TRM Labs и ZachXBT обвинили северокорейскую «Лазарус» во взломе Binance

Следователи указывают на Пхеньян

В розыске злоумышленника, совершившего атаку на Binance, появился главный подозреваемый: компания TRM Labs, занимающаяся аналитикой блокчейна, приписала атаку подразделению Tradertraitor (входящему в экосистему Lazarus), которое она назвала элитным хакерским подразделением Северной Кореи. Компания пришла к этому выводу с высокой степенью уверенности на основе данных, полученных как внутри цепочки блоков, так и за её пределами, оценив сумму похищенных средств в 6,36 млрд долларов на момент изъятия каждого актива.

Независимый исследователь ZachXBT пришёл к аналогичному выводу несколькими часами ранее, и когда его спросили, кто стоит за этим похищением, он ответил:

«Скорее всего, это группа Lazarus (КНДР)»

Тем не менее, эти публикации не являются автоматическим подтверждением ответственности, и пока ни одно правительство официально не назвало виновного.

Ари Редборд, глобальный руководитель по вопросам политики TRM, заявил Al Jazeera, что эта атака не имеет прецедентов и впоследствии будет рассматриваться как переломный момент в истории криптовалют, добавив:

«Когда Северная Корея совершает кражу такого масштаба, эти деньги идут на финансирование распространения оружия и других дестабилизирующих действий».

Известный сценарий, но в четыре раза масштабнее

Команда TRM считает, что схема проведения и характерные признаки соответствуют краже на бирже Bybit в начале прошлого года, которую ФБР приписало той же группе, а также взлому Kelpdao в апреле 2026 года. Компания Chainalysis, занимающаяся аналитикой блокчейна, отдельно оценила сумму похищенных средств примерно в 5,912 млрд долларов, что почти в четыре раза превышает сумму кражи на Bybit.

Подготовка велась методично: исследователь блокчейна 0xQuit обнаружил, что ретранслятор злоумышленника был пополнен тремя выводами средств из Tornade Cash по 0,1 ETH каждый за предыдущие два дня, а контракт делегата был развернут в 15:59 UTC. Другой аналитик отметил, что злоумышленник отрепетировал операцию по выводу средств за шесть часов до этого на трёх новых кошельках, перечисляя пробные суммы в различных токенах.

Настоящая атака произошла в 20:24 UTC, когда 167 464 ETH были выведены из горячего кошелька Binance 14. Вчера Bitcoin.com News подробно рассказал о том, как работала схема с делегированием кошельков, а также о том, как первоначальные выводы самой Binance указывали на взломанный ноутбук инженера DevOps.

Социальные сети добавили ироничный поворот всей истории: один из комментаторов заявил, что злоумышленник запустил мем-монету «LAZARUS» на платформе Pump.fun. Bitcoin.com News не удалось подтвердить, что создатель этой монеты связан с кошельками хакера.

Куда уходят деньги

В отличие от Bybit, где похищенные средства быстро перемещались через мосты, в данном случае отмывание средств осуществлялось посредством крупных сделок. TRM сообщила, что злоумышленник продал около 325 млн USDT маркет-мейкерам за примерно 122 300 ETH с дисконтом более 10%. Кроме того, он взял в кредит около 19 760 ETH на Aave под залог 60 миллионов USDT.

Благодаря заморозкам удалось вернуть значительную часть средств, и, по данным Binance, общая сумма замороженных средств достигла примерно 3 миллиардов долларов. Тем не менее, по оценкам TRM, у злоумышленника остаётся более 420 000 ETH и 18 270 BTC — около 2,4 млрд долларов, недоступных для эмитентов, причём биткоины перемещаются через «peel chain» — метод отмывания, при котором средства разбиваются на длинную цепочку мелких переводов.

Onchain Lens сообщил, что группа перемещала более 1 миллиарда долларов в ETH на новые кошельки, вероятно, перед смешиванием. TRM ожидает, что следующий этап будет связан с межсетевыми мостами, сервисами обмена и внебиржевыми (OTC) брокерами.

Рекордный год для краж криптовалюты

Это ограбление произошло в том, что Defillama называет самым «взломанным» годом в истории криптовалют: в 2026 году на данный момент похищено более 8 млрд долларов. Для сравнения: в 2025 году киберпреступники похитили 2,87 млрд долларов в ходе почти 150 инцидентов.

Атака на Binance произошла также через несколько часов после того, как Polymarket приостановила торги из-за другого уязвимого места, что показывает, на скольких фронтах одновременно ведут борьбу команды по безопасности.

Последствия могут быть беспрецедентными

TRM сообщила, что оповещает партнеров через свою сеть Beacon Network и призвала биржи проверять поступления на наличие адресов, связанных с злоумышленниками. В то же время Binance пообещала опубликовать подробный технический отчет по итогам инцидента после завершения предварительного расследования.

Ключевым вопросом сейчас является скорость, поскольку каждый час, в течение которого ETH и BTC злоумышленника остаются неперемешанными, даёт следователям больше времени для выявления путей вывода средств, в то время как опыт Северной Кореи показывает, что группа попытается обналичить средства через внебиржевые отделы, пока след не остыл.