1,4 млрд доларів у біткойнах КНДР після хакерської атаки на Binance недоторкані

Північнокорейські хакери стоять за крадіжкою на суму 6,3 млрд доларів з Binance

Вкотре Пхеньян звинувачують у організації крадіжки на суму 6,3 млрд доларів з найбільшої у світі криптовалютної біржі за обсягом торгів. Попереднє розслідування Binance показало, що вторгнення відбулося через ноутбук інженера-програміста, який потрапив під контроль зловмисників. Цей пролом згодом надав зловмисникам точку входу в одну з внутрішніх служб біржі.

Однак подальші результати криміналістичної експертизи виявили додаткові зламані системи, що вказує на набагато більш складну операцію, ніж проста крадіжка облікових даних одного співробітника. Кілька компаній, що спеціалізуються на аналізі блокчейнів, зокрема Chainalysis, Elliptic та TRM Labs, приписали цю крадіжку групі «Tradertraitor»; ця оцінка була підтверджена 31 жовтня, коли ФБР визначило північнокорейську хакерську операцію як відповідальну за цю атаку.

Tradertraitor тісно пов’язаний із групою «Лазарус» (Lazarus Group), діючи як спеціалізована підгрупа, що керується фінансовими мотивами, а також як позначення пов’язаних з нею шкідливих програм та кампаній кібершпигунства в рамках ширшого державного хакерського апарату Північної Кореї. Група «Lazarus» історично контролювала значні запаси біткойнів, і остання крадіжка 18 270,2 BTC, судячи з усього, робить Північну Корею третьою за величиною державою-власником цієї криптовалюти у світі.

Хоча реалізація незаконно отриманих біткойнів широко вважається надзвичайно складним завданням, Пхеньян неодноразово демонстрував очевидну здатність відносно легко перетворювати вкрадені активи на кошти, придатні для використання.

Подробиці крадіжки біткойнів, яка спустошила 95% гарячого гаманця Binance

Остання крадіжка з Binance є особливо інтригуючою загадкою, оскільки точний механізм виведення біткойнів залишається незрозумілим. Вкрадені кошти, вартість яких на даний момент оцінюється в 1,4 млрд доларів, пройшли через 11 окремих переказів, перш ніж були розподілені між гаманцями, що містять різні суми BTC.

Загалом кошти наразі знаходяться на 19 різних гаманцях, причому всі транзакції підтверджені на висоті блоку Bitcoin 973732. Вкрадені кошти походили з гарячого гаманця Binance, ідентифікованого як bc1qm34lsc65zpw79lxes69zkqmk6ee3ewf0j77s3h, на якому наразі зберігається приблизно 5,495 BTC вартістю 426 000 доларів.

З моменту свого створення у 2021 році ця надзвичайно активна адреса опрацювала вражаючу суму в 16 517 012,48 BTC у вигляді вхідних переказів та 16 517 006,98 BTC у вигляді вихідних транзакцій. У червні 2022 року залишок на цьому гаманці становив 138 000 BTC, і він підтримував транзакційні зв’язки з провідними учасниками галузі, зокрема з централізованими біржами (CEX), такими як Kraken, OKX, Bullish, Bybit, Coinbase та десятками інших.

Адреси, які, за повідомленнями, пов’язані з Wintermute — алгоритмічним маркетмейкером криптовалют, — також взаємодіяли з цим гаманцем 76 разів, причому загальна вартість біткойнів становила понад 900 мільйонів доларів. Коли Tradertraitor зламав гаманець, у ньому було приблизно 19 200 BTC, і хакерське угруповання викачало майже 95 % цих коштів менш ніж за 20 хвилин. З 19 гаманців, які приписують хакерам з Пхеньяну, 17 містять рівно по 1 000 BTC кожен, а в решті двох — відповідно 832,5 BTC та 437,7 BTC.

Викрадені біткойни залишаються неактивними, а історія відмивання коштів Північною Кореєю викликає питання

Наразі вкрадені біткойни залишаються недоторканими на цих адресах, хоча їхня поточна неактивність не гарантує постійної бездіяльності. Розподіл викрадених коштів створив більше виходів для моніторингу, але не стер їхнє походження. Дослідники ончейн-даних та аналітичні компанії, що спеціалізуються на блокчейні, безсумнівно ретельно перевірять ці біткойн-адреси, оскільки викрадені BTC часто залишаються неактивними протягом тривалих періодів перед тим, як зрештою будуть переміщені, хоча такі затримки далеко не є загальним явищем.

Тим часом гаманці, які компанія Arkham Intelligence безпосередньо пов’язує з групою «Лазарус», наразі містять порівняно скромні 23,38 BTC, що різко контрастує з приблизно 14 000 BTC, якими вони розпоряджалися у березні 2025 року. Це свідчить про те, що Північна Корея продемонструвала значну здатність систематично розпорошувати тисячі біткойнів і, зрештою, знаходити шляхи для ліквідації незаконних активів. Хоча зараз тривають масштабні заходи з повернення вкрадених активів, щоб допомогти Binance відшкодувати свої втрати, біткойн не передбачає механізму простого заморожування коштів.

Незламні правила біткойна змушують слідчих залишатися в очікуванні

Емітенти стейблкоїнів можуть блокувати активи за допомогою обмежень, закладених у контрактах на їхні токени, але у біткойна немає еквівалентного центрального органу, здатного внести адреси до чорного списку або скасувати підтверджені транзакції. Відповідно, слідчі мусять виявляти потенційні точки втручання, такі як біржі, брокери чи інші посередники, через яких викрадені кошти можуть зрештою пройти. Як альтернатива, отримання контролю над відповідними приватними ключами може стати засобом вилучення біткойнів. Однак жоден із цих підходів не є адміністративним скасуванням транзакції, записаної в блокчейні біткойна.

Наразі прозорий реєстр забезпечує детальний слід доказів, не надаючи при цьому контролю над самими активами. Слідчі можуть відстежувати кожен рух вкрадених біткойнів, але сама лише можливість відстеження не надає їм повноважень на їх переказ.