Uzbrukumā biržai Binance nozagti miljardi: vai aiz tā stāv Ziemeļkorejas Lazarus?

Blokķēdes analītikas uzņēmums TRM Labs saista Binance skārušo aptuveni 6,3 miljardu ASV dolāru zādzību ar Ziemeļkorejas hakeru grupējumu TraderTraitor, kas tiek saistīts ar Lazars. Pēc analītiķu aplēsēm, 29. oktobrau uzbrukumā no kriptovalūtu biržas makiem desmit blokķēdēs tika izvesti aktīvi aptuveni 6,36 miljardu dolāru vērtībā. Aptuveni 3 miljardus dolāru izdevies iesaldēt, bet Binance sola segt visus incidenta radītos zaudējumus.

TRM Labs un Chainalysis aizdomās tur Ziemeļkorejas hakerus

Vispārliecinātāk par uzbrukuma iespējamo izcelsmi izteicies blokķēdes analītikas uzņēmums TRM Labs. Tā ziņojumā teikts, ka uzbrukumu, visticamāk, veicis TraderTraitor, Ziemeļkorejas hakeru grupējums, kuru izmeklētāji saista ar Lazarus. Uzņēmums savu vērtējumu raksturo kā secinājumu ar augstu pārliecības pakāpi, pamatojoties gan uz blokķēdē redzamajiem datiem, gan ārpus blokķēdes iegūto informāciju.

TRM Labs norāda, ka ASV Federālais izmeklēšanas birojs (FIB) iepriekš šo pašu grupējumu saistījis ar 2025. gada februārī notikušo Bybit kriptovalūtu biržas uzlaušanu, kurā tika nozagti aptuveni 1,5 miljardi dolāru.

Šādam vērtējumam pievienojies arī Chainalysis vadītājs Džonijs Levins, norādot, ka uzņēmuma ieskatā uzbrukumu, visticamāk, veicis TraderTraitor. Blokķēdes pētnieks ZachXBT sociālajā tīklā X paudis, ka iespējamais uzbrucējs ir Lazarus grupējums. Savukārt Blockaid līdzdibinātājs un vadītājs Ido Benatans izdevumam CoinDesk norādījis, ka uzbrukuma paņēmieni un sarežģītības pakāpe atbilst Ziemeļkorejas hakeru iepriekšējām operācijām.

Lazarus ir ar Ziemeļkorejas valsti saistīts hakeru grupējums, kura veiktās kiberoperācijas tiek saistītas arī ar valsts ieroču programmu finansēšanu. Pēc Benatana teiktā, šogad aizdomas par Ziemeļkorejas hakeru iesaisti izteiktas arī saistībā ar Kelp DAO, Bitget un Drift drošības incidentiem.

Tomēr uzbrukuma autori vēl nav oficiāli apstiprināti. Lai gan vairākas analītikas kompānijas norāda uz Ziemeļkorejas grupējumu, galīgais secinājums būs atkarīgs no izmeklēšanas rezultātiem.

Kāpēc uzbrukuma saistība ar Lazarus vēl nav pierādīta?

Ne visi eksperti uzskata, ka lietu var uzskatīt par pilnībā atrisinātu. Kāds ar kriptovalūtu nozares izmeklēšanām pazīstams avots izdevumam CoinDesk atzinis, ka tik sarežģītu uzbrukumu spētu īstenot tikai neliels skaits grupējumu, tomēr pagaidām nav pietiekama pamata galīgi piedēvēt to Lazarus.

Viens no argumentiem ir hakeru rīcība pēc aktīvu nozagšanas. Ziemeļkorejas grupējumi iepriekš bieži centušies nozagtos aktīvus pārvietot un legalizēt salīdzinoši ātri. Šoreiz līdzekļu pārvietošanas un konvertēšanas process noritējis citādi, un tas, iespējams, devis biržas partneriem vairāk laika daļu aktīvu iesaldēšanai.

Tādēļ analītiķiem joprojām jānoskaidro, vai atšķirīgā rīcība liecina par cita uzbrucēja iesaisti vai arī Lazarus šoreiz izmantojis citādu taktiku.

Binance sākotnējā paziņojumā norādīja, ka izmeklē iespējamu drošības incidentu, bet vēlāk paziņoja par aptuveni 6,3 miljardu dolāru lielu kriptovalūtas zādzību Birža apstiprinājusi, ka izmeklēšanā tiek pārbaudīta iespējamā darbinieka datora kompromitēšana, taču uzbrukuma veicēja identitāti tā vēl nav apstiprinājusi.

Uzbrukums sākās ar kompromitētu DevOps inženiera klēpjdatoru

Binance sākotnējā izmeklēšanā konstatējusi, ka iespējamais uzbrukuma sākumpunkts bijis kompromitēts DevOps inženiera klēpjdators. Pēc biržas sniegtās informācijas, uzbrucēji, iespējams, ieguvuši piekļuvi pakalpojuma konteineram un izmantojis to, lai iesniegtu neatļautas transakcijas. Binance pagaidām nav atradusi pierādījumus, ka būtu noplūdušas maku privātās atslēgas.

TRM Labs rekonstruētā notikumu secība liecina, ka 29. oktobrī uzbrucējs no Binance makiem desmit blokķēdēs pārvietojis aptuveni 6,36 miljardus dolāru vērtus aktīvus. Lielākā daļa līdzekļu aizplūda aptuveni 20 minūšu laikā, sākot no plkst. 20.05 pēc UTC laika.

Analītiķi uzskata, ka notikušais liecina par iespējamu Binance karsto maku transakciju parakstīšanas infrastruktūras kompromitēšanu. Karstie maki ir tiešsaistē pieejami kriptovalūtu maki, kurus biržas izmanto ikdienas operācijām.

Īpaši sarežģīts paņēmiens tika izmantots Ethereum blokķēdē. Uzbrucējs izmantoja EIP-7702 standartu, kas ļauj parastam Ethereum makam ar īpašu autorizāciju uz laiku izpildīt viedā līguma kodu. Šajā gadījumā Binance karstais maks tika pārveidots par rīku, kas automātiski pārvietoja līdzekļus uz uzbrucēja kontrolētu adresi.

Saskaņā ar TRM Labs analīzi, uzbrukumam iepriekš tika sagatavotas 50 parakstītas autorizācijas. Tas ļāva izmantot vienu no Ethereum jaunākajām funkcijām pret vienu no lielākajiem aktīvu turētājiem šajā blokķēdē. Analītiķi uzskata, ka uzbrukuma mērogs un vienlaicīgās transakcijas vairākās blokķēdēs norāda uz iespējamu piekļuvi sistēmai, kas paraksta Binance karsto maku transakcijas. Birža vēl nav publicējusi pilnu tehnisko ziņojumu par incidenta cēloņiem.

Zaudējumi četras reizes pārsniedz iepriekšējo rekordu

Pirms Binance incidenta par lielāko kriptovalūtu zādzību tika uzskatīts 2025. gada februārī notikušais Bybit uzbrukums. Toreiz tika nozagti aptuveni 1,46 miljardi dolāru, ko bieži noapaļoja līdz 1,5 miljardiem. Pēc TRM Labs aplēsēm, Binance incidenta apmērs ir aptuveni četras reizes lielāks.

Ar Lazarus un Ziemeļkorejas hakeriem iepriekš saistīti arī citi lieli uzbrukumi:

• Ronin Network uzlaušana 2022. gadā, kad tika nozagti aptuveni 625 miljoni dolāru.
• Bybit uzlaušana 2025. gadā, kuras zaudējumi sasniedza aptuveni 1,46 miljardus dolāru.
• Kelp DAO drošības incidents 2026. gada aprīlī, kurā tika nozagti aptuveni 292 miljoni dolāru.

Jāņem vērā, ka dažādu analītikas uzņēmumu aprēķini par iepriekšējo gadu kriptovalūtu zādzībām atšķiras. CoinDesk ziņojis par aptuveni 2,02 miljardiem dolāru 2025. gadā, savukārt TRM Labs gada pārskatā minēti 2,87 miljardi dolāru gandrīz 150 incidentos.

Arī Binance incidenta kopējā summa dažādos ziņojumos noapaļota atšķirīgi. Binance min aptuveni 6,3 miljardus dolāru, bet TRM Labs — aptuveni 6,36 miljardus dolāru. Šīs atšķirības saistītas ar izmantoto aktīvu novērtēšanas brīdi un aprēķinu metodiku.

Binance apturēja iemaksas un izmaksas, bitcoin cena kritās

Pēc incidenta Binance uz laiku apturēja iemaksas un izmaksas, kamēr tiek veiktas drošības pārbaudes. Birža paziņoja, ka strādā ar blokķēdes analītikas uzņēmumiem un citām iesaistītajām pusēm, lai izsekotu un atgūtu aktīvus. Tā arī apstiprināja, ka segs visus zaudējumus no SAFU fonda un uzņēmuma pašu līdzekļiem. Binance uzsver, ka klientu līdzekļi ir drošībā.

Pirms incidenta Binance platformā glabājās aptuveni 144 miljardi dolāru aktīvu, liecina DefiLlama dati. Ja salīdzina šo summu ar incidentā skartajiem aptuveni 6,3 miljardiem dolāru, tie atbilst apmēram 4,4% no minētā aktīvu apjoma. Tomēr šis salīdzinājums pats par sevi nenozīmē, ka visi skartie aktīvi bija klientu zaudējumi, jo birža joprojām izmeklē incidenta apstākļus un daļa līdzekļu jau ir iesaldēta.

Tirgus reakcija bija strauja. Bitcoin cena