ФБР связало кражу $6,3 млрд у Binance с северокорейской группой TraderTraitor

Северокорейская хакерская группа TraderTraitor, по данным ФБР, стоит за кражей $6,3 млрд ≈ 18,8 млрд BYN у Binance. Ведомство и аналитические компании связывают с ней также ряд других крупных краж в криптоиндустрии, включая взломы Bybit и DMM Bitcoin.

Масштаб и предыдущие оценки

Кража у Binance стала крупнейшим инцидентом в истории криптовалютного рынка. По масштабу она примерно в четыре раза превысила февральский взлом Bybit в 2025 году, when было похищено $1,5 млрд ≈ 4,49 млрд BYN. Ответственность за ту атаку ФБР тоже возложило на TraderTraitor.

Один только взлом Binance почти удвоил оценку ущерба от действий северокорейских хакеров за несколько лет. В апреле TRM Labs оценивала общий объём криптовалюты, украденной хакерами из Северной Кореи с 2017 года, более чем в $6 млрд ≈ 17,9 млрд BYN.

Как работает схема: люди раньше кода

По данным ФБР и расследования Bybit, атаки часто начинались не с прямого технического взлома, а с поддельного процесса найма или компрометации доверенных поставщиков программного обеспечения. Так хакеры получали доступ к системам, через которые подтверждаются переводы.

Группа делает ставку на социальную инженерию: фальшивые вакансии, подставных рекрутеров, собеседования и вредоносные тестовые задания для сотрудников криптокомпаний. Том Маклаут, старший аналитик разведки Chainalysis, описывает TraderTraitor как финансово мотивированную группу, которая выбирает целями биржи, кастодианов, DAO и протоколы. По его словам, группа эксплуатирует не только технологии, но и доверие, а один из признаков её атак — тщательно подготовленная легенда перед взломом.

Эпизод с Ginco и DMM Bitcoin

В марте 2024 года человек, выдававший себя за рекрутера в LinkedIn, связался с сотрудником японской компании Ginco, которая разрабатывает программное обеспечение для кошельков. Он отправил кандидату якобы тестовое задание по программированию, размещённое на GitHub. Внутри находился вредоносный код, который скомпрометировал компьютер сотрудника.

Через два месяца злоумышленники использовали украденные данные сессии, чтобы выдать себя за сотрудника и попасть в коммуникационную систему Ginco. Следователи считают, что этот доступ, вероятно, помог им вмешаться в легитимный запрос на транзакцию от японской биржи DMM Bitcoin. DMM потеряла около 4 503 Bitcoin на сумму $308 млн ≈ 921 млн BYN, и этот инцидент стал одним из факторов, которые позднее привели к закрытию платформы.

Список эпизодов не ограничивается этим случаем. ФБР связывало хакеров, относимых к TraderTraitor, с кражами у AlphaPo, CoinsPaid и Atomic Wallet в 2023 году: соответственно $60 млн ≈ 179 млн BYN, $37 млн ≈ 111 млн BYN и $100 млн ≈ 299 млн BYN. Форензические специалисты LayerZero также оценивали, что группа стояла за апрельской кражей $292 млн с моста KelpDAO.

Как проходила атака на Binance

По данным биржи, хакеры снова использовали сценарий с трудоустройством. Директор по безопасности Binance Джимми Су сообщил, что в сентябре с инженером-программистом связался человек, представившийся директором проекта. Затем предполагаемый сотрудник отдела кадров провёл интервью и показал аккаунт в соцсети с личными фотографиями, чтобы вызвать доверие. Второе собеседование, уже с якобы генеральным директором, завершилось просьбой скачать тестовое задание на рабочий компьютер.

В задании находился вредоносный код. Позже он позволил злоумышленникам использовать скомпрометированную машину и внутренний AI-инструмент для атаки на Binance. По словам Ари Редборда, глобального руководителя по политике и взаимодействию с госорганами в TRM Labs, TraderTraitor «охотится за крупной добычей и сначала выбирает людей, а уже потом переходит к коду. Схема выглядит просто: поддельный рекрутер, поддельное собеседование и один сотрудник, который запускает один файл».

Редборд отметил, что группа действует терпеливо: неделями готовится, выжидает подходящий момент и выводит средства сразу. Каждая следующая атака, по его оценке, приносит всё большие суммы, и тактика сохранится, пока остаётся эффективной. Chainalysis и TRM с высокой степенью уверенности приписывают взлом Binance TraderTraitor, опираясь на разные факторы.

Откуда группа и кто ею управляет

Истоки TraderTraitor связывают со специализированной группой по хищению криптовалюты, которую в 2016–2017 годах создало Главное разведывательное управление Северной Кореи. В отчёте Многосторонней команды по мониторингу санкций за октябрь 2025 года, объединяющей 11 стран, группа отнесена к 110-му Научно-исследовательскому институту бюро.

Редборд утверждает, что подготовка кадров начинается с детства: одарённых детей направляют в специализированные школы STEM, дают доступ к интернету и отправляют в Китай развивать навыки. По его словам, это похоже на то, как раньше Россия готовила гимнастов, только дисциплина здесь — киберпреступность.

Пхеньян отрицает причастность. Ким Е Чжон, сестра лидера Ким Чен Ына, назвала выводы ФБР «абсурдной риторикой». Группа известна также под названиями Jade Sleet, UNC4899 и Slow Pisces и входит в более широкую сеть северокорейских киберопераций, которую исследователи часто объединяют под названием Lazarus.

Как устанавливают связь с группой и куда уходят деньги

Chainalysis считает одним из наиболее сильных доказательств связь средств, похищенных у Binance, с доходами от сентябрьского взлома Bitget примерно на $388 млн. Ту атаку также приписывают Северной Корее.

По словам Маклаута, часто предполагается, что такие злоумышленники действуют из Пхеньяна, однако по данным партнёров Chainalysis и юридических действий многие из них работают за пределами Северной Кореи. Специалисты, связанные с КНДР, действуют в десятках стран и становятся всё более децентрализованными.

Цель не сводится к самой краже: активы нужно отмыть и привести в пригодную форму. В прошлых операциях внебиржевые трейдеры в итоге конвертировали криптовалюту в фиатные деньги, доступные правительству КНДР, чаще всего через торговые компании в юрисдикциях со слабым регулированием или без него. Следы таких переводов остаются в блокчейне, и следователи могут по транзакционным данным находить сервисы, где переводы или конвертацию удаётся остановить.

Маклаут считает, что изучать нужно всё, что происходит до кражи, так же тщательно, как и последующее отмывание средств.