Тем не менее, эти публикации не являются автоматическим подтверждением ответственности, и пока ни одно правительство официально не назвало виновного.
Ари Редборд, глобальный руководитель по вопросам политики TRM, заявил Al Jazeera, что эта атака не имеет прецедентов и впоследствии будет рассматриваться как переломный момент в истории криптовалют, добавив:
«Когда Северная Корея совершает кражу такого масштаба, эти деньги идут на финансирование распространения оружия и других дестабилизирующих действий».
Известный сценарий, но в четыре раза масштабнее
Команда TRM считает, что схема проведения и характерные признаки соответствуют краже на бирже Bybit в начале прошлого года, которую ФБР приписало той же группе, а также взлому Kelpdao в апреле 2026 года. Компания Chainalysis, занимающаяся аналитикой блокчейна, отдельно оценила сумму похищенных средств примерно в 5,912 млрд долларов, что почти в четыре раза превышает сумму кражи на Bybit.
Подготовка велась методично: исследователь блокчейна 0xQuit обнаружил, что ретранслятор злоумышленника был пополнен тремя выводами средств из Tornade Cash по 0,1 $ETH каждый за предыдущие два дня, а контракт делегата был развернут в 15:59 UTC. Другой аналитик отметил, что злоумышленник отрепетировал операцию по выводу средств за шесть часов до этого на трёх новых кошельках, перечисляя пробные суммы в различных токенах.
Настоящая атака произошла в 20:24 UTC, когда 167 464 $ETH были выведены из горячего кошелька Binance 14. Вчера Bitcoin.com News подробно рассказал о том, как работала схема с делегированием кошельков, а также о том, как первоначальные выводы самой Binance указывали на взломанный ноутбук инженера DevOps.
Социальные сети добавили ироничный поворот всей истории: один из комментаторов заявил, что злоумышленник запустил мем-монету «LAZARUS» на платформе Pump.fun. Bitcoin.com News не удалось подтвердить, что создатель этой монеты связан с кошельками хакера.
Куда уходят деньги
В отличие от Bybit, где похищенные средства быстро перемещались через мосты, в данном случае отмывание средств осуществлялось посредством крупных сделок. TRM сообщила, что злоумышленник продал около 325 млн $USDT маркет-мейкерам за примерно 122 300 $ETH с дисконтом более 10%. Кроме того, он взял в кредит около 19 760 $ETH на Aave под залог 60 миллионов $USDT.
Благодаря заморозкам удалось вернуть значительную часть средств, и, по данным Binance, общая сумма замороженных средств достигла примерно 3 миллиардов долларов. Тем не менее, по оценкам TRM, у злоумышленника остаётся более 420 000 $ETH и 18 270 $BTC — около 2,4 млрд долларов, недоступных для эмитентов, причём биткоины перемещаются через «peel chain» — метод отмывания, при котором средства разбиваются на длинную цепочку мелких переводов.
Onchain Lens сообщил, что группа перемещала более 1 миллиарда долларов в $ETH на новые кошельки, вероятно, перед смешиванием. TRM ожидает, что следующий этап будет связан с межсетевыми мостами, сервисами обмена и внебиржевыми (OTC) брокерами.
Рекордный год для краж криптовалюты
Это ограбление произошло в том, что Defillama называет самым «взломанным» годом в истории криптовалют: в 2026 году на данный момент похищено более 8 млрд долларов. Для сравнения: в 2025 году киберпреступники похитили 2,87 млрд долларов в ходе почти 150 инцидентов.
Атака на Binance произошла также через несколько часов после того, как Polymarket приостановила торги из-за другого уязвимого места, что показывает, на скольких фронтах одновременно ведут борьбу команды по безопасности.
Последствия могут быть беспрецедентными
TRM сообщила, что оповещает партнеров через свою сеть Beacon Network и призвала биржи проверять поступления на наличие адресов, связанных с злоумышленниками. В то же время Binance пообещала опубликовать подробный технический отчет по итогам инцидента после завершения предварительного расследования.
Ключевым вопросом сейчас является скорость, поскольку каждый час, в течение которого $ETH и $BTC злоумышленника остаются неперемешанными, даёт следователям больше времени для выявления путей вывода средств, в то время как опыт Северной Кореи показывает, что группа попытается обналичить средства через внебиржевые отделы, пока след не остыл.
news.bitcoin.com
