1,4 млрд долларов в биткойнах, похищенные КНДР при взломе Binance, нетронуты

Северокорейские хакеры стоят за кражей на 6,3 млрд долларов у Binance

В очередной раз Пхеньян обвиняется в организации кражи на сумму 6,3 млрд долларов с крупнейшей в мире криптовалютной биржи по объему торгов. Предварительное расследование Binance показало, что взлом произошел через ноутбук одного из инженеров-программистов, который был взломан. В результате этого взлома злоумышленники получили доступ к одному из внутренних сервисов биржи.

Однако последующие результаты криминалистической экспертизы выявили дополнительные скомпрометированные системы, что свидетельствует о гораздо более изощрённой операции, чем простое похищение учетных данных одного сотрудника. Ряд компаний, занимающихся анализом блокчейна, в том числе Chainalysis, Elliptic и TRM Labs, приписали кражу группе Tradertraitor; эта оценка была подтверждена 31 октября, когда ФБР определило, что за атакой стоит северокорейская хакерская группировка.

Tradertraitor тесно связан с группой «Лазарь» (Lazarus Group), действуя в качестве специализированной подгруппы, мотивированной финансовыми целями, а также являясь обозначением для связанных с ней вредоносных программ и кампаний кибершпионажа в рамках более широкого государственного хакерского аппарата Северной Кореи. Группа «Лазарус» исторически контролировала значительные запасы биткойнов, и последняя кража 18 270,2 BTC, по-видимому, ставит Северную Корею на третье место в мире среди государств-держателей этой криптовалюты.

Хотя ликвидация незаконно приобретенных биткойнов широко считается серьезной проблемой, Пхеньян неоднократно демонстрировал явную способность относительно легко конвертировать похищенные активы в доступные для использования средства.

Внутри истории кражи биткоинов, опустошившей 95% «горячего» кошелька Binance

Последнее ограбление Binance представляет собой особенно интригующую загадку, поскольку точный механизм извлечения биткойнов остается неясным. Украденные средства, стоимость которых в настоящее время оценивается в 1,4 млрд долларов, прошли через 11 отдельных переводов, прежде чем были распределены по кошелькам, содержащим различные суммы BTC.

В общей сложности средства в настоящее время находятся на 19 различных кошельках, при этом все транзакции подтверждены на высоте блока Bitcoin 973732. Похищенные средства поступили из «горячего» кошелька Binance с идентификатором bc1qm34lsc65zpw79lxes69zkqmk6ee3ewf0j77s3h, на котором в настоящее время остаётся примерно 5,495 BTC на сумму 426 000 долларов.

С момента своего создания в 2021 году этот исключительно активный адрес обработал поразительное количество входящих переводов — 16 517 012,48 BTC — и исходящих транзакций — 16 517 006,98 BTC. В июне 2022 года баланс кошелька составлял 138 000 BTC, и он поддерживал транзакционные связи с крупнейшими участниками отрасли, включая централизованные биржевые платформы (CEX), такие как Kraken, OKX, Bullish, Bybit, Coinbase и десятки других.

Адреса, предположительно связанные с Wintermute — алгоритмическим маркетмейкером криптовалютного рынка, — также взаимодействовали с этим кошельком 76 раз, причём сумма транзакций с биткойнами превысила 900 миллионов долларов. Когда хакерская группировка Tradertraitor взломала кошелек, в нём находилось примерно 19 200 BTC, и за менее чем 20 минут хакеры похитили почти 95 % его средств. Из 19 кошельков, приписываемых хакерам из Пхеньяна, 17 содержат ровно по 1 000 BTC каждый, а в остальных двух — 832,5 BTC и 437,7 BTC соответственно.

Украденные биткоины остаются нетронутыми, а история отмывания денег Северной Кореей вызывает вопросы

Пока что украденные биткоины остаются нетронутыми на этих адресах, хотя их нынешняя бездеятельность не гарантирует, что они останутся в таком состоянии навсегда. Разделение добычи привело к появлению большего количества выходов, за которыми необходимо следить, но не стёр их происхождение. Исследователи Onchain и компании, занимающиеся анализом блокчейна, несомненно, тщательно изучат эти биткоин-адреса, поскольку украденные BTC часто остаются без движения в течение длительных периодов перед своим окончательным перемещением, хотя такие задержки далеко не являются правилом.

Между тем, кошельки, которые Arkham Intelligence напрямую связывает с группой «Лазарь», в настоящее время содержат сравнительно скромные 23,38 BTC, что резко контрастирует с примерно 14 000 BTC, которыми они распоряжались в марте 2025 года. Это свидетельствует о том, что Северная Корея продемонстрировала значительную способность систематически распределять тысячи биткойнов и в конечном итоге находить способы ликвидации незаконных активов. Хотя в настоящее время ведется масштабная работа по возвращению украденных активов Binance, биткойн не предоставляет механизма для простого замораживания средств.

Неизменные правила биткоина заставляют следователей оставаться в ожидании

Эмитенты стейблкоинов могут блокировать активы с помощью ограничений, заложенных в контрактах на их токены, но у биткоина нет аналогичного центрального органа, способного вносить адреса в черный список или отменять подтвержденные транзакции. В результате следователи вынуждены выявлять потенциальные точки вмешательства, такие как биржи, брокеры или другие посредники, через которых в конечном итоге могут пройти похищенные средства. В качестве альтернативы получение контроля над соответствующими закрытыми ключами может стать способом изъятия биткойнов. Однако ни один из этих подходов не представляет собой административную отмену транзакции, зафиксированной в блокчейне Биткойна.

На данный момент прозрачный реестр обеспечивает подробный след доказательств, не предоставляя при этом контроля над самими активами. Следователи могут отслеживать каждое перемещение похищенных биткойнов, но сама по себе видимость не дает им полномочий на их перевод.