Эксперты уверены, что хакер Balancer готовил операцию несколько месяцев

Ончейн-данные указывают, что за взломом децентрализованной биржи (DEX) и автоматического маркетмейкера (AMM) Balancer на $116 млн стоит профессиональный хакер, который готовил операцию несколько месяцев. Он не оставил ни одной улики.

К такому выводу пришли аналитики, изучившие его транзакции .

По данным аналитиков, злоумышленник аккуратно пополнял свой кошелек небольшими переводами по 0,1 ETH через криптомиксер Tornado Cash, чтобы не попасть под радары аналитических систем.

Директор Coinbase Конор Гроган рассказал, что у хакера было не менее 100 ETH, заблокированных в смарт-контрактах Tornado Cash, что может указывать на его связь с другими атаками.

«Похоже, это опытный хакер. Он пополнил счет через депозиты в 100 ETH и 0,1 ETH из Tornado Cash; утечек, связанных с безопасностью, нет. Так как недавних депозитов на 100 ETH в Tornado не было, вероятно, злоумышленник хранил средства там еще с прошлых взломов», — написал Гроган.

Он добавил, что пользователи редко хранят такие суммы в приватных миксерах, что подчеркивает уровень подготовки злоумышленника.

Источник: Конор Гроган.

Balancer предложил хакеру вернуть украденные средства в полном объеме за вычетом вознаграждения, пообещав выплатить 20% в качестве «white hat»-бонуса, если он вернет средства до 5 ноября.

По теме: вооруженные ИИ хакеры из КНДР выходят на новый уровень — Mysten Labs

«Мы работаем с ведущими исследователями по кибербезопасности, чтобы понять причину инцидента, и опубликуем подробный отчет, как только он будет готов», — заявили представители Balancer.

Самая сложная атака года

Сооснователь и генеральный директор компании Cyvers Дедди Левид назвал инцидент с Balancer одной из самых «технически сложных атак 2025 года».

«Злоумышленники обошли уровни контроля доступа и напрямую изменили балансы активов. Это критический сбой в операционном управлении, а не в коде протокола», — отметил Левид.

По его словам, этот случай показывает, что стандартные аудиты смарт-контрактов уже не дают должного уровня защиты. Он также призвал перейти к постоянному, реальному мониторингу транзакций, чтобы выявлять подозрительную активность до вывода средств.

По теме: смарт-контракты Ethereum стали хранилищем вредоносных ссылок

Группа Лазарь снова в поле зрения

Аналитики также провели параллели с действиями северокорейской группы Лазарь, известной масштабными кибератаками.

В Chainalysis отметили, что активность, связанная с хакерами из Северной Кореи, резко упала после 1 июля 2024 года, хотя до этого наблюдался всплеск атак.

Активность хакеров из КНДР до и после 1 июля. Источник: Chainalysis.

Руководитель отдела исследований киберпреступлений платформы Эрик Джардин объяснил, что пауза могла быть связана с перегруппировкой и выбором новых целей.

По данным Chainalysis, группе Лазарь потребовалось всего 10 дней, чтобы отмыть все похищенные средства с Bybit через децентрализованный кроссчейн-протокол THORChain.

По теме: CZ предупредил о 60 подставных разработчиках из КНДР, выявленных SEAL

Источник