Tradertraitor: что известно о хакерской группе, которую связывают с кражей $6,3 млрд у Binance

TraderTraitor, северокорейская хакерская группа, оказалась в центре внимания после рекордного хищения $6,3 млрд с Binance. ФБР и аналитические компании связывают с ней не только эту атаку, но и ряд других крупных краж в криптоиндустрии, включая взломы Bybit и DMM Bitcoin. Главное о ситуации: ФБР связало TraderTraitor с атакой на Binance на $6,3 млрд. Ранее эту же группу обвиняли в кражах у Bybit и DMM Bitcoin. Группа делает ставку на социальную инженерию: фальшивые вакансии, подставных рекрутеров, собеседования и вредоносные тестовые задания для сотрудников криптокомпаний. После проникновения в инфраструктуру злоумышленники получают доступ к учетным данным, вмешиваются в процессы одобрения транзакций и выводят средства через глобальные схемы отмывания. Почему атака на Binance стала беспрецедентной Кража $6,3 млрд у Binance стала крупнейшим инцидентом в истории криптовалютного рынка. По масштабу она примерно в четыре раза превысила февральский взлом Bybit в 2025 году, когда было похищено $1,5 млрд. Ответственность за ту атаку ФБР также возложило на TraderTraitor. Один только взлом Binance почти удвоил оценку ущерба от действий северокорейских хакеров за несколько лет. В апреле TRM Labs оценивала общий объем криптовалюты, украденной хакерами из Северной Кореи с 2017 года, более чем в $6 млрд. По данным ФБР и расследования Bybit, атаки TraderTraitor часто начинались не с прямого технического взлома, а с подставного процесса найма или компрометации доверенных поставщиков программного обеспечения. Так хакеры добивались доступа к системам, через которые подтверждаются переводы. TraderTraitor — это элитное подразделение Северной Кореи, специализирующееся на краже криптовалюты. Lazarus выступает более широкой структурой для разных хакерских операций режима, а TraderTraitor — команда внутри нее, заточенная под хищение цифровых активов у бирж и кастодианов, заявил Ари Редборд, глобальный руководитель по политике и взаимодействию с госорганами в TRM Labs. Как появилось название TraderTraitor Название TraderTraitor стало публично использоваться после предупреждения, опубликованного в апреле 2022 года ФБР, Агентством по кибербезопасности и безопасности инфраструктуры США и Минфином США. В документе описывались вредоносные программы, замаскированные под приложения для торговли криптовалютой, а также атаки на биржи, DeFi-протоколы и инвесторов, которые отслеживались как минимум с 2020 года. Эту же группу также отслеживают под названиями Jade Sleet, UNC4899 и Slow Pisces. Она входит в более широкую сеть северокорейских киберопераций, которую исследователи часто объединяют под названием Lazarus. Американские ведомства считают, что задача таких операций — добывать средства для Пхеньяна. Еще в 2022 году власти США предупреждали: хакеры продолжат атаковать криптовалютные компании, чтобы зарабатывать и отмывать деньги в интересах режима Северной Кореи. В одном из случаев правительство Северной Кореи пыталось использовать USDT для покупки российской нефти. Том Маклаут, старший аналитик разведки Chainalysis, описывает TraderTraitor как финансово мотивированную группу угроз из КНДР, которая выбирает целями криптовалютные организации, учреждения, DAO, протоколы и связанные с ними структуры. При этом ее методы далеки от киношного образа хакеров, которые просто превосходят защитные системы за счет выдающихся навыков программирования. TraderTraitor чаще бьет по людям и процессам, а не только по коду. От фальшивой вакансии до вывода средств Один из характерных эпизодов произошел в марте 2024 года. Человек, выдававший себя за рекрутера в LinkedIn, связался с сотрудником Ginco, японской компании, разрабатывающей программное обеспечение для кошельков. Он отправил кандидату якобы тестовое задание по программированию, размещенное на GitHub. Внутри задания находился вредоносный код, который в итоге скомпрометировал компьютер сотрудника. Через два месяца злоумышленники использовали украденные данные сессии, чтобы выдать себя за сотрудника и попасть в коммуникационную систему Ginco. Следователи считают, что этот доступ, вероятно, помог им вмешаться в легитимный запрос на транзакцию от японской биржи DMM Bitcoin. DMM потеряла около 4 503 Bitcoin на сумму $308 млн. Этот инцидент стал одним из факторов, которые в дальнейшем привели к закрытию платформы. По словам Маклаута, TraderTraitor эксплуатирует не только технологии, но и доверие. Один из признаков, по которым аналитики связывают атаки с этой группой, — тщательно подготовленная легенда перед взломом и уровень предварительной проработки. Список эпизодов не ограничивается Ginco и DMM Bitcoin. ФБР связывало хакеров, относимых к TraderTraitor, с кражами у AlphaPo, CoinsPaid и Atomic Wallet в 2023 году. Тогда были похищены соответственно $60 млн, $37 млн и $100 млн. Форензические специалисты LayerZero также оценивали, что группа стояла за апрельской кражей $292 млн с моста KelpDAO. Как могла развиваться атака на Binance В случае Binance, по данным биржи, хакеры снова использовали сценарий с трудоустройством. Директор по безопасности Binance Джимми Су сообщил, что в сентябре с инженером-программистом связался человек, представившийся директором проекта. Затем предполагаемый представитель отдела кадров провел с инженером интервью и показал аккаунт в социальной сети с личными фотографиями, чтобы вызвать доверие. Второе собеседование, уже с якобы генеральным директором, завершилось просьбой скачать тестовое задание по программированию на рабочий компьютер. В задании находился вредоносный код. Позже он позволил злоумышленникам использовать скомпрометированную машину и внутренний AI-инструмент для атаки на крупнейшую криптовалютную биржу в мире. TraderTraitor охотится за крупной добычей и сначала выбирает людей, а уже потом переходит к коду. Схема выглядит просто: поддельный рекрутер, поддельное собеседование и один сотрудник, который запускает один файл, сказал Ари Редборд. По его словам, после первого проникновения группа действует терпеливо: неделями готовится, выжидает подходящий момент, а затем выводит все сразу. Редборд отметил, что каждая следующая атака, похоже, приносит злоумышленникам все более крупные суммы, и такая тактика будет продолжаться, пока остается эффективной. Chainalysis и TRM с высокой степенью уверенности также приписывают взлом Binance TraderTraitor, опираясь на разные факторы. Группа, созданная для криптокраж Истоки TraderTraitor связывают со специализированной группой по хищению криптовалюты, которую в 2016–2017 годах создала внешняя разведывательная служба Северной Кореи — Главное разведывательное управление. В отчете Многосторонней команды по мониторингу санкций за октябрь 2025 года, объединяющей 11 стран и отслеживающей нарушения санкционного режима против Северной Кореи, TraderTraitor отнесена к 110-му Научно-исследовательскому институту бюро. Редборд утверждает, что подготовка кадров для подобных команд начинается с детства. Одаренных детей направляют в специализированные школы STEM, дают им доступ к интернету и отправляют в Китай развивать навыки. Это похоже на то, как раньше Россия выращивала гимнастов. Принцип тот же, только дисциплина — киберпреступность, сказал Редборд. После проникновения в системы цели группа ищет учетные данные для облачных сервисов и криптографические ключи, которые могут открыть более широкий доступ, объясняет Маклаут из Chainalysis. По его словам, сам факт использования действительного ключа еще не означает, что за ним стоит легитимный пользователь. В одном из случаев, связанных с TraderTraitor, хакеры применили административные привилегии, чтобы отключить многофакторную аутентификацию, получить доступ, а затем снова включить защиту. Название пострадавшей организации не раскрывалось. Маклаут считает, что компаниям нужно анализировать не только корректность учетных данных, но и то, кто, когда и в каких условиях ими пользуется. Симоне Имбресия, вице-президент платформы безопасности Immunefi, ранее отмечал, что если атакующий получает контроль над операционным уровнем, ему может уже не понадобиться красть ключ напрямую или искать уязвимость в смарт-контракте. Как отслеживают украденные средства Chainalysis считает одним из наиболее сильных доказательств связь средств, похищенных у Binance, с доходами от сентябрьского взлома Bitget примерно на $388 млн. Ту атаку также приписывают Северной Корее. Пхеньян отрицает причастность. Ким Е Чжон, сестра лидера Ким Чен Ына, назвала выводы ФБР «абсурдной риторикой». Маклаут подчеркивает, что TraderTraitor использует множество ресурсов, инструментов и третьих сторон. Хотя часто предполагается, что такие злоумышленники действуют из Пхеньяна, по данным партнеров Chainalysis и юридических действий, многие из них работают за пределами Северной Кореи. По его словам, специалисты, связанные с КНДР, действуют в десятках стран и становятся все более децентрализованными. Цель TraderTraitor не сводится к самой краже. Группе нужно отмыть активы и привести их в форму, которую можно использовать. В прошлых операциях внебиржевые трейдеры в конечном счете конвертировали криптовалюту в фиатные деньги, доступные правительству Северной Кореи. Чаще всего речь шла о торговых компаниях в юрисдикциях со слабым регулированием или без него. Даже такие перемещения оставляют следы в блокчейне. Следователи могут использовать транзакционные данные, чтобы отслеживать потоки средств и находить сервисы, где переводы или конвертацию можно остановить. Маклаут считает, что защита не должна начинаться только в момент вывода денег. То, что происходит до кражи, нужно изучать так же тщательно, как и последующее отмывание средств.