КНДР: взлом Binance на $6,3 млрд может финансировать ядерное оружие

Binance потеряла $6,3 миллиарда из-за атаки, подозревают хакеров из КНДР

Криптовалютная биржа Binance сообщила о масштабном взломе, в результате которого было похищено около 6,3 миллиарда долларов. По предварительным данным, инцидент мог произойти из-за компрометации ноутбука одного из сотрудников, что позволило злоумышленникам отправлять несанкционированные запросы на вывод средств. Биржа уже заморозила примерно 3 миллиарда долларов и заверила пользователей, что покроет все убытки. Если эта сумма подтвердится, инцидент станет крупнейшей кражей криптовалюты в истории.

Аналитические компании, в частности TRM Labs и Chainalysis, указывают на причастность к атаке хакерских групп, связанных с Северной Кореей. Это подозрение основано на схожести методов, скорости и масштаба операции с предыдущими атаками, которые приписывают северокорейским группировкам.

Как хакеры из КНДР финансируют режим и ядерные программы

Северная Корея уже длительное время использует киберпреступность как источник финансирования для своего государства. Согласно отчету американского аналитического центра CSIS, похищенные средства направляются на разработку ядерной и ракетной программ, обход международных санкций и поддержку режима. Часть денег также идет на обеспечение деятельности самих хакерских группировок.

Военно-кибернетические операции КНДР централизованы и подчиняются высшему политическому руководству. За финансовые кибератаки и взломы криптовалютных платформ отвечает Генеральное бюро разведки (RGB), также известное как Unit 586, созданное в 2009 году. В его структуре действуют такие группировки, как Lazarus Group и APT38, стоящие за крупнейшими киберограблениями, включая взлом Ronin Network. Другой подразделение, Unit 180, специализируется на атаках против иностранных финансовых учреждений.

Отмывание средств и схема работы северокорейских хакеров

С 2017 года Северная Корея активно крадет криптовалюты, общая сумма ущерба от таких атак оценивается как минимум в 5,8 миллиарда долларов. Среди самых громких взломов — атака на биржу Bybit в феврале 2025 года, когда было похищено почти 1,5 миллиарда долларов в токенах Ethereum. Киберподразделения КНДР чаще всего нацеливаются на Ethereum, Bitcoin, USDC, Solana, взламывая биржи (Bybit, Upbit, Youbit), межсетевые мосты (Ronin Bridge) или токен-проекты.

Ким Чен Ын удвоил штат киберподразделений до 6 000–6 800 человек, среди которых около 1 700 профессиональных хакеров. Для осуществления атак северокорейские хакеры часто привлекают удаленных IT-работников, которые работают из третьих стран, в частности из Китая, России, ОАЭ, Камбоджи, Танзании. Они создают так называемые “фермы ноутбуков”, используя оборудование, полученное от иностранных работодателей, для кражи средств, данных или создания “бэкдоров” для будущих атак. По оценкам CSIS, ежегодно такие сети приносят от 350 до 800 миллионов долларов.

Отмывание похищенных средств происходит путем многократных переводов через тысячи транзитных адресов, использования децентрализованных миксеров и межблокчейн-транзакций. Наличные часто выводят через централизованные биржи с помощью подпольных брокеров или сервисов в третьих странах.