Кто стоит за взломом Binance: от следов в блокчейне к заявлению ФБР

Следы, которые связывают события

В случае Binance расследование уже прошло несколько таких ступеней.

TRM Labs связала атаку с северокорейской группой TraderTraitor, обозначив высокую уверенность в своей оценке. Компания сослалась на совокупность блокчейн-данных и информации вне блокчейна. Полный набор этих материалов публично не раскрыт.

Chainalysis привела более конкретный опубликованный аргумент: похищенные у Binance средства смешивались в блокчейне со средствами сентябрьской кражи у Bitget, которую ранее связали с северокорейскими участниками. Компания назвала эту связь важным основанием своей атрибуции TraderTraitor. Речь идёт не просто о похожем поведении, а о пересечении наблюдаемых денежных потоков.

Официальное заявление 31 октября

31 октября появилось официальное сообщение ФБР. Ведомство возложило ответственность за хищение более $6 млрд у Binance на КНДР и обозначило связанную киберактивность названием TraderTraitor. Поэтому формулировка «аналитики лишь подозревают Северную Корею» уже не отражает последнего публичного статуса дела.

При этом сообщение ФБР не называет непосредственных исполнителей и не сообщает об их задержании. Атрибуция группы — не опубликованный судебный приговор конкретному человеку.

Отдельно следует относиться к упоминанию ноутбука сотрудника Binance. Компрометация устройства не означает соучастия его владельца. Предварительную техническую версию нельзя превращать в персональное обвинение.

Дальнейшее движение средств

Расследование продолжается и после установления предполагаемой организации атаки. ФБР вместе с Секретной службой США и IRS-CI сообщило о наблюдаемой конвертации похищенных активов преимущественно в ETH. Ведомство опубликовало связанные адреса и призвало криптосервисы ограничивать операции с такими потоками. Теперь публичная часть дела включает не только вопрос «кто», но и отслеживание дальнейшего движения средств.