史上最大規模となったBinanceの盗難事件の背後にいるハッカーが、盗まれたXRPの大きな割合をビットコインに変換し始めた。ブロックチェーン分析企業Ellipticが金曜日時点までをカバーする最新アップデートで報告したもので、約4,200万XRP(約5,000万ドル相当)がすでに交換されており、その大半は中央のカストディアンを介さずにブロックチェーン間でネイティブ資産を交換する分散型クロスチェーンスワップネットワークTHORChain経由でルート化されている。

この変換により、ハッキングのその他の盗難資産から由来するビットコインは、一夜にして約1,650BTC(約1億2,400万ドル相当)まで増加したとEllipticは報告している。増加の大半はXRPのルートによるもの。約1億9,200万XRP(約2億2,600万ドル相当)は、盗難に関連するアドレスにまだ交換されずに留まっている。

このXRPは、Binanceが後に63.4億ドルと評価した10月29日の引き出し事件の一部だった。当日の20:05から20:09(UTC)にかけて、5つのインターネット接続されたホットウォレットが2億3,346万XRPを攻撃者が管理するアドレスに送金した。FBIはこの一連の攻撃を北朝鮮のTraderTraitorグループによるものとしており、同グループは米当局から、これまでに一連の高額な取引所およびブリッジ盗難事件に関連付けられている。Binanceはその後、出金を段階的に再開し、約28.5億ドルを凍結または傍受したと発表するとともに、顧客の損失を自己資金で補填している。

盗まれたXRPが動き始めた経緯

盗まれたXRPは当初、静かに留まっていた。11月2日の早朝、02:12から04:00(UTC)の間に、約2億3,300万XRPの全量が6つの新しいアドレスに移動し、Ellipticによれば11月5日までそこに留まっていた。11月5日の午後から、その6つのアドレスのうち2つがXRPを数十の新しいアカウントへ転送し始め、これらのアカウントが資金を交換した。その大部分はTHORChainを通じてビットコインに変換されている。同日夕方には、少量のイーサもTHORChainを経由してビットコインに変換された。

盗難資産の主要なビットコインおよびイーサの保有分(最大のプール)はまだ動いていないとEllipticは述べている。このパターンは、Bybitハッキング(2025年2月に取引所から約15億ドルのイーガ奪われ、FBIにより北朝鮮系ハッカーの犯行とされた事件)の後に同社が観察したものと一致している。すなわち、凍結可能な流動性中程度のトークンをまずビットコインに変換し、その後OTCブローカーを通じて現金化を図るという手口である。

マネーロンダリングの足跡はすでに非常に広範囲に及んでいる。盗難以来、Ellipticは16のブロックチェーン上で2万を超えるウォレット、少なくとも36のサービス、少なくとも6万5,000件のトランザクションを確認しており、これは約30秒ごとに1つの新規ウォレット、10秒ごとに1件のトランザクションに相当する。約31.1億ドルが侵害に関連するアドレスに残っており、その大半はイーサとビットコインである一方、これまでに現金化された金額はごくわずかとみられる。

なぜXRPとビットコインが重要なのか

発行体は多くのステーブルコインを凍結できる。しかしXRPを同じ方法で凍結することはできず、ビットコインを凍結することもできない。10月29日にTetherとCircleが大量のステーブルコインをロックダウンした後、攻撃者はその緊急停止スイッチの対象外となる資産を優先した。XRPをビットコインに交換する行為は、このロジックの延長である。ビットコインは新しいアドレス群に分割されてしまえば、取り戻すことがはるかに困難になる。

盗まれたSOL(Ellipticの評価額で約8,700万ドル)のすべては、すでに交換、ブリッジまたはミックスされており、その多くはビットコインとして行き着いた。初期のTronでのマネーロンダリングの大部分(約2億2,000万ドル相当のTRX)もすでに実行済みであり、Bitcoin Magazineはハッキング前にT3 Financial Crime Unitが静かに停止されたことを報じる際に、この資金の流れを指摘していた。主要なイーサおよびNEARのプールのうち動いたのはごく一部にとどまっている。

変換されたビットコインの一部は、Wasabi型のcoinjoin(多数の支払者のコインをプールして追跡可能なつながりを断ち切るミキシング手法)に流入しており、11月1日以降約33BTC(250万ドル相当)に達している。また、約110万ドル相当のイーサとSOLが、Privacy Cashプールが入金を停止する前に流入した。Ellipticによれば、この速度はAIエージェントによるリアルタイムの意思決定ではなく、従来型の自動化を示している。すなわち、固定されたタイミング、設定された金額、無差別の再試行、そして数時間おきに導入される新戦術である。

米国の銀行監督当局は、Binance侵害の後にすでに銀行各社に状況確認を行っている。ビットコイン市場にとってより差し迫った問いは、誰かが現金化を試みる前に、残りの約1億9,200万XRP、そして最終的には保留中のイーサのどれだけがBTCに変換されるかである。

今後の焦点は、THORChainのオペレーターおよびその他のブリッジが、公表された攻撃者アドレスを十分に速やかにブロックし続け、XRPからビットコインへのパイプラインを減速させられるか、あるいは残りの資産も最初の5,000万ドルがたどった一夜の経路をなぞるのかという点である。

この記事は、Bitcoin Magazineに初掲載された投稿に基づくもので、執筆者はMicah Zimmerman。