TRM Labs i ZachXBT: atak hakerski na Binance to grupa Lazarus z KRLD

Śledczy wskazują na Pjongjang

W poszukiwaniach sprawcy ataku na Binance pojawił się główny podejrzany – firma analityczna TRM Labs przypisuje atak jednostce Tradertraitor (będącej częścią ekosystemu Lazarus), którą określiła jako elitarną jednostkę hakerską Korei Północnej. Firma doszła do tego wniosku z dużym prawdopodobieństwem na podstawie danych z łańcucha bloków i spoza niego, szacując wartość zrabowanych środków na około 6,36 mld dolarów w momencie kradzieży poszczególnych aktywów.

Niezależny śledczy ZachXBT doszedł do podobnego wniosku kilka godzin wcześniej, a zapytany o to, kto stoi za tym wyciekiem, odpowiedział:

„Prawdopodobnie jest to Grupa Lazarus (KRLD)”

Należy jednak zaznaczyć, że te wpisy nie potwierdzają automatycznie odpowiedzialności, a żaden rząd nie wskazał jeszcze oficjalnie sprawcy.

Ari Redbord, globalny dyrektor ds. polityki w TRM, powiedział stacji Al Jazeera, że atak ten jest bezprecedensowy i w przyszłości będzie postrzegany jako punkt zwrotny w historii kryptowalut, dodając:

„Kiedy Korea Północna dokonuje kradzieży na taką skalę, pieniądze te finansują rozprzestrzenianie broni i inne działania destabilizujące”.

Znany schemat działania, ale czterokrotnie większy

Zespół TRM uważa, że sposób przeprowadzenia ataku i charakterystyczne wzorce pasują do kradzieży z platformy Bybit z początku ubiegłego roku, za którą FBI obarczyło tę samą grupę, a także do włamania do Kelpdao w kwietniu 2026 roku. Firma analityczna Chainalysis zajmująca się analizą łańcucha bloków oszacowała z kolei, że skradziono około 5,912 mld dolarów, czyli prawie czterokrotnie więcej niż w przypadku Bybit.

Przygotowania były metodyczne – badacz łańcucha bloków 0xQuit odkrył, że relayer atakującego został sfinansowany trzema wypłatami z Tornade Cash po 0,1 ETH każda w ciągu poprzednich dwóch dni, a kontrakt delegata został wdrożony o godz. 15:59 UTC. Inny analityk stwierdził, że atakujący przećwiczył operację wyprowadzenia środków sześć godzin wcześniej na trzech nowych portfelach, wyprowadzając testowe kwoty różnych tokenów.

Rzeczywisty atak nastąpił o godz. 20:24 czasu UTC, kiedy to z portfela gorącego Binance 14 wyprowadzono 167 464 ETH. Serwis Bitcoin.com News opisał wczoraj szczegółowo, jak działała operacja delegowania portfela, a także w jaki sposób wstępne ustalenia samej platformy Binance wskazywały na laptopa inżyniera DevOps, który padł ofiarą ataku.

Media społecznościowe dodały do całej sytuacji szyderczy akcent – jeden z komentatorów stwierdził, że atakujący uruchomił memową monetę „LAZARUS” na platformie Pump.fun. Serwis Bitcoin.com News nie był w stanie zweryfikować, czy osoba odpowiedzialna za wdrożenie jest powiązana z portfelami hakera.

Gdzie trafiają pieniądze

W przeciwieństwie do platformy Bybit, gdzie skradzione środki przemieszczały się szybko między mostami, w tym przypadku pranie pieniędzy opierało się na dużych transakcjach. TRM podało, że atakujący sprzedał około 325 milionów USDT animatorom rynku za około 122 300 ETH z dyskontem wynoszącym ponad 10%. Poza tym pożyczył około 19 760 ETH na platformie Aave pod zastaw 60 milionów USDT.

Dzięki zamrożeniu środków udało się odzyskać znaczną część środków, a Binance podało, że łączna kwota zamrożonych środków osiągnęła około 3 miliardów dolarów. Mimo to TRM szacuje, że atakujący posiada ponad 420 000 ETH i 18 270 BTC, czyli około 2,4 mld USD poza zasięgiem emitentów, przy czym bitcoiny są przenoszone za pomocą łańcucha peel – metody prania pieniędzy polegającej na rozdzielaniu środków na długi ciąg mniejszych przelewów.

Onchain Lens poinformował, że grupa przenosiła ponad 1 mld USDT w ETH do nowych portfeli, prawdopodobnie w celu ich wymieszania. TRM spodziewa się, że kolejny etap będzie obejmował mosty międzyłańcuchowe, serwisy wymiany oraz brokerów pozagiełdowych (OTC).

Rekordowy rok pod względem kradzieży kryptowalut

Napad ten ma miejsce w roku, który serwis Defillama określa jako rok z największą liczbą włamań w historii kryptowalut – w 2026 r. skradziono dotychczas ponad 8 mld dolarów. Dla porównania, w 2025 r. cyberprzestępcy ukradli 2,87 mld dolarów w ramach prawie 150 incydentów.

Atak na Binance nastąpił również kilka godzin po tym, jak Polymarket wstrzymał handel z powodu innego luki w zabezpieczeniach, co pokazuje, na ilu frontach jednocześnie walczą zespoły ds. bezpieczeństwa.

Konsekwencje mogą być bezprecedensowe

TRM poinformowało, że ostrzega partnerów za pośrednictwem swojej sieci Beacon Network i wezwało giełdy do sprawdzania wpłat pod kątem adresów oznaczonych jako należące do atakujących. Jednocześnie Binance obiecało opublikować szczegółową analizę techniczną po zakończeniu wstępnego dochodzenia.

Kluczową kwestią jest teraz szybkość działania, ponieważ każda godzina, w której ETH i BTC atakującego pozostają niezmieszane, daje śledczym więcej czasu na zidentyfikowanie dróg ucieczki, podczas gdy dotychczasowe działania Korei Północnej sugerują, że grupa będzie próbowała spieniężyć środki za pośrednictwem biur OTC, zanim ślad ostygnie.