TRM Labs та ZachXBT звинуватили «Lazarus» з КНДР у зламі Binance

Слідчі вказують на Пхеньян

У пошуках зловмисника, що атакував Binance, з’явився головний підозрюваний: компанія з аналізу блокчейну TRM Labs приписала цю атаку підрозділу Tradertraitor (що входить до екосистеми Lazarus), який вона назвала елітним хакерським підрозділом Північної Кореї. Компанія дійшла такого висновку з високим ступенем впевненості на основі даних з ланцюга та поза ланцюгом, оцінивши суму викрадених коштів у близько 6,36 млрд доларів на момент викрадення кожного активу.

Незалежний дослідник ZachXBT дійшов подібного висновку за кілька годин до цього, і на запитання, хто стоїть за виведенням коштів, він відповів:

«Ймовірно, це група Lazarus (КНДР)»

Проте ці публікації не підтверджують відповідальність автоматично, і жоден уряд поки що офіційно не назвав винуватця.

Арі Редборд, глобальний керівник з питань політики TRM, заявив Al Jazeera, що ця атака є безпрецедентною і згодом буде розглядатися як переломний момент в історії криптовалют, додавши:

«Коли Північна Корея здійснює крадіжки такого масштабу, ці гроші йдуть на фінансування розповсюдження зброї та інших дестабілізуючих дій».

Відомий сценарій, але в чотири рази масштабніший

Команда TRM вважає, що схема проведення та характерні ознаки збігаються з крадіжкою на біржі Bybit на початку минулого року, яку ФБР приписало тій самій групі, а також із хакерською атакою на Kelpdao у квітні 2026 року. Компанія Chainalysis, що спеціалізується на аналітиці блокчейнів, окремо оцінила суму викрадених коштів у 5,912 млрд доларів, що майже в чотири рази перевищує суму викрадених коштів у Bybit.

Підготовка була методичною: дослідник ончейн-мереж 0xQuit виявив, що ретранслятор зловмисника був профінансований трьома виведеннями коштів через Tornade Cash по 0,1 ETH кожне протягом попередніх двох днів, а контракт делегата було розгорнуто о 15:59 за UTC. Інший аналітик зазначив, що зловмисник відпрацював схему виведення коштів за шість годин до цього на трьох нових гаманцях, виводячи тестові суми різних токенів.

Фактична атака відбулася о 20:24 за UTC, коли з гарячого гаманця Binance 14 було виведено 167 464 ETH. Вчора Bitcoin.com News детально розповів, як працювала схема делегування гаманців, а також про те, як попередні висновки самої Binance вказували на ноутбук інженера DevOps, що потрапив під злом.

Соціальні мережі додали до всього інциденту іронічного відтінку: один із коментаторів стверджував, що зловмисник запустив мем-монету «LAZARUS» на платформі Pump.fun. Bitcoin.com News не зміг підтвердити, що розробник цієї монети пов’язаний із гаманцями хакера.

Куди йдуть гроші

На відміну від Bybit, де вкрадені кошти швидко переміщувалися через мости, це відмивання базувалося на великих угодах. TRM повідомило, що зловмисник продав маркет-мейкерам близько 325 мільйонів USDT за приблизно 122 300 ETH із знижкою понад 10%. Також він позичив на Aave близько 19 760 ETH під заставу 60 мільйонів USDT.

Завдяки заморожуванню вдалося повернути значну частину коштів, і Binance повідомила, що загальна сума заморожених коштів сягнула приблизно 3 мільярдів доларів. Проте, за оцінками TRM, зловмисник володіє понад 420 000 ETH та 18 270 BTC — приблизно 2,4 млрд доларів, які знаходяться поза досяжністю емітентів, причому біткойни переміщуються через «peel chain» — метод відмивання, що розбиває кошти на довгий ланцюжок дрібніших переказів.

Onchain Lens повідомило, що група переказувала понад 1 мільярд доларів у ETH на нові гаманці, ймовірно, перед змішуванням. TRM очікує, що наступний етап буде пов’язаний із міжланцюговими мостами, сервісами обміну та позабіржовими (OTC) брокерами.

Рекордний рік для крадіжок криптовалюти

Ця крадіжка сталася в році, який Defillama називає «найбільш зламаним» в історії криптовалют: у 2026 році на даний момент викрадено понад 8 млрд доларів. Для порівняння: у 2025 році кіберзлочинці викрали 2,87 млрд доларів у результаті майже 150 інцидентів.

Злом Binance стався також через кілька годин після того, як Polymarket призупинив торгівлю через інший злом, що демонструє, на скількох фронтах одночасно доводиться боротися командам з безпеки.

Наслідки можуть бути безпрецедентними

TRM заявила, що попереджає партнерів через свою мережу Beacon Network і закликала біржі перевіряти депозити на наявність адрес, пов’язаних із зловмисниками. Водночас Binance пообіцяла опублікувати детальний технічний аналіз після завершення попереднього розслідування.

Зараз головне — швидкість, оскільки кожна година, протягом якої ETH та BTC зловмисника залишаються нерозмішаними, дає слідчим більше часу для виявлення шляхів виведення коштів, тоді як досвід Північної Кореї свідчить, що група спробує обміняти кошти через позабіржові канали, перш ніж сліди охолонуть.