Взлом Binance на сумму 6,3 миллиарда долларов потряс криптоиндустрию. После череды всё более серьёзных инцидентов в сфере кибербезопасности атака на крупнейшую в мире криптобиржу показала, как далеко могут зайти и действительно заходят хакеры, поддерживаемые государством.
Компания TRM Labs, специализирующаяся на анализе блокчейна, находилась на передовой борьбы с кражей и вскоре после атаки опубликовала отчёт. Компания одной из первых приписала атаку северокорейской хакерской группировке TraitorTrader, сославшись на «неоспоримые» доказательства как в блокчейне, так и за его пределами. Взлом Bybit на сумму 1,5 миллиарда долларов в феврале 2025 года также приписали этой группировке.
В отчёте о расследовании инцидента, опубликованном 3 ноября, Binance сообщила, что злоумышленники выдавали себя за рекрутеров, чтобы установить вредоносное ПО на рабочий компьютер инженера, а затем воспользовались скомпрометированным внутренним ИИ-инструментом, чтобы получить доступ к сервису подписания транзакций кошелька.
Ари Редборд, глобальный руководитель отдела политики и взаимодействия с государственными органами TRM Labs, рассказал Cointelegraph, что, хотя скоординированная реакция отрасли на атаку была беспрецедентной, «мы увидим гораздо больше подобных случаев».
Беспрецедентная реакция отрасли
Редборда особенно впечатлили скорость и масштаб реакции отрасли на взлом.
Всего через 37 минут после основного вывода средств Tether заморозила 971,1 миллиона токенов USDt (USDT). По данным TRM, в совокупности эмитенты стейблкоинов заморозили токены на сумму около 2,67 миллиарда долларов. «Ничего подобного раньше не делали, — сказал Редборд. — Им удалось сразу же вернуть 40% средств».
Гонка за похищенными средствами, пока хакеры не успели вывести их в офчейн, — важная часть защиты от подобных атак. Редборд из TRM объяснил, что Beacon Network — систему обмена разведданными, запущенную TRM в 2025 году, — компании использовали для быстрой координации и блокировки средств, прежде чем приступить к их изъятию. «Обычно я вижу несколько оповещений Beacon в день. За последние несколько дней я видел, не знаю, сотни или, может быть, даже тысячу оповещений Beacon», — сказал он.
Призыв к координации прозвучал после того, как Bloomberg 4 ноября сообщил о роспуске в конце августа подразделения по борьбе с финансовыми преступлениями T3, созданного TRM совместно с Tron и Tether в сентябре 2024 года. Источники издания указали на медленную реакцию и плохую координацию. Tether заявила, что продолжит сотрудничество с TRM через Beacon.
Редборд призвал к более тесной координации, но предупредил, что такие усилия могут мало повлиять на предотвращение будущих атак. По его словам, кража, совершённая Северной Кореей 29 октября, равнялась примерно трети ВВП страны и составила половину из 12,5 миллиарда долларов, похищенных хакерами, поддерживаемыми государством, с 2017 года. Даже если злоумышленникам удастся вернуть лишь 1 миллиард долларов, потенциальная выгода всё равно будет огромной, отметил он.
«Северная Корея будет продолжать это делать, пока это приносит результат», — сказал он.
От обороны к наступлению
Редборд заявил, что для предотвращения подобных атак правительствам необходимо переходить к наступательным действиям в ответ на использование Северной Кореей хакеров, действующих как подразделение государства.
В отчёте TRM о дефиците возможностей говорится, что разрыв между злоумышленниками и специалистами по кибербезопасности продолжает увеличиваться: хакеры раньше других осваивают передовые технологии, такие как ИИ. По его словам, правоохранительным органам и специалистам по комплаенсу нужен ИИ, чтобы выявлять и устранять уязвимости так же быстро, как хакеры успевают их использовать.
«Каждый раз, когда Северная Корея совершает взлом, мы должны взламывать их в ответ», — продолжил он, призвав к наступательным кибероперациям и мерам против сетей по отмыванию денег и банков, через которые хакеры обналичивают средства. «Это кибервойна», — сказал он.
Журнал: Что победа демократов на промежуточных выборах в США означает для закона CLARITY