Два крупнейших криптограбежа в истории совершила одна и та же группа: ФБР связывает кражу у Binance с TraderTraitor

Криптовалютная отрасль столкнулась с серьезным развитием событий в сфере безопасности: по имеющимся данным, за две крупнейшие кражи в истории криптовалют отвечает одна и та же хакерская группировка, связанная с Северной Кореей.

Федеральное бюро расследований США (ФБР) идентифицировало TraderTraitor как группу, ответственную за кражу цифровых активов на сумму более 6,3 млрд долларов у Binance. Это связывает инцидент с Binance с взломом Bybit примерно на 1,5 млрд долларов в феврале 2025 года, который ФБР ранее также приписывало той же группе.

Если окончательные судебные и криминалистические расследования подтвердят эту версию, речь идет уже не о двух отдельных атаках на криптобиржи. Вместе эти случаи показывают, как связанные с государством киберпреступные группировки объединяют социальную инженерию, вредоносное ПО, атаки на инфраструктуру кошельков и сложные методы отмывания средств в блокчейне, действуя в беспрецедентных масштабах.

Новый рекорд в сфере криптокраж

По имеющимся данным, инцидент с Binance превзошел атаку на Bybit и стал крупнейшей кражей криптовалюты за всю историю. Хотя оценки могут измениться по мере того, как следователи будут отслеживать дополнительные кошельки и устанавливать, какие именно активы пострадали, заявленный ущерб исчисляется миллиардами долларов.

Атрибуция ФБР особенно важна, поскольку согласуется с более ранним анализом компаний, специализирующихся на блокчейн-разведке. Исследователи из таких организаций, как TRM Labs и Chainalysis, по имеющимся данным, обнаружили сходства между атаками на Binance и Bybit, в том числе:

• Сопоставимые методы проведения операций
• Повторное использование промежуточных кошельков
• Быстрое перемещение украденных средств между несколькими блокчейнами
• Использование децентрализованных сервисов и конвертации между сетями
• Пересекающаяся инфраструктура для отмывания средств
• Небольшие предварительные переводы, использовавшиеся для подготовки последующих транзакций

Транзакции в блокчейне по своей природе публичны, однако публичность не означает, что средства легко вернуть. Злоумышленники могут разделить активы на тысячи переводов, перемещать их между разными сетями, обменивать токены и использовать сервисы, повышающие конфиденциальность, чтобы усложнить установление источника средств.

Кто такие TraderTraitor?

TraderTraitor принято считать ключевым операционным подразделением более широкой северокорейской киберпреступной экосистемы, которую часто связывают с группировкой Lazarus.

Название группы отражает ее распространенную тактику: она атакует людей и организации, связанные с торговлей криптовалютами, разработкой блокчейн-решений, хранением цифровых активов и финансовой инфраструктурой. Среди методов группировки — фальшивые кампании по найму, вредоносные приложения, выдача себя за других лиц и атаки на сотрудников, имеющих доступ к системам подписи транзакций или программному обеспечению для работы с кошельками.

Правительство США неоднократно предупреждало, что связанные с Северной Кореей киберакторы используют кражу криптовалют для получения доходов в пользу режима. Официальные ресурсы ФБР по вопросам киберпреступности и рекомендации CISA содержат более подробную информацию о спонсируемых государством кибероперациях и угрозах для цифровых активов.

Значение TraderTraitor определяется не только стоимостью украденных активов, но и способностью группы атаковать человеческий и организационный уровни, окружающие блокчейн-системы.

Общая закономерность крупнейших криптокраж

Инциденты с Binance и Bybit являются частью более широкой серии атак, которые связывают с TraderTraitor или той же северокорейской сетью.

DMM Bitcoin: около 308 млн долларов

В мае 2024 года японская биржа DMM Bitcoin понесла убытки примерно на 308 млн долларов, что на тот момент соответствовало около 4 502,9 BTC.

Следователи связали инцидент с кампанией социальной инженерии: злоумышленник использовал фальшивое предложение о найме в LinkedIn, чтобы атаковать сотрудника Ginco — компании, занимающейся программным обеспечением для кошельков. По имеющимся данным, сотрудника убедили запустить вредоносный код, благодаря чему злоумышленники получили возможность вмешаться в рабочую среду компании.

Этот случай продемонстрировал важную особенность безопасности: злоумышленнику не всегда нужно напрямую взламывать блокчейн. Достаточно получить доступ к разработчику, администратору или процессу утверждения транзакций, чтобы санкционировать катастрофический перевод.

Bybit: около 1,5 млрд долларов

Атака на Bybit в феврале 2025 года на тот момент стала крупнейшей известной кражей криптовалюты: ущерб оценивался примерно в 1,5 млрд долларов.

ФБР публично приписало этот инцидент TraderTraitor. Атака также привлекла внимание к рискам, связанным с системами утверждения транзакций, мультиподписными схемами и интерфейсами, предназначенными для проверки сложных переводов цифровых активов.

Мультиподписной кошелек способен снизить риск, связанный с компрометацией одного ключа, но не является универсальным решением. Если злоумышленники обманут нескольких подписантов, интерфейс подписи будет отображать вводящую в заблуждение информацию или атаке подвергнется вспомогательная инфраструктура, процесс с несколькими подписями все равно может быть скомпрометирован.

KelpDAO: около 292 млн долларов

В апреле 2026 года KelpDAO, по имеющимся данным, понесла убытки примерно на 292 млн долларов.

Исследователи в области безопасности отметили несколько признаков, которые выглядели характерными для предыдущих операций TraderTraitor. Среди них — небольшие первоначальные переводы, связанные с Tornado Cash, предварительная подготовка транзакций, требующих подписи, и тщательно спланированное перемещение средств перед основной атакой.

Атрибуция в подобных случаях обычно носит вероятностный характер и не происходит мгновенно. Аналитики сопоставляют поведение транзакций, повторное использование инфраструктуры, связи между кошельками, особенности вредоносного ПО и время переводов, прежде чем прийти к выводу.

Bitget: заявленный ущерб от 350 до 387 млн долларов

Ущерб от инцидента с Bitget в сентябре 2026 года разные источники оценивали в диапазоне от 350 до 387 млн долларов.

По имеющимся данным, аналитики обнаружили связи между украденными средствами и кошельками, которые ранее ассоциировались с деятельностью, связанной с TraderTraitor. Предполагаемые совпадения включали общие маршруты отмывания средств, схожие схемы дробления активов и активы, которые позднее смешивались со средствами от других крупных краж.

Когда в нескольких кражах используются одни и те же сервисы конвертации, мосты или промежуточные адреса, блокчейн-следователи иногда могут выявить более широкую операционную сеть. Однако движение средств через общую инфраструктуру само по себе не доказывает, что все инциденты совершили одни и те же лица. Для окончательной атрибуции необходимо объединить данные блокчейна с информацией из внешних источников.

Binance: более 6 млрд долларов

По имеющимся данным, кража у Binance произошла в октябре 2026 года, а объем ущерба превысил 6 млрд долларов. Атрибуция ФБР в пользу TraderTraitor теперь ставит эту группировку в центр крупнейшего криптограбежа в истории.

Масштаб инцидента примечателен по двум причинам. Во-первых, он показывает, что финансовые последствия одной компрометации теперь могут сопоставляться с ущербом от крупнейших традиционных финансовых преступлений. Во-вторых, он свидетельствует о том, что методы группы эволюционировали: от ситуативного фишинга к долгосрочным кампаниям против сложных экосистем цифровых активов.

Почему случаи Binance и Bybit имеют значение

Связь между двумя крупнейшими кражами криптовалюты меняет подход отрасли к оценке безопасности бирж.

1. Блокчейн может быть не главным слабым звеном

Во многих масштабных инцидентах базовый протокол блокчейна продолжает работать в соответствии с проектными принципами. Проблема возникает в точках, где люди и приложения взаимодействуют с блокчейном:

• Системы хранения активов на биржах
• Среды разработки
• Устройства для подписи транзакций
• Панели утверждения транзакций
• Облачная инфраструктура
• Каналы коммуникации сотрудников
• Стороннее программное обеспечение для кошельков
• API-ключи и учетные данные для доступа

Именно поэтому безопасность блокчейна следует рассматривать как комплексную задачу, охватывающую весь процесс целиком, а не только как вопрос защиты кода смарт-контрактов.

2. Социальная инженерия по-прежнему чрезвычайно эффективна

Фальшивые предложения о работе, инвестиционные возможности, предложения о партнерстве и технические документы остаются эффективными инструментами атак.

Сотрудники блокчейн-компаний часто получают большое количество сообщений от неизвестных отправителей. Вредоносный файл или приложение может выглядеть вполне легитимно, особенно если оно встроено в реалистичный диалог о найме или развитии бизнеса.

Поэтому организациям следует исходить из того, что мишенью может стать даже технически опытный сотрудник. Обучение безопасности должно охватывать не только пароли и фишинговые ссылки, но и репозитории кода, инструменты удаленного доступа, программное обеспечение для кошельков, расширения браузеров и процессы подписи транзакций.

3. Проверка транзакций должна быть понятной человеку

На высоком уровне транзакция может выглядеть вполне законной, хотя внутри нее содержатся опасные детали. Злоумышленники могут манипулировать разрешениями на использование токенов, взаимодействием со смарт-контрактами, адресами получателей или параметрами транзакции.

Командам безопасности следует использовать независимые каналы проверки и требовать от подписантов подтверждения следующих данных:

• Точного адреса получателя
• Активов и суммы перевода
• Предоставляемых разрешений для смарт-контракта
• Идентификаторов сети и блокчейна
• Цели транзакции
• Соответствия транзакции утвержденному внутреннему запросу

Механическое подтверждение транзакции лишь потому, что она отображается в знакомом интерфейсе, — одна из самых опасных привычек в операциях с цифровыми активами.

4. Отслеживание транзакций в блокчейне эффективно, но не мгновенно

Публичные реестры позволяют следователям отслеживать украденные активы — то, что часто невозможно сделать с традиционными наличными деньгами. Однако возможность отслеживания не гарантирует возврат средств.

Злоумышленники могут использовать:

• Кроссчейн-мосты
• Децентрализованные биржи
• Обмен токенов
• Множество промежуточных кошельков
• Сервисы, повышающие конфиденциальность
• Внебиржевых брокеров
• Неактивные кошельки, которые включаются только спустя длительное время

В результате между следователями и преступниками идет постоянная гонка. Биржи, кастодианы, аналитические компании и правоохранительные органы должны быстро обмениваться информацией, поскольку первые часы после инцидента могут иметь решающее значение.

Что пользователи и организации могут сделать уже сейчас

Случаи, связанные с TraderTraitor, дают практические уроки как отдельным пользователям, так и профессиональным криптокомандам.

Разделяйте долгосрочные активы и средства для активной торговли

Активы, которые не нужны для ежедневной торговли, не следует хранить подключенными к биржевым аккаунтам или приложениям, доступным из интернета. Разделение активов и уровней доступа позволяет ограничить объем средств, которым может угрожать компрометация торгового аккаунта, API-ключа или рабочего компьютера.

Используйте аппаратное подтверждение транзакций

Аппаратный кошелек способен изолировать закрытые ключи от компьютеров общего назначения и снизить риск заражения вредоносным ПО. Однако устройство не заменяет тщательную проверку транзакции. Перед подтверждением перевода пользователи по-прежнему должны проверять адрес, сеть, сумму и взаимодействие со смарт-контрактом.

Храните независимые резервные копии seed-фразы

Фразу восстановления кошелька следует генерировать и хранить в автономном режиме. Ее нельзя вводить на веб-сайте, в мессенджере, облачном документе или неизвестной программе.

Также не следует фотографировать фразу восстановления или копировать ее в цифровом виде. Физические резервные копии необходимо защищать от несанкционированного доступа, огня, воды и случайной утраты.

Считайте неожиданные сообщения о найме инцидентами безопасности

Для людей, работающих в Web3, предложение о работе или запрос на партнерство может оказаться попыткой атаки. Файлы, репозитории, приложения для видеозвонков, расширения браузера и инструменты для работы с кошельками следует проверять через отдельный канал связи до их установки или запуска.

Усильте операционный контроль в командах, управляющих казначейством

Организациям, работающим со значительными объемами цифровых активов, следует рассмотреть возможность внедрения:

• Нескольких независимых уровней утверждения
• Белых списков адресов и задержек перед выводом средств
• Симуляции транзакций до ее подписания
• Отдельных устройств для подписи и коммуникации
• Строгого разграничения доступа на основе ролей
• Процедур экстренной приостановки операций
• Непрерывного мониторинга активности кошельков
• Регулярной проверки сторонних интеграций
• Тренировок по реагированию на инциденты

Ни одна мера сама по себе не способна гарантированно защитить от хорошо финансируемого противника. Наиболее надежная защита строится на сочетании технической изоляции, дисциплинированных процессов и быстрого обнаружения угроз.

Что это означает для будущего безопасности криптовалют

Последние инциденты подтверждают более широкий сдвиг в ландшафте угроз. Кражи криптовалют больше не ограничиваются атаками на плохо защищенные личные кошельки или эксплуатацией очевидных уязвимостей смарт-контрактов. Крупные преступные группировки все чаще атакуют инфраструктуру, связывающую людей, приложения, биржи и блокчейны.

Наиболее значимые улучшения безопасности, вероятно, будут связаны со следующими направлениями:

• Более совершенные интерфейсы подписи
• Более понятная симуляция транзакций
• Усиленная изоляция устройств
• Улучшенное обучение сотрудников основам безопасности
• Более оперативное взаимодействие между биржами и следственными органами
• Более эффективные процедуры введения санкций и заморозки активов
• Автоматизированное обнаружение подозрительных потоков средств
• Большая прозрачность архитектуры хранения активов

Главный вывод для отрасли прост: защита закрытых ключей необходима, но это лишь часть проблемы. Для защиты цифровых активов нужно также обезопасить устройства, учетные записи, приложения, процедуры утверждения и каналы коммуникации, которые окружают каждую транзакцию.

Практический уровень защиты для отдельных пользователей

Для людей, хранящих значительные суммы в криптовалюте, аппаратный кошелек может стать важным уровнем защиты, поскольку операции с закрытыми ключами отделяются от компьютера, подключенного к интернету.

Аппаратные кошельки OneKey разработаны с учетом автономной изоляции ключей и подтверждения транзакций непосредственно на устройстве. Это может снизить риск того, что вредоносное ПО на компьютере незаметно извлечет закрытые ключи. Тем не менее пользователям по-прежнему необходимо тщательно проверять каждую транзакцию и соблюдать правила безопасного резервного копирования: аппаратное хранение не защитит средства, если фраза восстановления окажется раскрыта или будет подтверждена вредоносная транзакция.

Случаи Binance и Bybit показывают, почему к самостоятельному хранению активов следует подходить как к полноценному процессу безопасности, а не просто как к покупке устройства. Безопасная генерация ключей, автономные резервные копии, проверка адресов и дисциплинированные привычки при подписании транзакций — все это имеет значение в условиях все более изощренных кампаний по краже криптовалют.