Аналитики изучили транзакции в десяти блокчейнах и сопоставили действия злоумышленников с предыдущими атаками северокорейских хакеров. На причастность TraderTraitor указывают предварительная подготовка кошельков, использование криптомиксера Tornado Cash и получение подписанных разрешений на операции задолго до вывода средств, объяснили эксперты. 

Подготовка началась как минимум за 36 часов до атаки, сообщила TRM Labs. Утром 28 октября подконтрольный хакерам кошелек получил несколько небольших переводов через Tornado Cash. На следующий день злоумышленники развернули вредоносный смарт-контракт и проверили его работу на тестовых адресах.

Для получения контроля над одним из горячих эфириум-кошельков Binance хакеры воспользовались механизмом EIP-7702, появившимся после обновления блокчейна Эфириума Pectra. Они подготовили 50 подписанных разрешений с последовательными номерами транзакций. Одно из разрешений оказалось действительным и позволило передать управление кошельком вредоносному контракту. Через три минуты и 24 секунды с адреса вывели 167 464 эфира и 63 других токена, включая 1,615 млрд стейблкоинов USDT.

Почти одновременно средства начали уходить с кошельков Binance в сетях Биткоин, Tron, Solana, XRP Ledger и других блокчейнах. Специалисты TRM Labs считают, что злоумышленники могли получить доступ к инфраструктуре подписания транзакций биржи. Это позволило проводить операции сразу в нескольких сетях, использующих разные криптографические механизмы.

Сама Binance
назвала причиной инцидента взлом ноутбука одного из своих инженеров. Предположительно, через него хакеры проникли в служебный контейнер и инициировали несанкционированный вывод средств. Доказательств утечки приватных ключей биржа пока не обнаружила. Личности злоумышленников Binance официально не подтвердила.

Ранее Федеральное бюро расследований США назвало северокорейскую группировку TraderTraitor причастной к взлому криптобиржи Bybit в феврале 2025 года. Тогда злоумышленники похитили криптовалюту на сумму около $1,5 млрд.