Кто открыл дверь хакерам Binance? Claude Code заподозрил инсайдера

Пользователь соцсети X под ником Leopardracer заявил, что с помощью Claude Code за несколько часов разобрал открытые данные блокчейнов и пришёл к выводу: к взлому Binance причастен кто-то из сотрудников биржи, а исполнителем выступила северокорейская группировка Lazarus. Проверяемых доказательств в тексте поста нет, а часть утверждений расходится с тем, что известно из других источников.

Что утверждает автор

По словам Leopardracer, он дал Claude Code один запрос и публичные записи блокчейнов: без ключей доступа и без внутренней информации. ИИ обработал 47 832 транзакции в сетях Ethereum, биткоина и Tron и нашёл 47 связанных между собой кошельков атакующих. Дальше автор приводит пять выводов:

• За 48 часов до взлома кошелёк, оплачивавший комиссии атакующих, получил деньги через миксер Tornado Cash и крошечный тестовый перевод с адреса, который аналитические сервисы помечают как служебный адрес Binance. Такие адреса биржа использует, чтобы запускать собственные смарт-контракты. Автор делает вывод, что комиссии за атаку оплатила сама биржа.

• Деньги уходили в определённом порядке: сначала с кошелька Binance 14 — $2,13 млрд, затем с Hot Wallet 34 — $780 млн, потом из резервных хранилищ. По версии автора, это служебная очерёдность внутреннего списка балансов Binance.

• Атака стартовала за 79 секунд до плановой смены ключей доступа. Отсюда вывод: злоумышленники знали расписание.

• Программный код вредоносного контракта совпал с кодом, который использовали при взломе Bybit, на 98,4%. Три признака указывают на один узел в Пхеньяне, а принадлежность к Lazarus ИИ оценил в 97,3%.

• Итоговая версия: кто-то внутри Binance передал группировке «ключи и карту». Имя инсайдера Claude Code назвать не смог.

Результаты автор отправил в центр жалоб на интернет-преступления ФБР (IC3) и передал биржам список из 51 кошелька. К утру, по его словам, заморозили два депозитных адреса с $60 млн. История подана как личная: бессонная ночь, жена, красная точка на карте. Заканчивается пост призывом запустить такой же бесплатный запрос самостоятельно.

Что вызывает вопросы

Первое — утверждение о молчании биржи. Автор пишет, что Binance не сказала ни слова, но генеральный директор компании Ричард Тенг (Richard Teng) уже назвал версию взлома: скомпрометированный ноутбук инженера и дополнительные точки проникновения. Версия об инсайдере с ней не совпадает, хотя и не исключается полностью.

Второе — порядок переводов. Очерёдность выводов с Binance 14 и Hot Wallet 34 видна в блокчейне любому желающему. Для её восстановления не нужен ни внутренний список остатков, ни доступ к системам биржи, так что довод о «переданной карте» выглядит слабым. Цифры тоже расходятся: по данным Etherscan, первый перевод с Binance 14 составил около $2,5 млрд, а не $2,13 млрд.

Третье — «79 секунд до смены ключей». Расписание ротации не публичное, и автор не объясняет, откуда ему известно точное время. Без этого совпадение остаётся красивой деталью, а не доказательством.

Четвёртое — проценты. Показатели в 98,4% и 97,3% — это оценки самой модели, а не результат криминалистической экспертизы. Кроме того, в тексте поста нет ни одного хеша транзакции, хотя автор обещает, что каждый вывод ими подкреплён. Инструменты северокорейских хакеров действительно повторяются, и это объясняет совпадение с Bybit, но само по себе не доказывает наличие инсайдера.

Единственное внешнее подтверждение касается лишь направления атрибуции: специалисты TRM Labs с высокой степенью уверенности связали атаку с группировкой TraderTraitor, известной как Lazarus. О причастности сотрудников Binance они не сообщали.

Сам подход — разбирать публичные данные блокчейна с помощью ИИ — рабочий: так аналитики ускоряют первичный поиск связанных кошельков. Но результат такого анализа остаётся гипотезой, пока его не проверят независимые специалисты и следователи.

Из заявлений автора пока подтверждается одно: северокорейский след. Версия об инсайдере, комиссии за атаку от внутреннего адреса биржи и «слитое» расписание ключей основаны на косвенных уликах.

Мнение ИИ

С точки зрения машинного анализа данных, публичный блокчейн похож на банк со стеклянными стенами: видна каждая транзакция, поэтому нейросеть найдёт «закономерность» в чём угодно, если её об этом попросить. Языковая модель обучена писать убедительно, а не измерять вероятность, так что «97,3%» ближе к стилю ответа, чем к результату калибровки. Миксер вроде Tornado Cash смешивает потоки множества пользователей, и совпадение на входе остаётся тонкой ниточкой.

Анализ исторических паттернов показывает, что вывод о северокорейском следе обычно требует времени: ФБР заявило о причастности группировки TraderTraitor к взлому Bybit лишь спустя несколько дней после кражи. Расследования такого масштаба движутся медленнее первых версий, и это обычный ритм работы с цифровыми уликами.