«Когда государство превращает своих программистов в цифровых солдат, граница между работой и шпионажем исчезает.»
— Хакан Унал, руководитель отдела безопасности Cyvers
В сентябре 2025 года стало известно о масштабной кибератаке на SBI Crypto, дочернюю компанию японского финансового гиганта SBI Group. По данным блокчейн-исследователя ZachXBT, злоумышленники похитили активы на сумму около $21 миллиона. Инцидент произошёл 24 сентября, когда кошельки, связанные с компанией, зафиксировали несанкционированный вывод средств, включавший Bitcoin (BTC), Ethereum (ETH), Litecoin (LTC), Dogecoin (DOGE) и Bitcoin Cash (BCH).
После атаки средства были быстро перенаправлены через пять мгновенных обменников (instant exchanges) и в конечном итоге отправлены в Tornado Cash — миксер, запрещённый Минфином США за помощь в отмывании денег. Такая тактика характерна для хакерских групп, действующих под прикрытием государства, что породило серьёзные подозрения в причастности северокорейской группы Lazarus.
Как отметил Чарльз Гильем из Ledger: «Сегодня самый опасный сотрудник — это тот, чьё резюме выглядит слишком идеально.»
SBI Crypto — это ключевой игрок в японском криптовалютном секторе, входящий в состав SBI Holdings, одного из крупнейших финансовых конгломератов Азии. Компания предоставляет услуги по торговле, хранению и управлению цифровыми активами для институциональных и частных клиентов.
Особенности компании:
Именно этот статус делает SBI Crypto привлекательной мишенью: она хранит значительные объёмы активов и является частью доверенной финансовой системы, что увеличивает потенциальный ущерб при взломе.
Анализ ZachXBT позволил восстановить цепочку событий, указывающую на высокую степень подготовки злоумышленников.
Точные детали пока неизвестны, но возможные векторы:
Злоумышленники инициировали серию транзакций, переместив более чем $21 млн в различных криптоактивах с кошельков SBI Crypto.
Для сокрытия следов была использована сложная схема:
Этот путь затрудняет отслеживание и идентификацию конечного адресата.
Инцидент был обнаружен ZachXBT, который опубликовал данные в Telegram. На момент отчёта компания не выпустила официального заявления, что вызвало волну беспокойства среди пользователей и инвесторов.
Как сказал представитель PeckShield: «Скорость и методичность атаки говорят о профессиональной команде. Это не любители.»
Хотя окончательное подтверждение требует расследования правоохранительных органов, несколько факторов указывают на причастность хакеров из КНДР.
Использование нескольких мгновенных обменников перед попаданием в миксер — классическая стратегия групп, связанных с Пхеньяном. Она позволяет обходить KYC-проверки и быстро перемещать средства.
Северокорейские хакеры регулярно используют этот миксер. По данным Chainalysis, свыше 60% всех средств, похищенных DPRK, проходят через Tornado Cash.
По оценкам ООН, киберпреступления обеспечивают до 30% доходов Северной Кореи. Эти средства используются для финансирования ядерных программ и обхода международных санкций.
Группа Lazarus уже совершала нападения на японские и южнокорейские финансовые организации:
Как отметил Паоло Ардоино из Tether: «Каждый доллар, украденный из Web3, финансирует не просто преступление. Он финансирует государство.»
Инцидент имеет серьёзные последствия, выходящие за рамки потерянных средств.
Инвесторы и клиенты могут начать массово выводить средства из SBI Crypto, опасаясь повторения инцидента.
FSA Японии может потребовать проведения независимого аудита, временной приостановки операций или введения жёстких ограничений.
Центральные биржи (CEX) могут заморозить депозиты, связанные с украденными средствами, что усложнит их ликвидацию, но также затронет невиновных пользователей.
Япония позиционирует себя как безопасная и регулируемая юрисдикция. Этот инцидент может повредить её репутации на глобальном уровне.
Как сказал Скотт Дьюк Коминерс из a16z: «Один взлом может стоить стране десятилетия работы над доверием.»
Чтобы предотвратить подобные катастрофы, необходим системный подход.
Как сказал Виталик Бутерин: «Когда вредоносное ПО выглядит как легальное, граница между пользователем и жертвой исчезает.»
Инцидент с SBI Crypto — часть тревожной тенденции.
| Проект | Сумма убытков | Причина | Результат |
|---|---|---|---|
| SBI Crypto | $21 млн | Взлом, вывод в Tornado Cash | Расследование, подозрение на КНДР |
| Kinto | $1,9 млн | Неаудированный код | Закрытие проекта |
| Nemo Protocol | $2,6 млн | Проигнорированная уязвимость | Патч, план компенсации |
| Lykke | $22,8 млн | Атака Lazarus Group | Закрытие, судебные иски |
| BtcTurk | $48 млн | Взлом | Частичное возмещение |
Как видно, даже крупные и регулируемые платформы остаются уязвимыми перед хорошо организованными атаками.
На фоне инцидента усилилась координация между различными участниками экосистемы.
Блокчейн-охотник продолжает анализировать следы, а его команда уже обнаружила 60 подозрительных IT-специалистов, связанных с КНДР, и предупредила десятки компаний.
Бывший CEO Binance предупредил сообщество о тактике поддельных вакансий, используемых хакерами для проникновения в криптокомпании.
CEO Kris Marszalek подтвердил, что компания усиливает проверку кандидатов и опровергает любые слухи о компрометации, подчёркивая важность прозрачности.
Международные организации усиливают контроль за финансовыми потоками, связанными с КНДР, и добавляют новые адреса в санкционные списки.
Как сказал Эллисон Пирсон из Europol: «Когда мошенничество достигает размеров государственного бюджета, оно перестаёт быть преступлением. Это война.»
Атака на SBI Crypto — это не просто потеря денег. Это тревожный сигнал для всей индустрии. Мы больше не живём в мире, где безопасность ограничивается паролями и двухфакторной аутентификацией. Теперь она включает проверку каждого резюме, каждого собеседования и каждого нового сотрудника.
Ключевые выводы:
Как сказал Андреас Антонопулос: «Будущее Web3 зависит не от скорости транзакций, а от способности противостоять самым изощрённым врагам.»
Конфликт за контроль над цифровыми активами вышел за пределы кода и блокчейнов. Он переместился в офисы, на Zoom-собеседования и в профили LinkedIn. И пока мы будем верить, что безопасность — это только задача IT-отдела, наши двери будут открыты для тех, кто приходит с резюме, а не с брутфорсом. Защита Web3 начинается не с аудита смарт-контрактов, а с вопроса: «Кто вы на самом деле?»
