Саркис Дарбинян: Взломана крупнейшая криптовалютная биржа Binance. Кто стоит за кражей миллиардов?
Это самая большая, беспрецедентно большая кража. До этого, как я уже напоминал, все вспоминали историю с Bybit. Конечно, были и старые истории с Mt. Gox, но это было еще, знаете, в до-ИИ-эпоху, когда таких сильных систем защиты, а также систем атаки еще просто не существовало. Поэтому по масштабам ее трудно с чем-то сравнить. Конечно, это совершенно пугающая история в рамках глобального мира…
Л. ШТИГЛИЦ: Всем привет! Вы слушаете «Эхо», меня зовут Лиза Штиглиц. И сейчас у нас на связи киберадвокат и правовой советник Гильдии VPN Саркис Дарбинян. Саркис, здравствуйте!
С. ДАРБИНЯН: Лиза, добрый день.
Л. ШТИГЛИЦ: Сегодня стало известно, что хакеры взломали Binance, крупнейшую в мире криптовалютную биржу. Несколько аналитических центров уже выступили с заявлениями, что за этой атакой может стоять Северная Корея. Насколько, по-вашему, верна эта теория?
С. ДАРБИНЯН: Учитывая, что подобный инцидент с северокорейцами уже был и у Binance, и у других бирж, все подозрения, конечно, падают на них. И северокорейцы, надо сказать, одни из лучших в этом. Собственно, кража валюты с криптокошельков является одной из основных статей дохода для северокорейского правительства. Про это уже многое говорили. И, конечно, эти ребята очень эффективны, как мы видим. Скорее всего, заражение и внедрение вредоносного кода произошло через личную машину, через компьютер одного из разработчиков, который использовался для того, чтобы внедрить на Binance вредонос, который уже позволил выкачать деньги.
Л. ШТИГЛИЦ: А что мы вообще знаем о северокорейских хакерах? Стоят ли они еще за какими-то известными атаками?
С. ДАРБИНЯН: Да, конечно. Одной из крупнейших была атака на Bybit. До Binance это был крупнейший взлом — тогда насчитали порядка двух миллиардов. Сейчас цифра уже в три раза больше. Аналитики говорят о шести миллиардах, и три миллиарда украденных средств через Ethereum, через эфир, уже были выведены на децентрализованные платформы. Остальное, по сообщениям эмитентов стейблкоинов USDC, вроде как удалось заблокировать, чтобы эти средства не были выведены и переведены в какие-нибудь анонимные криптовалюты.
Л. ШТИГЛИЦ: Почти одновременно о взломе сообщил Polymarket, он также разослал своим пользователям информацию об инциденте с безопасностью. Могут ли эти инциденты быть связаны?
С. ДАРБИНЯН: Могут. Естественно, объектом атаки могут быть разные платформы. Скорее всего, эти ребята работают сразу в нескольких направлениях. Не все атаки оказываются эффективными, потому что часть вредоноса удается зафиксировать и устранить на ранних стадиях. Но, конечно же, хакеры стараются увеличить конверсию и посмотреть, кто же все-таки попадется в лапы жуликам. Поэтому прямой информации о том, что есть связь, пока нет, но подозрения очень высокие, что за этим стоит одна и та же группа Lazarus либо кто-то из других северокорейских организаций.
Л. ШТИГЛИЦ: А как устроены эти организации в Северной Корее? Это какие-то изолированные группировки или централизованная программа?
С. ДАРБИНЯН: Я бы сказал, что это часть государственной программы Северной Кореи, и эти группировки в том числе финансируют ядерную программу. Поэтому это, конечно, скорее достаточно организованные централизованные органы, в координации атак которых непосредственно участвуют спецслужбы Северной Кореи. А дальше, естественно, это распределенная сетка, которая включает хакеров не только в Северной Корее, но и в других частях света, работающих на одну цель.
Л. ШТИГЛИЦ: Насколько вообще блокчейн-системы защищены от взломов? Стоит ли ожидать других похожих попыток?
С. ДАРБИНЯН: Тут скорее не про блокчейн. Все-таки здесь был скомпрометирован не блокчейн. Блокчейн сам по себе — достаточно простой программный код с большой таблицей, которая распределена по всем странам. Скорее, речь идет о софте централизованных площадок вроде Binance, бирж, криптокошельков. И там, конечно, уязвимости находят каждый день. Как правильно сказал Маск: «Every day — zero day». То есть этот нулевой день теперь случается все чаще. Сначала крупная атака на PHP, а потом вот это. Сегодня многие говорят про ИИ-апокалипсис. Конечно, мы уже начинаем его чувствовать, потому что инциденты происходят ежедневно. И в этом плане мощные модели искусственного интеллекта очень сильно помогают группировкам вроде Lazarus организовывать свои атаки.
Л. ШТИГЛИЦ: А как сейчас устроено противодействие этим хакерским группировкам?
С. ДАРБИНЯН: Противодействие строится на международном уровне. Это, конечно, CERT — центры исследования киберугроз по всему миру, которые взаимодействуют и делятся информацией об уязвимостях. Работают, конечно, спецслужбы западных стран — и американские, и европейские. Между ними идет координация для обмена информацией. И, естественно, часть этой информации используется для предотвращения атак. Но, как мы видим, международное сотрудничество далеко не настолько эффективно, чтобы предотвратить все возможные варианты.
Л. ШТИГЛИЦ: Если хакеры используют возможности искусственного интеллекта, могут ли безопасники использовать их в ответ? Или пока это не очень хорошо настроенная история?
С. ДАРБИНЯН: Нет, это достаточно хорошо настроенная история. Если мы говорим, например, о мощных системах искусственного интеллекта, о последней модели Claude, то, конечно, вы не можете просто так получить Fable, последнюю модель от Anthropic. Но если вы занимаетесь кибербезопасностью и обоснуете компании, что вам необходимы эти инструменты для защиты, для построения щита от кибератак, то вам эти инструменты дадут. Я допускаю, что через какие-то прокси-организации, которые выступают как компании по информационной безопасности, можно также получить доступ к этим инструментам — учитывая, что, давайте честно, крупнейшие языковые модели не так уж сильно охраняют доступ. Все-таки это коммерческие продукты, любой может купить их из любой точки мира, кроме санкционных территорий. Хотя мы знаем, что даже российская сторона активно использует передовые модели, несмотря на все ограничения и их блокировку внутри страны.
Л. ШТИГЛИЦ: Были ли в последнее время другие настолько же масштабные кражи денег?
С. ДАРБИНЯН: Это самая большая, беспрецедентно большая кража. До этого, как я уже напоминал, все вспоминали историю с Bybit. Конечно, были и старые истории с Mt. Gox, но это было еще, знаете, в до-ИИ-эпоху, когда таких сильных систем защиты, а также систем атаки еще просто не существовало. Поэтому по масштабам ее трудно с чем-то сравнить. Конечно, это совершенно пугающая история в рамках глобального мира.
Л. ШТИГЛИЦ: А нуждаются ли эти деньги, если их попытаются потратить, в какой-то легализации? Как это происходит? Можно ли их отловить?
С. ДАРБИНЯН: Можно. И, конечно, Binance уже привлек крупнейшие агентства по форензике, по цифровой криминалистике. Естественно, они будут обнаруживать все следы транзакций, связи кошельков, выстраивать графы. И в рамках этого, естественно, будут страдать и невиновные люди, потому что будут блокироваться не только кошельки, на которые эти средства переводились, выводились, но и сопряженные кошельки. Вплоть до пятого хопа, до пятого кошелька, они могут попадать в зону интереса правоохранителей и самого Binance, поэтому не исключено, что их тоже будут блокировать. Когда речь идет все-таки о стейблкоинах вроде Tether или Circle, эмитент очень легко может заблокировать монеты прямо на холодных кошельках. Не обязательно, чтобы они были на биржевых.
Но если жулики начинают использовать так называемые свопы и переходы из одних валют в другие, в том числе такие как Monero, Zcash, то распутать историю становится всё сложнее. Требуется привлечение очень серьезных инструментов блокчейн-аналитики, иногда даже специальные операции по компрометации некоторых узлов, так называемых нод. Но в истории такое было, поэтому размотать можно. Но, конечно, это очень дорогостоящая операция, которая потребует участия сразу нескольких государств и правоохранителей разной квалификации.
Л. ШТИГЛИЦ: Насколько регулирование, которое вводится в сфере криптовалют, влияет здесь на ситуацию? Может ли оно застраховать вкладчиков?
С. ДАРБИНЯН: Нет никакого глобального регулирования. Есть регулирование в рамках США — достаточно либеральное, есть более жесткое регулирование Европейского союза и уж совсем изолированный российский санкционный криптоконтур, который сейчас строит ЦБ. Сказать, что всё это помогает, конечно, не приходится. Регулирование скорее пытается бороться с какими-то, скажем так, рядовыми гражданами и компаниями, но оно точно не нацелено на борьбу с северокорейскими группировками, которым, давайте честно, это регулирование побоку. Они используют любые дырки и возможности, чтобы внедрять вредоносный код и похищать.
Поэтому здесь это не вопрос регулирования, это вопрос кибербезопасности, достаточно серьезной кибербезопасности. И этим, конечно, должны заниматься прежде всего частные акторы, которые являются участниками этих транзакций.
Л. ШТИГЛИЦ: Саркис, спасибо, что вышли сегодня с нами на связь. Вы слушаете «Эхо», меня зовут Лиза Штиглиц. На связи у нас был киберадвокат и правовой советник Гильдии VPN Саркис Дарбинян. Всего доброго.
С. ДАРБИНЯН: Пока-пока.