Федеральне бюро розслідувань США офіційно поклало відповідальність за викрадення понад 6 млрд доларів у віртуальних активах із криптобіржі Binance на Північну Корею. Атаку, що сталася близько 29 жовтня 2026 року, ФБР приписує TraderTraitor — елітному хакерському угрупованню, повʼязаному з КНДР. Його також відстежують під назвами Jade Sleet, Pressure Chollima, PUKCHONG, Slow Pisces та UNC4899.

За оцінкою компанії з блокчейн-аналітики Elliptic, зловмисники вивели 6,43 млрд доларів — це найбільша крадіжка криптовалюти в історії. Попередній рекорд належав тому самому угрупованню: у лютому 2025 року воно викрало близько 1,5 млрд доларів з біржі Bybit.

Що відомо про атаку

Binance повідомила про злам 29 жовтня. За даними NPR, зловмисникам знадобилося близько 20 хвилин, щоб вивести криптоактиви. Оцінки збитків дещо різняться: сама біржа називає суму близько 6,3 млрд доларів, TRM Labs — 6,36 млрд, Elliptic — 6,43 млрд, повідомляє CryptoTicker.

Кошти викрали в 11 блокчейнах, причому 82% припадає на Ethereum і Bitcoin. Частину активів уже вдалося заблокувати: Tether, Circle, Ripple, Arbitrum та Optimism заморозили понад 2,8 млрд доларів.

Цей один інцидент майже подвоює загальний обсяг криптоактивів, викрадених режимом. Вважається, що повʼязані з Північною Кореєю (офіційно — Корейською Народно-Демократичною Республікою, КНДР) угруповання за останні роки викрали понад 6,5 млрд доларів у криптоактивах.

Як відмивають викрадене

ФБР спільно із Секретною службою США (USSS) та підрозділом кримінальних розслідувань Податкової служби США (IRS-CI) зафіксувало, що хакери конвертують викрадені активи переважно в ефір (ETH).

Очікується, що ці активи й надалі відмиватимуть, конвертуючи їх через DeFi-сервіси та сервіси миттєвого обміну й готуючи до наступних етапів відмивання.

Бюро також оприлюднило перелік понад 600 адрес у мережах Ethereum, Bitcoin і Solana, якими користуються зловмисники, та закликало криптокомпанії блокувати транзакції, повʼязані з цими гаманцями.

Binance обіцяє покрити збитки

Біржа заявила, що повністю компенсує фінансові наслідки інциденту, і виділила для цього понад 6,34 млрд доларів власних коштів. Станом на 31 жовтня Binance, за даними Fox Business, уже поповнила приблизно 90% викрадених активів.

Після атаки біржа призупинила виведення коштів, а 1 листопада розпочала перший етап його відновлення. У Binance зазначають, що після інциденту вжили запобіжних заходів, провели оцінку безпеки та перевіряють готовність сервісів; виведення відновлюватимуть поступово, у міру завершення перевірок. Депозити працюють у звичайному режимі — інцидент їх не зачепив.

Хто такі TraderTraitor

TraderTraitor — так американські відомства називають кампанію державних північнокорейських хакерів, спрямовану проти криптокомпаній і галузі Web3. Угруповання діє щонайменше з 2020 року й традиційно ошукує жертв, змушуючи їх завантажити застосунки зі шкідливим ПЗ. За останні роки йому приписують атаки на DMM Bitcoin, Bybit, KelpDAO та Bitget.

Троянізовані інструменти розробників

Звіти SentinelOne, Zscaler ThreatLabz і Microsoft свідчать, що TraderTraitor і далі вдосконалює свої методи. Один із нових векторів — троянізовані провайдери Terraform, популярного інструменту для керування хмарною інфраструктурою.

Як описують дослідники Zscaler, підроблений провайдер маскувався під плагін для AWS і завантажував Bash-скрипт, який визначає операційну систему жертви та підтягує відповідну версію шкідливого ПЗ. Серед нього — кросплатформний бекдор FLATROOF: за допомогою Python-скриптів він викрадає облікові дані з браузерів, файли cookie, історію терміналу й дані розширень криптогаманців, а потім встановлює бекдор ROOFDECK для повного віддаленого контролю над системою.

Кампанія вкотре показує, як північнокорейські хакери зловживають довіреними робочими процесами розробників, щоб поширювати шкідливе ПЗ на macOS, Linux і Windows та закріплюватися в системах.

Фейкові рекрутери з підтримкою ШІ

Як і інші північнокорейські кампанії — Operation Dream Job угруповання Lazarus та Contagious Interview угруповання Famous Chollima, — TraderTraitor використовує приманки на тему працевлаштування, щоб переконати жертву запустити шкідливий код. Мішенню стають фахівці з кібербезпеки, ШІ та блокчейну, а також працівники рекрутингових компаній. За даними Microsoft, ШІ допомагає зловмисникам створювати переконливі приманки й вигаданих персонажів та уникати виявлення.

Зловмисник використовував спеціально створені домени, профілі в соцмережах і галузеві знання, щоб видавати себе за рекрутерів підробленої компанії з блокчейн-аналітики на основі ШІ. Вакансії для інженерів-програмістів слугували приводом для першого контакту та призначення співбесід із тими, хто відгукнувся.

У компанії додають, що за короткий час Jade Sleet провело аналогічні кампанії від імені ще двох підставних компаній зі схожою інфраструктурою.

Як захиститися від подібних атак

Атаки TraderTraitor спрямовані насамперед на розробників і фахівців криптогалузі, однак схема з фейковими вакансіями загрожує кожному, хто шукає роботу в ІТ. Основні запобіжники:

• Тестові завдання та код від «рекрутерів» варто запускати лише в ізольованому середовищі — віртуальній машині чи контейнері без доступу до робочих облікових даних і криптогаманців.
• Роботодавця слід перевіряти незалежно: вік домену, реальних працівників компанії, офіційні канали звʼязку.
• Провайдери й плагіни Terraform варто встановлювати лише з офіційного реєстру та звіряти домени: у цій кампанії використовували підроблений домен, схожий на адресу HashiCorp.
• Криптоактиви безпечніше зберігати в апаратних гаманцях, а не в браузерних розширеннях — саме їх у першу чергу шукають викрадачі даних.
• Клієнтам Binance варто орієнтуватися лише на офіційні оголошення біржі: великі інциденти зазвичай супроводжує хвиля фішингу з обіцянками «компенсацій» і вимогами «підтвердити акаунт».

Ця стаття ФБР повʼязало рекордну крадіжку понад 6 млрд доларів із Binance з північнокорейським угрупованням TraderTraitor раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня