Взлом Bybit: как отмывали украденные средства

По данным ФБР, в феврале 2025 года северокорейские хакеры украли у биржи Bybit криптоактивов примерно на $1,5 млрд. ФБР пишет, что похитители быстро обменяли часть средств на биткоин и другие активы и раскидали их по тысячам адресов в нескольких блокчейнах. Через много переводов такие монеты могут дойти до обычных пользователей — поэтому AML-сервисы и помечают их как украденные средства.

Что сообщило ФБР

26 февраля 2025 года ФБР выпустило публичное предупреждение I-022625-PSA. В нём сказано, что за кражей около $1,5 млрд в виртуальных активах у Bybit примерно 21 февраля 2025 года стоит Северная Корея.^[1]

Эту активность КНДР ФБР называет TraderTraitor.^[1] Название не новое. В совместном предупреждении 2022 года ФБР, CISA и Минфин США так обозначили северокорейскую государственную группу, которая атакует криптобиржи, DeFi-протоколы и трейдинговые компании. Там же сказано, что в индустрии этих же исполнителей отслеживают как Lazarus Group, APT38 и BlueNoroff, а сотрудников они часто заманивают фальшивыми вакансиями и заражёнными «торговыми» приложениями.^[2]

Как двигались средства

ФБР описало отмывание в общих чертах:^[1]

• Действовали быстро. Часть украденного обменяли на биткоин и другие виртуальные активы.
• Средства раскидали по тысячам адресов в нескольких блокчейнах.
• ФБР ожидало, что активы будут отмывать дальше и в итоге выведут в фиат.

В предупреждении перечислен 51 адрес в Ethereum, на которых лежат или лежали средства от кражи и которые связаны с TraderTraitor. ФБР просит операторов RPC-узлов, биржи, мосты, компании блокчейн-аналитики, DeFi-сервисы и других провайдеров услуг в сфере виртуальных активов блокировать транзакции с этими адресами или происходящие от них.^[1]

Важен сам этот список. ФБР обращается не только к биржам. Оно называет инфраструктуру, через которую средства меняют сеть или актив.

Почему кроссчейн-обмены ломают простые проверки

Кража в Ethereum не остаётся в Ethereum. Кроссчейн-протоколы позволяют обменять одну нативную монету на другую. Например, THORChain описывает себя как децентрализованный кроссчейн-протокол ликвидности, который не использует привязанные или «обёрнутые» активы. Среди поддерживаемых сетей первого уровня в документации названы BTC и ETH.^[3]

На практике это значит: с одной стороны заходит ETH, с другой выходит настоящий BTC. У биткоин-адреса, который его получил, нет собственной истории в Ethereum. Сервис, который смотрит только одну сеть, связь не увидит. Хорошие AML-инструменты отслеживают такие обмены между сетями, и биткоин-адрес может получить метку «украденные средства», которая началась с кражи в Ethereum. Как сервисы с этим справляются — на странице о THORChain.

Какие именно сервисы обмена и мосты использовали хакеры, в предупреждении ФБР не сказано. Мы их тоже не называем.

Санкционная сторона

Украденные средства и санкционные — разные категории риска. В случае КНДР они пересекаются.

В 2019 году Минфин США ввёл санкции против Lazarus Group, Bluenoroff и Andariel как кибергрупп, подконтрольных государству КНДР. По данным Минфина, Lazarus контролирует главная разведслужба страны — Разведывательное главное бюро. Американским лицам в целом запрещено иметь дело с их заблокированным имуществом.^[4]

OFAC действовал и против тех, кто отмывает для них деньги. В его руководстве для криптоиндустрии приведён случай марта 2020 года: санкции получили два гражданина Китая, которые отмывали около $100 млн в криптовалюте, украденной с двух бирж в рамках северокорейской схемы.^[5]

В том же руководстве сказано, что санкционные обязательства одинаково действуют для криптовалюты и фиата и что компании не должны участвовать в запрещённых сделках ни прямо, ни косвенно. OFAC может штрафовать по принципу строгой ответственности — то есть компания отвечает, даже если не знала о нарушении.^[5] О заблокированной криптовалюте нужно сообщить в OFAC в течение 10 рабочих дней.^[5]

Поэтому биржи так жёстко реагируют на монеты, связанные с Bybit. Для них это вопрос не только кражи, но и санкций. Как сервисы оценивают такой риск, — на странице о санкционном риске.

Что это значит, если монеты пришли к вам

Большинство тех, через кого проходят такие средства, не отмыватели. Это следующий покупатель в P2P, продавец, которому заплатили в BTC, или трейдер, продавший монеты OTC-брокеру.

AML-сервис оценивает происхождение монет. Если на адрес пришли средства, которые ведут к краже, в отчёте может появиться «украденные средства», «санкции» или обе метки, часто с долей от баланса. Подробнее — в категории «Украденные средства».

Что будет дальше, решает платформа-получатель, а не сервис проверки. Биржа может придержать депозит, запросить объяснения или заблокировать его. Низкий риск в одном сервисе бирже ничего не обещает: она может пользоваться другим провайдером.

Это не юридическая консультация. Если у вас крупная сумма с прямой связью с этими адресами, обратитесь к юристу.

Что делать

1. Проверяйте до сделки. Прогоните адрес отправителя через AML-сервис до P2P- или OTC-сделки, а не после.
2. Смотрите все сети. Если получаете BTC, выбирайте сервис, который отслеживает кроссчейн-обмены. Проверка одной сети может пропустить происхождение из Ethereum.
3. Читайте категорию, а не только балл. «Украденные средства» и «санкции» рядом с КНДР — метки высокого риска, даже при небольшой доле.
4. Не отправляйте помеченные монеты на биржу «на пробу». Депозит могут заморозить, и объясняться придётся вам.
5. Сохраняйте подтверждения. Переписка, чеки и хеши транзакций пригодятся, если платформа спросит о происхождении средств.
6. Сообщайте о том, что знаете. ФБР принимает сообщения через местные отделения или на ic3.gov.^[1]

Если биржа уже придержала ваш депозит, начните с материала «Биржа заморозила USDT». Сравнить сервисы, которые отслеживают средства между сетями, можно в обзорах.

Этот и другие крупные инциденты с помеченными адресами мы собираем в трекере взломов и заморозок.