ФБР обвинило северокорейских хакеров TraderTraitor в краже 6,3 миллиарда долларов у Binance

Федеральное бюро расследований США официально объявило северокорейскую группировку TraderTraitor (Jade Sleet, UNC4899 или Slow Pisces) в причастности к атаке на Binance. Аналитики из TRM Labs описали, как примерно могла пройти атака.

Первые данные об атаке появились вечером 29 октября. Некто получил несанкционированный доступ к счетам и за несколько минут вывел криптовалюты на 6,3 миллиарда долларов за пределы контроля. Изначально аномальный поток средств нашли пользователи и on-chain аналитики. Позже, утром 30 октября, руководство Binance официально признало факт взлома. Сначала биржа пообещала компенсировать весь ущерб из собственных средств, но сейчас уже говорит, что покрываются «90% потерь».

Этот взлом стал крупнейшим в истории кражи криптовалют. Инцидент вызвал локальный шок и панику на рынке. Капитализация ЦФА резко сократилась и многие криптовалюты упали в цене. 

Ряд деталей остаётся неясным. Известно, что речь идёт об атаке на «горячие» кошельки кошельки XRP Ledger, эфира, Биткоина, Tron и Solana, которые подключены к интернету и помогают проводить операции с криптовалютами в моменте. Другие хранилища, насколько известно, не пострадали. Примечательно, что, согласно отчётности, для проведения операций в фирме должны были использовать схему распределения MPC, когда приватные ключи не хранятся целиком в одном месте, а их части находятся на независимых изолированных серверах в разных дата-центрах. Это значит, что хакерам неким образом удалось обойти эту защиту.

Первоначально утверждалось, что точкой доступа к системе стал заражённый вирусом ноутбук DevOps-инженера компании. Многие специалисты отметили, что данных и уровня доступа с такого устройства не хватит для настолько мощной атаки. Сейчас нет единой версии о том, как конкретно произошёл взлом. Согласно одной из теорий, в процессе мог использоваться ИИ, но доказательств этому также нет.

В TRM Labs попытались восстановить цепочку событий. Согласно версии аналитиков, подготовка к массовой атаке началась как минимум за 36 часов до кражи. Утром 28 октября на один из кошельков взломщиков поступили три небольших транзакции через миксер Tornado Cash. Примерно через сутки хакер запустил первый фрагмент кода для атаки и протестировал его на двух кошельках, а потом «отрепетировал» финальную версию на третьем кошельке. Через несколько часов началась полноценная атака. Согласно предположению TRM Labs, хакеры не просто получили ключи, а «угнали» саму доступ к системе, которая позволяет быстро переводить деньги. Это бы объяснило, каким образом в течение получаса они смогли украсть миллиарды долларов через разные блокчейны.  

«В 20:20 UTC оператор отправил одну транзакцию, содержащую 50 авторизаций. Каждая из них была подписана горячим кошельком Binance и указывала на контракт-список транзакций, который принимает инструкции только от оператора. Каждый кошелек ведет текущий счетчик своих транзакций, называемый nonce, и авторизация работает только с тем счетчиком, которого кошелек достиг в момент ее выполнения. Горячий кошелек Binance обрабатывает постоянный поток выводов, поэтому его счетчик постоянно увеличивается. Подготовив подписи для 50 последовательных счетчиков, злоумышленник гарантировал, что хотя бы одна из них останется действительной на момент выполнения транзакции. Одна из них совпала, чего злоумышленнику было достаточно. Подписи были подготовлены заранее в виде пакета», — пишет TRM Labs.

ФБР вместе с другими спецслужбами USSS и IRS-CI выпустило краткую заметку, в которой прямо обвинило в атаке Корейскую Народно-Демократическую Республику. Как утверждается, взлом могли совершить хакеры из ОПГ TraderTraitor. Силовики попросили операторов узлов THORNode и RPC, биржи и платформы DeFi начать блокировать транзакции с адресов, которыми пользовались хакеры. 

Ранее TraderTraitor обвинили во взломе Bybit через рабочую станцию разработчика сервиса Safe{Wallet} и краже 1,6 миллиарда долларов. Они же через PDF-документ с «предложением о работе» взломали ПК Ronin Network и украли несколько сотен миллионов долларов у компании.