Взлом Binance на сумму 6,3 млрд долларов усилил опасения, что следующая волна криптовалютных краж может быть ещё более скоординированной и разрушительной, чем всё, с чем отрасль сталкивалась до сих пор. После атаки компания TRM Labs, специализирующаяся на анализе блокчейна, заявила, что оперативно приступила к выявлению виновных, указав на доказательства, связывающие инцидент с хакерской группировкой TraitorTrader, связанной с государством Северная Корея.
Binance, в свою очередь, описала способ проникновения в отчёте о расследовании, опубликованном 3 ноября. По словам компании, злоумышленники выдавали себя за рекрутеров, чтобы установить вредоносное ПО на рабочий компьютер инженера, а затем воспользовались скомпрометированным внутренним ИИ-инструментом для доступа к функциям подписи транзакций кошелька. Руководитель отдела по вопросам политики TRM Labs Ари Редборд сообщил Cointelegraph, что, хотя скоординированная реакция отрасли была необычайно быстрой, организациям следует ожидать новых попыток такого рода.
Главное
TRM Labs связывает взлом Binance с северокорейской группировкой TraitorTrader, ссылаясь на данные как из блокчейна, так и из внешних источников.
Binance заявила, что злоумышленники использовали «фальшивые собеседования при приёме на работу», чтобы внедрить вредоносное ПО, а затем воспользовались скомпрометированным внутренним ИИ-инструментом, чтобы получить доступ к сервису подписи транзакций кошелька.
После основной серии переводов Tether и другие эмитенты стейблкоинов заморозили токены примерно на $2,67 млрд. Tether заморозила 971,1 млн USDT за 37 минут.
По сообщениям, сеть Beacon от TRM позволила заморозить средства значительно быстрее, чем это обычно удавалось при предыдущих инцидентах.
TRM предупреждает, что даже эффективная координация может не предотвратить будущие взломы, и утверждает, что защитникам следует перейти к наступательным мерам и действиям при поддержке государства.
Почему важны споры об атрибуции
При громких взломах криптоплатформ атрибуция — это не просто заголовок новости: она может влиять на то, как биржи, эмитенты стейблкоинов и правоохранительные органы оценивают риски и оказывают давление на каналы отмывания средств. TRM Labs заявила, что одной из первых связала атаку на Binance с TraitorTrader; ранее компания также связывала эту группировку с крупной кражей у Bybit в феврале 2025 года.
В своём разборе инцидента с Binance TRM заявила, что её вывод основан на «неопровержимых» данных из блокчейна и внешних источников. Для участников рынка это важно, поскольку помогает оценивать риски и расставлять приоритеты при реагировании на инциденты, особенно когда украденные средства ещё перемещаются и контрагентам нужно решить, насколько решительно их замораживать, отслеживать или сотрудничать с другими сторонами.
Версия Binance о том, как злоумышленники проникли в систему
Binance заявила, что проникновение началось с социальной инженерии. Согласно опубликованному 3 ноября разбору инцидента, злоумышленники выдавали себя за рекрутеров и заразили вредоносным ПО рабочий компьютер одного из инженеров. Затем они, предположительно, воспользовались скомпрометированным внутренним ИИ-инструментом, чтобы получить доступ к сервису биржи для подписания транзакций кошелька.
Эта цепочка событий отражает тенденцию, которая стала одной из главных проблем для крупной криптоинфраструктуры: злоумышленники всё чаще сочетают методы, нацеленные на людей, с доступом к внутренним инструментам, вместо того чтобы полагаться только на прямые атаки на общедоступные системы.
Быстрая координация — и масштаб заморозки стейблкоинов
Как отметил Ари Редборд из TRM, одним из самых примечательных аспектов реакции на взлом Binance стали скорость и масштаб усилий по остановке перемещения украденных средств за пределами блокчейна. Сообщается, что Tether заморозила 971,1 млн USDT всего через 37 минут после основной серии переводов. TRM также оценила, что эмитенты стейблкоинов вместе заморозили токены примерно на $2,67 млрд.
Редборд назвал скоординированные действия эмитентов стейблкоинов беспрецедентными и добавил, что благодаря ранним заморозкам отрасли удалось вернуть около 40% средств «с самого начала». На практике быстрая блокировка даёт защитникам время — как на расследование, так и на оперативные действия, необходимые для удержания средств до того, как их конвертируют, переведут между сетями или распределят.
TRM также отметила свою сеть Beacon — систему обмена информацией, запущенную в 2025 году, — как один из ключевых инструментов, обеспечивших быструю координацию. По словам Редборда, обычно оповещения Beacon поступают сравнительно редко, но в дни вокруг взлома Binance их, по сообщениям, было несколько сотен, а возможно, даже до тысячи. Это свидетельствует о резком росте скоординированной активности организаций-участниц.
От скоординированного реагирования к постоянной угрозе
Редборд из TRM заявил, что, несмотря на необычайно слаженную реакцию, в долгосрочной перспективе она может не сдержать злоумышленников, связанных с государствами. Он предупредил, что Северная Корея по-прежнему эффективно похищает средства, и это имеет большое экономическое значение.
Он описал кражу 29 октября как сумму, примерно равную трети ВВП страны, и заявил, что на неё пришлось половина из $12,5 млрд, похищенных хакерами, поддерживаемыми государствами, с 2017 года. По его словам, даже если удастся вернуть лишь $1 млрд, потенциальная выгода всё равно будет достаточно велика, чтобы злоумышленники продолжали попытки.
Этот контекст важен для тех, кто пытается понять, насколько эффективны меры реагирования на кризисы. Отрасль может совершенствовать выявление атак и заморозку средств, но если модель действий злоумышленников остаётся устойчивой, а уязвимости для атак обнаруживаются быстрее, чем защитники успевают их устранять, каждый крупный взлом может снова становиться для преступников прибыльным предприятием.
Что изменилось: инструменты координации и пределы защиты
Из описания TRM следует, что отрасль переходит от разрозненного реагирования на инциденты к более оперативному обмену информацией. Сеть Beacon, по-видимому, призвана сократить задержку между обнаружением угрозы и принятием мер, а слова Редборда указывают на то, что взлом Binance вызвал необычайно высокий темп оперативной работы.
В то же время в статье упоминается информация из внешних источников о том, что прежнее совместное подразделение TRM — T3 Financial Crime Unit, созданное вместе с Tron и Tether в сентябре 2024 года, — было расформировано в конце августа. Об этом сообщило Bloomberg, на публикацию которого ссылался Cointelegraph. В той же публикации говорилось, что источники объяснили закрытие медленной реакцией и плохой координацией. По сообщениям, Tether заявила, что продолжит сотрудничать с TRM через Beacon.
В совокупности эта история подчёркивает противоречие в подходе отрасли к оперативной работе: масштабные инициативы по координации трудно поддерживать, тогда как более узкие и быстрые системы обмена информацией могут быть эффективнее во время стремительно развивающихся кризисов.
Переход к наступательным мерам
Руководитель направления по вопросам политики в TRM Labs пошёл дальше обсуждения реагирования на инциденты. Он заявил, что для предотвращения взломов, связанных с Северной Кореей, необходимы наступательные действия правительств, а не только защитные меры частных компаний. По мнению TRM, Северная Корея использует хакеров как инструмент государства, а значит, требуются иные ответные меры.
Упомянутый в статье отчёт TRM о дефиците возможностей описывает растущий разрыв между злоумышленниками и защитниками. Компания заявила, что он обусловлен тем, что злоумышленники рано внедряют передовые технологии, в том числе ИИ. По мнению TRM, правоохранительным органам и специалистам по комплаенсу нужны возможности на основе ИИ, чтобы достаточно быстро выявлять уязвимости и устранять их, не отставая от злоумышленников.
Итоговый вывод Редборда был однозначным: он призвал защитников «взламывать в ответ», сочетая наступательные кибероперации с мерами против сетей по отмыванию денег и банковских каналов, которыми злоумышленники пользуются для обналичивания средств. В его понимании речь идёт не просто о кибербезопасности, а о «кибервойне».
Пока отрасль осмысливает разбор инцидента Binance и выводы TRM об атрибуции атаки, инвесторов и разработчиков, вероятно, будут интересовать вопросы реализации: смогут ли сети обмена информацией, такие как Beacon, обеспечивать быстрое замораживание средств в крупных масштабах и последуют ли политики призыву TRM принять наступательные меры, а не полагаться главным образом на реактивную защиту.
Изначально эта статья была опубликована под заголовком «Руководитель TRM Labs назвал взлом Binance событием “кибервойны”» на Crypto Breaking News — вашем надёжном источнике новостей о криптовалютах, биткоине и блокчейне.