Американското Федерално бюро за разследване (ФБР) официално приписа кражбата на криптоактиви за над 6 млрд. долара от Binance на севернокорейската хакерска група TraderTraitor. Пробивът е осъществен чрез компрометирано устройство на DevOps инженер, а откраднатите средства са прехвърлени през десет блокчейн мрежи. Случаят се определя като най-голямата известна криптокражба досега.

В предупреждение, публикувано на 31 октомври 2026 г., ФБР заявява, че Северна Корея е отговорна за кражбата на виртуални активи на стойност над 6 млрд. долара, извършена около 29 октомври.

TraderTraitor е проследявана и под имената Lazarus Group, Jade Sleet и APT38. Групата е свързвана с множество операции срещу криптовалутни компании и служители. Официалната атрибуция на ФБР следва по-ранни оценки на блокчейн аналитичните компании TRM Labs и Chainalysis.

Компрометирана DevOps работна станция

Според информацията на Binance атакуващите са компрометирали лаптоп на DevOps инженер. Това им е позволило да получат достъп до сервизен контейнер и да подадат неоторизирани транзакции за теглене.

Откраднатите активи се оценяват на приблизително 6,36 млрд. долара и са прехвърлени през десет блокчейн мрежи. По-голямата част от трансферите са извършени в рамките на около 20 минути.

Инцидентът не е описан като пробив в блокчейн протокол, а като компрометиране на устройство с достъп до вътрешни услуги на борсата. Това поставя акцент върху сигурността на работните станции на разработчици и администратори, както и върху контрола на привилегирования достъп до критични системи.

ФБР публикува 628 адреса за проследяване на средствата

Според американската агенция откраднатите активи се преобразуват основно в Ethereum (ETH). Очаква се последващото изпиране да продължи чрез децентрализирани финансови платформи (DeFi) и услуги за незабавен обмен на криптовалути.

ФБР, Тайните служби на САЩ и подразделението за криминални разследвания на данъчната служба IRS призовават криптоборсите, блокчейн операторите и останалите доставчици на услуги с виртуални активи да блокират транзакции, свързани с използваните от нападателите адреси.

Публикуваният списък съдържа общо 628 адреса:

• 608 адреса в мрежата Ethereum;
• 19 Bitcoin адреса;
• един Solana адрес.

Тези индикатори дават възможност на доставчиците на услуги да идентифицират и ограничават свързани трансакции. Ефективността на мерките зависи от сътрудничеството между платформите и проследяването на активите при прехвърлянето им между различни услуги и мрежи.

Дългогодишна стратегия за атаки чрез социално инженерство

TraderTraitor е свързвана с няколко големи кражби от криптосектора:

• Bitget – септември 2026 г.: около 387,5 млн. долара.
• Drift – април 2026 г.: около 280 млн. долара.
• Bybit – февруари 2025 г.: около 1,5 млрд. долара.
• DMM Bitcoin – май 2024 г.: около 308 млн. долара.

Един от използваните подходи е кампанията Operation DreamJob. При нея нападателите се представят за рекрутери и предлагат фиктивни работни позиции на разработчици и служители в криптокомпании, за да ги подведат да изпълнят злонамерен код.

При атаката срещу DMM Bitcoin хакерите са се представили за рекрутер в LinkedIn и са подмамили служител на компанията за криптопортфейли Ginco да стартира злонамерен Python код, маскиран като тестова задача за кандидатстване.

При случая с Bybit е компрометиран компютър на разработчик на Safe{Wallet}. Това е позволило манипулиране на легитимна заявка за транзакция и пренасочване на активи към портфейли под контрола на нападателите.

Атаката срещу Drift през април 2026 г. е предшествана от приблизително шестмесечна операция за социално инженерство. Лица, представящи се за представители на криптотрейдинг компания, са изграждали отношения с участници в проекта по време на индустриални конференции. Според наличната информация устройствата на служители може да са били компрометирани чрез злонамерено хранилище с код или приложение, разпространявано чрез TestFlight.

Общият модел е използването на доверени контакти и служебни процеси за достигане до устройства и акаунти с високи привилегии.

Binance възстановява тегленията и покрива загубите

В изявление Binance съобщава, че подготвя първия етап от възстановяването на тегленията за 1 ноември, между 06:00 и 09:00 UTC.

Борсата твърди, че вече е покрила приблизително 95% от засегнатата сума спрямо 90% при предишното обновяване. Оставащите 5% са в по-слабо ликвидни токени, които компанията продължава да придобива чрез пазарни и извънборсови операции.

Според Binance наличностите в BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD и ZEC са напълно обезпечени, а депозитните услуги не са засегнати.

Компанията заявява, че ще поеме финансовите загуби от откраднатите средства и те няма да бъдат прехвърлени върху потребителите. Това са данни и ангажименти, представени от самата борса, които трябва да се разграничават от официалната атрибуция на атаката от ФБР.

Пробивът започва извън блокчейна

Случаят с Binance показва, че сигурността на криптоактивите зависи не само от блокчейн протоколите и механизмите за подписване на транзакции, но и от инфраструктурата, която управлява достъпа до тях.

Компрометирано устройство на инженер е осигурило път към вътрешна услуга, чрез която са подадени неоторизирани финансови операции. Това поставя на преден план няколко практически приоритета за компаниите в сектора: ограничаване на привилегирования достъп, силна автентикация, защита на работните станции на разработчиците, сегментация на критичните услуги и независимо потвърждение на операции с висока стойност.

Най-голямата известна криптокражба не е резултат от пробив в самия блокчейн, а от компрометиране на доверена точка в корпоративната инфраструктура. Това е предупреждение за всички организации, при които един служител или едно устройство може да осигури достъп до критични активи.