У ніч на 29 жовтня 2026 року з гарячих гаманців Binance зникло понад $6 млрд. Уже 31 жовтня ФБР заявило, що за цим стоїть КНДР, а саме угруповання, яке відомство називає «TraderTraitor». Chainalysis оцінює збиток приблизно у $6,4 млрд. Це майже вчетверо більше, ніж у зламі Bybit 2025 року.
Як це виглядало в блокчейні
За хронологією Elliptic, близько 20:05 UTC п'ять гаманців Binance в мережі XRP Ledger надіслали 233 млн XRP на одну адресу зловмисника. Упродовж наступних 30 хвилин спорожнили гарячі гаманці ще в дев'яти мережах, серед них Solana, Ethereum, Bitcoin і Tron. Друга хвиля виведень почалася трохи після 23:00 UTC. Загалом постраждали гаманці в 11 блокчейнах.
Як саме проникли всередину, поки відомо лише частково. Спершу Binance повідомила, що хакер скомпрометував ноутбук DevOps-інженера, через нього дістався сервісного контейнера і подав несанкціоновані заявки на виведення. Потім співдиректор Річард Тенг сказав, що слідство знайшло додаткові точки злому, а нападники стерли сліди й обійшли перевірки. TRM Labs пише, що підготовка почалася щонайменше за 36 годин до атаки. Схема, за її оцінкою, схожа на Bybit: гаманцям могли наказати самим переказати кошти на адреси нападників.
На чому тримається версія про КНДР
Публічно найсильніший аргумент назвала Chainalysis. За її даними, викрадене в реальному часі змішувалося з коштами з вересневого зламу біржі Bitget, який теж приписують північнокорейцям. У компанії говорять про «високу впевненість». Тобто це не підпис під атакою і не зізнання, а аналіз руху грошей. Пхеньян раніше заперечував звинувачення у хакерських атаках.
Що саме є в ФБР понад це, відомство не розкриває. 26 лютого 2025 року воно вже приписувало КНДР викрадення близько $1,5 млрд з Bybit і тоді застосувало ту саму назву «TraderTraitor». Блокчейн для слідчих працює як відкрита книга, у якій нічого не стирається. Схожу логіку ми описували, коли хакери РФ залишили докази у мережі після зламу пошти АРМА і САП. А про те, навіщо Пхеньяну гроші, ми вже писали: на війні він заробив стільки, скільки виробляє за рік.
Куди підуть гроші
ФБР, Секретна служба і IRS-CI бачать, що хакери переводять викрадене переважно в Ethereum. Далі, як очікують слідчі, його відмиватимуть через DeFi-сервіси та сервіси миттєвого обміну. Тому відомства закликали вузли THORNode і RPC, DeFi-платформи, блокчейн-аналітиків та інші криптокомпанії блокувати транзакції з адрес зі свого списку. Там сотні адрес, але, за даними Chainalysis, атакувальники вже використали тисячі, і їх побільшало.
Частину вдалося зупинити. За даними самої біржі, близько $3 млрд викрадених активів уже заморозили. Аналітики Pangolin Intelligence кажуть, що «гра в кішки-мишки» тільки починається, бо КНДР, імовірно, задіє мережі відмивачів, щоб вивести гроші в готівку. Секретна служба обіцяє працювати з приватним сектором, щоб повернути кошти, але конкретних цифр не називає.
Хто платить
Binance пообіцяла покрити всі збитки власним коштом і відклала понад $6,34 млрд. Станом на 31 жовтня відновила забезпечення приблизно 90% викраденого: використала фонд SAFU, частину страхового фонду ф'ючерсів і корпоративні кошти. Це не означає, що 90% грошей повернули від хакерів. Решту токенів купуватимуть довше, бо вони менш ліквідні.
Депозити й виведення призупинили. Поетапно відновити виведення біржа планувала в неділю, 1 листопада. Біткоїн на новині впав до $76 тис.
Є й незручна деталь для клієнтів. Binance каже, що атакували її власний гарячий гаманець, а не кошти користувачів. Але CoinDesk, звіривши дані про резерви біржі, з'ясував, що ці гаманці раніше входили до переліку активів, які забезпечують клієнтські баланси. Формально гроші «біржі», фактично ті самі, що стояли за балансами людей. Поки біржа покриває втрати сама, різниця не відчувається. Якби не покривала, відчулася б одразу.
Чому Трамп не поспішає
Напередодні заяви ФБР Трамп в Овальному кабінеті підтвердив розслідування, але офіційно КНДР не звинуватив. 31 жовтня в Мар-а-Лаго він сказав, що США поговорять із Північною Кореєю, якщо та справді причетна. Чому така обережність, у фактах немає. Видно лише розбіжність: ФБР уже називає винного, а президент залишає собі простір для розмови.
Пхеньян при цьому не лише хакер. За даними ГУР, Росія розгортає північнокорейський ракетний підрозділ у Воронезькій області, тож будь-яка розмова Вашингтона з Пхеньяном стосуватиметься не тільки крипти.
Далі багато що залежить від двох речей. Чи покажуть слідчі докази міцніші за аналіз потоків коштів. І чи вдасться заблокувати основну частину викраденого, поки воно не зникло в мережах відмивачів. Якщо ні, Вашингтону доведеться вирішувати, що робити з Пхеньяном, який нічого не віддасть і нічого не визнає.
