ФБР: TraderTraitor открадна 6,43 млрд. от Binance

ФБР официално посочи виновника за най-големия крипто обир в историята. В алерт, публикуван на 31 октомври 2026 г., Бюрото обяви, че Северна Корея стои зад кражбата на над 6 млрд. долара във виртуални активи от Binance „на или около 29 октомври 2026 г.”, и назова конкретната група: TraderTraitor. Часове по-късно борсата пусна първата фаза на тегленията.

Според The Hacker News общата сума достига 6,43 млрд. долара (приблизително 5,8 млрд. евро) — около 6,36 млрд. са проследени в десет различни блокчейна, а по-голямата част от средствата са изведени за по-малко от 20 минути. За сравнение: предишният рекорд, обирът на Bybit от февруари 2025 г., беше 1,5 млрд. долара, тоест четири пъти по-малко.

Кой е TraderTraitor

TraderTraitor е името, с което ФБР проследява елитна севернокорейска група, активна поне от 2020 г. В докладите на различните фирми ще я срещнете и като Lazarus Group, APT38, Jade Sleet, Pressure Chollima, PUKCHONG, Slow Pisces и UNC4899 — което обяснява защо атрибуцията в крипто сектора почти винаги звучи объркващо.

Същата група е свързвана с кражбите от DMM Bitcoin, Bybit, KelpDAO и Bitget. Инструментариумът ѝ е добре документиран: тровени Terraform провайдъри като канал за разпространение, крос-платформени импланти FLATROOF (инфостилър) и ROOFDECK (бекдор), както и фалшиви предложения за работа — операцията „DreamJob”, в която нападателите се представят за рекрутери и се насочват към специалисти по киберсигурност, AI и блокчейн. Част от тези примамки вече се пишат с помощта на езикови модели.

Снимка: Federal Bureau of Investigation

Лаптопът, не ключът

Техническата картина не се промени след атрибуцията. По първоначалното разследване на Binance нападателят е компрометирал лаптопа на DevOps инженер, оттам е стигнал до сервизен контейнер и е успял да подава неоторизирани заявки за теглене. Доказателства за изтекъл частен ключ няма — точно както при Bybit, където входната точка беше разработчик на Safe{Wallet}. Подробностите за компрометирането на самата машина Binance обеща да публикува в пълен доклад за инцидента след края на разследването.

628 адреса и призив към целия сектор

Най-практичната част от алерта е списъкът. ФБР, Сикрет Сървис и криминалното подразделение на данъчната служба (IRS-CI) публикуваха 628 крипто адреса, свързани с кражбата: 608 в Ethereum, 19 в Bitcoin и един в Solana.

Призивът е отправен към всички, които могат да спрат паричния поток — оператори на THORNode и на RPC възли, услуги за моментална обмяна, DeFi платформи, фирми за блокчейн анализ и доставчици на услуги с виртуални активи. Искането е просто: блокирайте транзакции от и към тези адреси.

Причината за спешността е, че парите вече се движат. ФБР наблюдава как TraderTraitor конвертира откраднатото предимно в ETH, и очаква следващата стъпка: „Очаква се тези активи да бъдат допълнително изпрани чрез конвертиране през DeFi и услуги за моментална обмяна, докато ги подготвят за следващите етапи на изпирането.”

Дотук 2,85 млрд. долара са замразени на самата верига от Tether, Circle, Ripple, Arbitrum и Optimism. Останалото е по-трудно — по оценки на анализаторите нападателят все още държи над 420 000 ETH и около 18 270 BTC.

Тегленията тръгнаха на фази

Binance отвори първата фаза на 1 ноември в прозореца 06:00–09:00 UTC, с 15 актива в 15 мрежи. От TechCrunch съобщават числата от първия ден: между 06:00 и 15:30 UTC борсата е обработила 4,649 млрд. долара тегления срещу 1,01 млрд. депозити — нетен изходящ поток от около 3,6 млрд.

„Откакто инцидентът се случи, екипите ни взеха превантивни мерки за защита на платформата, направиха оценки на сигурността и провериха готовността на засегнатите услуги”, съобщи компанията. Покритието е нараснало от 90% на 95% от засегнатата сума; оставащите 5% са предимно по-малко ликвидни токени, за които ще трябва повече време. Напълно обезпечени според BleepingComputer са BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD и ZEC.

Позицията на борсата остава същата: „Binance ще понесе финансовия удар от откраднатите средства. Тези загуби няма да бъдат прехвърлени на потребителите.”

Какво значи това

Атрибуцията не връща парите, но променя контекста. 6,43 млрд. долара в един удар са почти колкото всичко, което севернокорейските групи са откраднали през предходните няколко години взети заедно — тази кражба на практика удвоява общата сума, и почти сигурно финансират държавни програми, не частни джобове.

За останалите изводът е познат и скучен: входът не беше криптографски. Беше един служебен лаптоп — същият модел на компромитиране, който видяхме и при пробива в Chainalysis. Докато борсите харчат милиони за multisig схеми и аудити на смарт контракти, рекордът пада през работната машина на човека, който има достъп до нужния контейнер.