Біржа Binance заявила про масштабну хакерську атаку, внаслідок якої збитки можуть сягнути приблизно $6,3 млрд. Зловмисники, імовірно, отримали доступ через комп'ютер одного зі співробітників компанії. На зараз вдалося заблокувати близько $3 млрд, а керівництво біржі пообіцяло відшкодувати всі втрачені кошти. Якщо вказані суми підтвердяться офіційно, ця подія стане найбільшою крадіжкою за всю історію криптовалютного ринку.
Північна Корея вже тривалий час використовує кіберзлочинність і крадіжки цифрових активів як джерело прибутку. Поки ні сама Binance, ні правоохоронні органи офіційно не назвали винних, проте низка аналітичних компаній, серед яких CoinDesk, вказують саме на північнокорейські угруповання як імовірних виконавців.
Подібні звинувачення на адресу Пхеньяна лунають не вперше — КНДР вже не раз підозрювали у крадіжках криптовалюти на мільярди доларів. У цьому матеріалі ми зібрали головне зі звітів американського аналітичного центру CSIS про те, хто саме займається такими атаками, якими методами вони діють і куди спрямовують отримані гроші.
Хто міг стояти за атакою на Binance
Згідно зі звітом CSIS, вкрадені кошти Північна Корея спрямовує на фінансування ядерної та ракетної програм, обхід міжнародних санкцій, а також на підтримку самого режиму.
Частину коштів також витрачають на подальшу діяльність хакерських угруповань, які організовують нові атаки. По суті, кіберзлочинність перетворилася на одне з джерел наповнення державного бюджету КНДР. Усі військово-кібернетичні операції країни жорстко централізовані та підпорядковані найвищому політичному керівництву.
За даними IISS, відповідальність за фінансові кібератаки та зломи криптовалютних платформ несе Генеральне бюро розвідки (RGB), також відоме як Unit 586 — Підрозділ 586, заснований у 2009 році.
Усередині RGB та дотичних структур існує чіткий поділ обов'язків залежно від технічної спеціалізації та конкретних завдань.
Так, угруповання Lazarus Group та APT38, пов'язані з RGB, стоять за найбільшими кіберпограбуваннями у світі — серед них злам мережі Ronin Network (Sky Mavis), який завдав збитків на $600 млн.
Ще один підрозділ, Unit 180, — це спеціалізована структура у складі RGB, створена саме для атак на іноземні фінансові установи та викрадення коштів.
У межах Генерального бюро розвідки також діють Підрозділ 121, який шукає вразливості в системах і проводить атаки, Lab 110 разом з Office 35, що відповідають за розробку шкідливого програмного забезпечення, Office 414, який займається шпигунством за іноземними державами, та Office 98, що стежить за перебіжчиками з КНДР. Окремо виділяється APT45 (Andariel) — угруповання під керівництвом RGB, яке, крім військового шпигунства, застосовує програми-вимагачі для отримання коштів.
Скільки грошей вже вкрала КНДР
Північна Корея займається викраденням криптовалюти з 2017 року, хоча перші атаки на фінансові установи та окремих криптодилерів фіксували ще у 2014–2016 роках. За весь цей час зловмисники забрали щонайменше $5,8 млрд.
Найбільшим пограбуванням вважають злом біржі Bybit у лютому 2025 року, коли хакери викрали майже $1,5 млрд у токенах Ethereum (ETH). Ця сума перевищила попередній рекорд у $620 млн, встановлений під час атаки на Ronin Bridge у 2022 році.
Найчастіше кіберпідрозділи полюють на криптовалютні активи — токени Ethereum (ETH), Bitcoin (BTC), USDC, Solana, — зламуючи такі біржі, як Bybit, Upbit, Youbit, а також міжмережеві мости на кшталт Ronin Bridge чи окремі токен-проєкти.
Під прицілом опиняються й центральні банки: у 2016 році КНДР намагалася викрасти $1 млрд. Генеральне бюро розвідки також цікавлять секретні технології, документація ядерних і ракетних програм, супутникові розробки, креслення та інформація про державні ядерні об'єкти.
Нерідко зловмисники блокують комп'ютерні мережі організацій, банків чи оборонних підприємств, вимагаючи плату за нібито повернення даних. Але частіше ці дані просто безслідно знищують, тому жертви, навіть заплативши викуп, нічого не отримують назад.
Як організована робота північнокорейських хакерів
Усі кібероперації контролюють Трудова партія та особисто Кім Чен Ин. За час його правління загальна чисельність кіберпідрозділів зросла до 6 000–6 800 осіб — удвічі більше, ніж за попередника. Серед них налічується 1 700 професійних хакерів.
Для проведення атак КНДР активно залучає віддалених IT-фахівців, яких направляють працювати у треті країни — Китай, Росію, ОАЕ, Камбоджу, Танзанію, Велику Британію та Португалію.
Використовуючи згенеровані фотографії, фіктивні резюме та викрадені персональні дані, такі фахівці влаштовуються в іноземні компанії. Там вони формують так звані «ферми ноутбуків»: спільники отримують від роботодавців робочі ноутбуки, а керують цими пристроями вже хакери з КНДР. Працюючи нібито звичайними розробниками, вони викрадають гроші та дані або залишають приховані «бекдори» для майбутніх атак.
За даними CSIS, щороку мережа віддалених IT-працівників КНДР за кордоном приносить державі від $350 млн до $800 млн.
Відмивають ці кошти через багаторазові перекази між десятками тисяч транзитних адрес, використовуючи децентралізовані міксери та перекидання активів між різними блокчейнами. У готівку гроші конвертують через централізовані біржі за участю підпільних брокерів або сервісів у третіх країнах.
Джерело: AIN.UA
