Circa metà dei 6,43 miliardi di dollari rubati da Binance il mese scorso non è ancora stata riciclata, ha dichiarato la società di analisi blockchain Elliptic in un rapporto aggiornato venerdì. A 6,43 miliardi di dollari, il bottino è più di quattro volte superiore all'hack da 1,5 miliardi di dollari subito da Bybit a febbraio 2025.

Circa 3,11 miliardi di dollari si trovano ancora su indirizzi collegati al furto, per lo più in ETH e Bitcoin, e tali fondi sono "molto probabilmente" ancora detenuti dalla Corea del Nord, ha dichiarato Elliptic. Altri 2,85 miliardi di dollari, pari al 44% del bottino, sono stati congelati o sequestrati — per lo più stablecoin che emittenti tra cui Tether e Circle hanno congelato entro un'ora dal furto. Questo rispetto a circa il 3% congelato dopo l'hack da 1,5 miliardi di dollari subito da Bybit a febbraio 2025, secondo Elliptic.

Si ritiene che finora sia stata incassata solo una quota trascurabile dei fondi rubati. Elliptic si aspetta che l'attaccante converta i fondi in Bitcoin e li incassi tramite broker over-the-counter nell'arco di mesi, replicando lo schema seguito dall'hack di Bybit del 2025.

In un aggiornamento pubblicato su X venerdì, Elliptic ha dichiarato che gli XRP rubati avevano iniziato a muoversi:

Binance hack update: the XRP has started moving. About $50 million has been swapped, mostly through THORChain into BTC, with about $226 million still to move. Bitcoin converted from other stolen assets is now about 1,650 BTC ($124 million), almost twice the figure a day earlier.…

— Elliptic (@elliptic) November 6, 2026

L'FBI ha attribuito il furto del 29 ottobre a hacker nordcoreani che chiama TraderTraitor. La Corea del Nord ha negato il proprio coinvolgimento.

Elliptic ha descritto l'operazione di riciclaggio finora come "altamente complessa e chiaramente automatizzata". Ha coinvolto più di 20.000 wallet su 16 blockchain, almeno 36 servizi e almeno 65.000 transazioni — circa un nuovo wallet creato ogni 30 secondi.

I18.270 BTC rubati da Binance, per un valore di circa 1,5 miliardi di dollari al momento del furto, furono suddivisi su 19 indirizzi il giorno dell'hack e non si sono più mossi. Anche i nove principali indirizzi Ethereum, che detengono l'89% dell'ETH dell'attaccante, sono inattivi dal 30 ottobre.

Come si stanno muovendo i fondi

La porzione maggiore del riciclaggio finora — circa 220 milioni di dollari in TRX — è passata attraverso Tron. Un singolo wallet di distribuzione ha inviato 684,6 milioni di TRX a centinaia di indirizzi appena creati nell'arco di 51 ore, compresa l'intera notte a Pyongyang. Quasi tutti i TRX sono stati successivamente trasferiti via bridge su Ethereum

Tutti i Solana rubati, circa 87 milioni di dollari ai prezzi attuali, sono stati scambiati, trasferiti via bridge o miscelati. L'attaccante ha anche iniziato a riciclare gli XRP rubati, con circa 50 milioni di dollari convertiti finora e circa 226 milioni ancora da muovere. In totale, circa 124 milioni di dollari sono stati convertiti in Bitcoin, in gran parte tramite il servizio cross-chain THORChain.

Una quota minore dei fondi è stata miscelata. Circa 33 BTC, per un valore di circa 2,5 milioni di dollari, sono passati attraverso coinjoin in stile Wasabi, mentre circa 1,1 milioni di dollari in ETH e SOL sono stati depositati nel pool Privacy Cash, che ha sospeso i depositi per circa un giorno.

La velocità dell'operazione ha alimentato le speculazioni che agenti AI stiano muovendo i fondi, ma Elliptic ha affermato che le prove indicano un'automazione convenzionale. "Il riciclaggio è chiaramente automatizzato, ma nulla di ciò che abbiamo visto mostra un agente AI che prende decisioni", ha dichiarato la società.

Elliptic si aspetta che l'attaccante scambi l'ETH in Bitcoin e poi incassi tramite broker OTC e exchange nell'arco di mesi. Dopo l'hack di Bybit, la Corea del Nord ha riciclato tutti i 499.000 ETH rubati entro 10 giorni ma ha impiegato mesi per completare l'incasso, ha notato la società. Finché l'incasso non si sarà concluso, gli indirizzi Bitcoin ed Ethereum inattivi che detengono la maggior parte dei fondi non ancora riciclati, insieme al ritmo delle restanti conversioni di XRP, sono i principali indicatori da monitorare con il progredire dell'operazione.

Binance continua a ripristinare i servizi

Binance ha continuato a ripristinare i servizi dopo il furto. Venerdì, l'exchange ha dichiarato che gli utenti possono ora verificare che i propri saldi siano coperti almeno 1:1 utilizzando la prova a conoscenza zero dell'ultimo snapshot proof-of-reserves. L'exchange ha aggiunto che punta a riaprire i prelievi per tutti i sulle reti ripristinate entro la fine della prossima settimana. Se tale obiettivo verrà raggiunto sarà il prossimo riscontro visibile della ripresa di Binance.