ФБР связало кражу $6,43 млрд у Binance с группой TraderTraitor
ФБР связало хищение более $6 млрд в виртуальных активах у Binance с северокорейской группой TraderTraitor, также известной как Jade Sleet, Pressure Chollima, PUKCHONG, Slow Pisces и UNC4899. Сумма в $6,43 млрд стала крупнейшей кражей криптоактивов: она превысила $1,46 млрд, похищенные у Bybit в феврале 2025 года.
В расследовании участвовали ФБР, Секретная служба США и подразделение уголовных расследований Налоговой службы США. Ведомства сообщили, что отслеживали конвертацию похищенных активов преимущественно в Ethereum. ФБР ожидает, что затем средства будут отмываться через DeFi-сервисы и сервисы мгновенного обмена, и опубликовало адреса кошельков, которые, по его оценке, используются атакующими.
Средства выводили через 11 блокчейнов
Похищенные активы были распределены по 11 блокчейнам. На Ethereum и Bitcoin пришлось 82% суммы. Аналитическая компания Elliptic заявила, что один этот эпизод почти удваивает совокупный объем криптоактивов, похищенных структурами, связанными с КНДР: за последние годы он оценивался более чем в $6,5 млрд.
Часть средств уже удалось заблокировать на уровне блокчейнов. Tether, Circle, Ripple, Arbitrum и Optimism заморозили активы на $2,85 млрд из $6,43 млрд, указанных в расследовании.
Binance сообщила о возобновлении первого этапа вывода средств с 6:00 до 9:00 UTC после приостановки операций из-за инцидента. Компания заявила, что провела меры предосторожности, оценку безопасности и проверку готовности затронутых сервисов. Вывод будет восстанавливаться постепенно, а депозитные сервисы, по данным Binance, не пострадали.
Атаки начинаются с найма и инструментов разработки
TraderTraitor активна как минимум с 2020 года и известна атаками на компании Web3.0 с использованием приложений с вредоносным кодом. Группе также приписывали криптокражи у DMM Bitcoin, Bybit, KelpDAO и Bitget.
SentinelOne, Zscaler ThreatLabz и Microsoft описывали более новые приемы группы: троянизированные провайдеры Terraform распространяют вредоносное ПО, а подставные компании используются для атак под видом вакансий. Отравленный провайдер доставляет Bash-загрузчик, который подбирает вредоносную программу под операционную систему жертвы.
В цепочке применяются кроссплатформенный имплант FLATROOF, собирающий конфиденциальные данные через Python-инфостилер, и бэкдор ROOFDECK, дающий удаленный контроль над устройством. Целями становятся macOS, Linux и Windows, а использование привычных разработчикам Terraform-провайдеров маскирует доставку вредоносного кода под рабочий процесс.
Что учитывать компаниям
Microsoft отмечала, что Jade Sleet создавала тематические домены, профили в соцсетях и образ рекрутеров фиктивной компании в сфере ИИ и блокчейн-аналитики. Контакты с инженерами начинались с предложений вакансий и приглашений на интервью; параллельно группа использовала ИИ для убедительных приманок, фальшивых персон и обхода обнаружения.
Для бизнеса этот случай подчеркивает необходимость проверять не только платежные процессы, но и цепочку разработки: источники Terraform-провайдеров, запуск внешнего кода и права учетных записей. Процессы найма также требуют верификации работодателя и материалов, которые кандидатам предлагают скачать или выполнить во время интервью.