначалната кражба.

Индикатори за компрометиране (IoC):

Забележка: IP адресите и домейните са умишлено деактивирани (напр. [.]), за да се предотврати случайно разрешаване на имена или активиране на хипервръзки. Възстановявайте ги само в контролирани платформи за разузнаване на заплахи като MISP, VirusTotal или вашата SIEM система.