Аналитики TRM Labs и Chainalysis, а также ончейн-исследователь ZachXBT связали взлом Binance на $6,3 млрд с группировкой TraderTraitor из КНДР. Одной из ключевых зацепок стало пересечение потоков средств, похищенных у Binance и Bitget.
Деньги с двух взломов сошлись на одном адресе
По данным ZachXBT, после перемещения через THORChain украденные у обеих бирж средства смешались на одном адресе. По его оценке, это указывает на вероятное участие одного и того же злоумышленника в обеих атаках. Взлом Bitget ранее уже связывали с TraderTraitor.
TRM Labs заявила о высокой уверенности в атрибуции, опираясь на ончейн-данные и сведения за пределами блокчейна.
Глава Chainalysis Джонатан Левин также назвал TraderTraitor вероятным организатором атаки, сославшись на связи с предыдущим взломом. При этом он оценил похищенное в $6,4 млрд — немного выше оценки Binance в $6,3 млрд.
Ранее CEO Blockaid Идо Бен-Натан отмечал, что сложность атаки и подготовительные действия в блокчейне напоминают операции северокорейских хакеров.
Как действует TraderTraitor
Американские власти связывали группировку с крупнейшими кражами криптовалюты, включая взлом Bybit в феврале 2025 года и хищение более $300 млн у DMM Bitcoin в мае 2024-го.
По данным ФБР, TraderTraitor атакует сотрудников компаний с помощью социальной инженерии. В случае DMM злоумышленник выдавал себя за рекрутера и отправил сотруднику провайдера кошельков Ginco вредоносное тестовое задание по программированию.
Полученный доступ, как считают следователи, затем использовали для изменения легитимного запроса на транзакцию и перевода средств на кошельки атакующих.
Этот сценарий описывает взлом DMM: точный способ проникновения в Binance в представленном материале не раскрывается.