Хакери изгориха 90 милиона долара – само за да се изгаврят с Иран

Унищожаването на милиони, само за да не ги пипне режимът, вече не е хакерство, а нова форма на протест.

През нощта на 18-ти юни 2025 г. иранската борса за криптовалути Nobitex претърпя опустошителна кибератака, която според собствените ѝ твърдения е била подкрепена от прословутата произраелска група Predatory Sparrow. Хакерите твърдят, че са изтеглили над 90 млн. долара в криптовалута от платформата, а след това умишлено са унищожили средствата, като са ги изгорили на невъзстановими адреси – в знак на политически протест срещу Иран и неговия Корпус на стражите на ислямската революция (КСИР).

Първото съобщение за хакерската атака се появи в официалния акаунт на Nobitex в X в 2:24 ч. източно време. В него екипът заяви, че е открил неоторизиран достъп до част от инфраструктурата за отчитане и до така наречения „горещ портфейл“. След установяване на признаците на атака, достъпът до системите е бил блокиран и незабавно е започнало разследване. Към момента на публикуването уеб сайтът на Nobitex остава недостъпен.

Почти веднага след изявлението на самата борса в интернет се появи съобщение от хакерската група Predatory Sparrow, в което те поеха отговорност за атаката. Те обещаха да публикуват изходния код на платформата и вътрешни документи, откраднати от мрежата на компанията. Хакерите заявиха, че Nobitex е ключов финансов механизъм на иранския режим и се използва за заобикаляне на санкциите и финансиране на терористични организации.

Според аналитици от блокчейн компанията Elliptic от портфейлите на борсата наистина са изтеглени над 90 млн. долара в криптовалути. Както установиха експертите обаче, хакерите не са се опитали да запазят или осребрят откраднатите средства. Почти цялата сума е била изпратена на така наречените „vanity“ адреси, които представляват криптовалутни портфейли, чиито имена съдържат уникални фрази, в този случай обидни за IRGC, включително например „FckIRGCterrorists“.

Създаването на такива адреси е технически изключително трудно, тъй като изисква огромна изчислителна мощ и голям брой опити за генериране на ключове, за да се получи правилното текстово съвпадение. Според Elliptic на практика няма никакъв шанс частният ключ да съвпадне с такъв адрес. Това означава, че изпратената там криптовалута е окончателно загубена – не може да бъде използвана или върната.

Според анализаторите естеството на инцидента не носи признаци на финансова мотивация. По-скоро става въпрос за демонстративен жест с цел да се навреди на репутацията и инфраструктурата на борсата. В същото време разследването на Elliptic потвърждава връзките на Nobitex с влиятелни фигури и структури, близки до иранските власти. Освен това борсата се споменава и в разследванията, свързани с изпирането на средства от операции с рансъмуера DiskCryptor и BitLocker.

Predatory Sparrow извърши атаката срещу Nobitex непосредствено след като удари Bank Sepah – държавната банка, контролирана от иранските власти. И в двата случая целта не е била печалба, а разрушаване на икономически и технологични инструменти. Тези действия се извършват на фона на нарастващата изолация на Техеран: страната все повече ограничава достъпа до глобалния интернет в опит да защити инфраструктурата си от външна намеса.