ФБР указывает на TraderTraitor

ФБР назвало северокорейских государственных хакеров виновниками крупнейшей в истории кражи цифровых активов и 31 октября присвоило операции название TraderTraitor — через два дня после того, как из кошельков Binance без разрешения вывели около 6,34 млрд долларов. В опубликованном биржей промежуточном отчёте о расследовании описано многоэтапное проникновение, продолжавшееся с июня до конца октября. Согласно версии Binance, цепочка событий началась в июне, когда инженер-программист попытался установить ИИ-инструмент для написания кода и в процессе скачал заражённый трояном установщик Homebrew. Компания обнаружила аномалию, изъяла компьютер и сменила связанные с ним учётные данные. Однако злоумышленник не отступил. В сентябре инженер, чей опыт работы в Binance был указан на платформе для поиска работы, получил предложение о работе от фальшивого менеджера по подбору персонала, прошёл видеоинтервью и получил задание по разработке, в файл которого было встроено вредоносное ПО. По сообщению биржи, к 20 октября злоумышленник воспользовался заражённой рабочей станцией и внутренними ИИ-инструментами, чтобы получить привилегии сотрудников, отвечающих за операции с кошельками, и обнаружил токен доступа сотрудника, имевшего право развёртывать контейнеры. 29 октября украденные учётные данные использовали для доступа к компьютеру другого сотрудника, развёртывания контейнера и запуска вредоносного скрипта. После этого злоумышленники получили доступ к внутренней системе подписания транзакций кошельками, и транзакции были одобрены в обход стандартной процедуры вывода средств. Binance оценила пострадавшие активы примерно в 6,34 млрд долларов и заявила, что возьмёт убытки на себя, а не переложит их на пользователей. Компания также перестроила системы кошельков и внутренние ИИ-инструменты, которыми воспользовался злоумышленник. Ранее ФБР использовало название TraderTraitor применительно к краже 1,5 млрд долларов у Bybit в 2025 году. Таким образом, кража у Binance стала вторым случаем, приписанным той же группировке, и, превысив масштаб кражи у Bybit более чем в четыре раза, оказалась крупнейшим единичным хищением в истории этого сектора.

От колледжа Мирим до моста Ronin

Способность, стоявшая за этой атакой, не возникла за одну ночь. Ещё в 1980-х годах Северная Корея начала отбирать одарённых школьников, преуспевавших в математике и естественных науках, для работы в сфере кибербезопасности — за десятилетия до появления биткоина. В диссертации 2004 года, подготовленной в Военно-морской аспирантуре США, говорится, что академия Мирим была основана в 1984 году, а в 1986-м стала пятилетним колледжем Мирим. Туда принимали лучших выпускников школ и военнослужащих, которые изучали вычислительную технику, программирование и радиоэлектронную борьбу. По данным компании DTEX, за шесть лет ученики средней школы № 1 Кымсон проходят около 1 660 часов компьютерных занятий, изучая Linux, C и C++, Windows, сети и искусственный интеллект. Самые способные выпускники затем поступают в Университет имени Ким Ир Сена или Университет технологий имени Ким Чхэка. По оценке военных Южной Кореи, в 2024 году кибервойска страны насчитывали около 8 400 человек, включая хакеров и вспомогательный персонал. Первые операции были направлены на сбор разведданных и нарушение работы систем, а не на получение денег. Министерство юстиции США связало северокорейских хакеров со взломом Sony Pictures в 2014 году, хищением 81 миллиона долларов из подключённой к системе SWIFT платёжной сети банка Бангладеш в 2016 году и волной атак программы-вымогателя WannaCry в 2017 году. Затем цифровые активы предложили то, чего не могла банковская система: возможность перевести средства через границу сразу после захвата кошелька на криптобирже или полномочий на проведение переводов. ФБР приписывает группировкам Lazarus и APT38 кражу в 2022 году около 620 миллионов долларов из моста Ronin в игре Axie Infinity, а группировке TraderTraitor — взлом Bybit в 2025 году с ущербом в 1,5 миллиарда долларов. Третий канал — трудоустройство. В 2025 году Министерство юстиции заявило, что связанные с Северной Кореей работники устроились удалённо более чем в 100 американских компаний, используя поддельные или украденные личности, получали зарплаты, а в некоторых случаях имели доступ к конфиденциальным данным. В докладе Группы многостороннего мониторинга санкций за 2025 год сделан вывод, что к сентябрю того же года украденные у Bybit средства, вероятно, были полностью обналичены через посредников в Китае, России, Гонконге и Камбодже.

Лишь 1% пришлось на уязвимости в коде

Математика объясняет выбор целей. По подсчётам TRM Labs, с 2017 года Северная Корея похитила криптовалюту на сумму около 12,8 миллиарда долларов, из них 7,4 миллиарда — за период с начала года по октябрь, или примерно 85% всех потерь от взломов в мире. Из 100 атак, приписываемых этой стране, только в 13 использовались уязвимости в коде смарт-контрактов, и на них пришлось около 1% похищенной суммы. Если учитывать взлом Binance, 88% средств было похищено через компрометацию закрытых ключей, серверов и систем подписания транзакций. Разбор инцидента с Binance подтверждает эту схему на каждом этапе: предлог рекрутера, заражённый инструмент разработчика, переход к учётным данным и доступ изнутри к системе подписания транзакций кошелька. Для пользователей важно не только самостоятельно хранить криптовалюту, но и правильно выбирать платформу. Поэтому при сравнении лучших криптобирж мерам контроля за хранением активов следует уделять не меньше внимания, чем комиссиям.