В субботу, 31 октября, ФБР опубликовало предупреждение: за кражу виртуальных активов у Binance на сумму более $6 млрд стоит Северная Корея. Ведомство назвало группировку TraderTraitor — она же Lazarus, Jade Sleet и APT38 — и попросило биржи, операторов блокчейнов и других поставщиков услуг блокировать связанные транзакции.
Сумма и механика атаки стали известны раньше: около $6,36 млрд в десяти блокчейнах, причём основная часть средств ушла примерно за 20 минут. Binance ранее сообщила, что входной точкой был ноутбук DevOps-инженера: через него атакующие получили доступ к служебному контейнеру и отправили несанкционированные транзакции на вывод.
Что нового в предупреждении ФБР
Агентство опубликовало список из 628 адресов: 608 в Ethereum, 19 в Bitcoin и один в Solana. По его данным, украденные активы в основном конвертируют в ETH, чтобы дальше отмывать через DeFi-протоколы и обменники. Отслеживание идёт совместно с Секретной службой США и налоговой службой (IRS-CI).
Для инженеров здесь важнее другое: атака снова началась с разработчика. TraderTraitor годами работает по схеме Operation DreamJob — фальшивые рекрутёры в переписке присылают «тестовое задание» или ссылку, после чего на машине разработчика оказывается вредоносное ПО. Те же приёмы приписывают взломам Bybit, DMM Bitcoin и Drift.
Что с биржей
Binance заявила, что 1 ноября возобновила первый этап вывода средств в период с 06:00 до 09:00 UTC. По её словам, закрыто около 95% украденной суммы, оставшиеся 5% — низколиквидные токены, которые компания докупает на рынке и через внебиржевые сделки. Балансы BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD и ZEC обеспечены полностью, депозиты инцидент не затронул. Убытки биржа берёт на себя и не переносит на клиентов.
On Saturday, 31 October, the FBI published an alert: North Korea was behind the theft of more than $6bn in virtual assets from Binance. The bureau named the TraderTraitor group — also tracked as Lazarus, Jade Sleet and APT38 — and asked exchanges, blockchain operators and other virtual asset service providers to block the related transactions.
The scale and the mechanics were known earlier: roughly $6.36bn across ten blockchains, with most of the funds moved in about 20 minutes. Binance had already said the entry point was a DevOps engineer’s laptop, which gave the attackers access to a service container and let them submit unauthorised withdrawal transactions.
What the FBI alert adds
The agency published 628 addresses: 608 on Ethereum, 19 on Bitcoin and one on Solana. It says the stolen assets are being converted mainly into ETH, to be laundered further through DeFi protocols and instant swap services. Tracing is being done with the US Secret Service and IRS Criminal Investigation.
For engineers the more useful lesson is that the attack started with a developer again. TraderTraitor has run Operation DreamJob for years: fake recruiters send a “test assignment” or a link, and malware ends up on the developer’s machine. The same playbook is linked to the Bybit, DMM Bitcoin and Drift thefts.
Where the exchange stands
Binance said it resumed the first phase of withdrawals on 1 November between 06:00 and 09:00 UTC. It says about 95% of the stolen amount has been covered; the remaining 5% is illiquid tokens the company keeps buying on the market and over the counter. BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD and ZEC balances are fully backed, deposits were not affected, and the exchange says it will absorb the losses rather than pass them to users.