ブロックチェーン分析企業Ellipticが月曜に発表した洗浄キャンペーンの分析によると、北朝鮮のハッカーはBinanceから盗んだ約64億ドルを驚異的なペースで動かしており、約25秒ごとに新しい暗号資産ウォレットを作成している。

4日足らずで、攻撃者は資金を11のブロックチェーンにまたがる約12,000のウォレットに分散させ、40,000件を超えるトランザクションを実行した。Ellipticはこの操作を高度に自動化されたものと描写したが、人工知能（AI）が関与している証拠は見つからなかったと述べた。

一方、ステーブルコイン発行者は、盗人たちが資金を広げるよりも速く動いた。約28.5億ドル、すなわち盗難額の44%が凍結または差し押さえられた。これは、記録上最大の暗号資産窃盗事件であった2025年2月の北朝鮮による15億ドルのBybitハッキング後に凍結された約3%とは大きく対照的である。Binanceの侵害はその4倍以上の規模に達している。

スピードが決定的であったのは、盗まれた資金のうち34.6億ドル、すなわち54%がステーブルコインであり、発行者にはそれらを凍結する権限があったためだ。Ellipticの調査によると、Tetherは盗まれたUSDTが攻撃者のウォレットに到達してから37分後にイーサリアム上で凍結し、Circleは盗まれた8億2,300万ドルのUSDCが一切換装される前にすべて凍結した。

これらの凍結が発効する前に、ハッカーはUniswapなどの分散型取引所で4億3,400万USDTをETHに換装し、レンディングプロトコルAaveで別の5,990万USDTを担保に19,762 ETHを借り入れ、2億3,400万USDTをTronのTRXトークンに交換していた。合計で約7億8,600万ドルのステーブルコインが発行者の介入を逃れた。

侵害そのものは木曜深夜に始まった。攻撃者はBinanceのホットウォレットからの資金流出を開始した。ホットウォレットとは、取引所が顧客の出金処理に使用するインターネット接続されたウォレットであり、取引所の custody スタックの中で最も露出度の高い層である。FBIはその後、この窃盗をTraderTraitorの仕業と断定した。TraderTraitorは北朝鮮に紐づく国家関連のハッキンググループで、米国当局はこれを過去にも他の重大な暗号資産窃盗事件と結び付けており、FBIは数百の関連アドレスを公表した。顧客の全損失を補償すると誓っていたBinanceは日曜に出金を再開し、最初の9時間半で約36.4億ドルの純流出を記録した。

その後に行われた洗浄は容赦のないものだった。Tronが主要な経路となり、トランザクション活動は1時間に約1,300件でピークに達した。このペースにより、AIエージェントが資金移動を指揮しているのではないかという憶測が生まれたが、Ellipticはその解釈を退け、固定されたタイミング、設定された金額、盲目の再試行、人間の勤務時間に似た休止を根拠に挙げた。洗浄は明らかに自動化されているものの、「我々が見たものには、AIエージェントが意思決定を行っている様子は示されていない」と同社は記している。

多額の資金がまだ動いていない。窃盗に関連するアドレスには約32.4億ドルが残されており、その大部分はETHと攻撃当日以降動いていない18,270の盗難Bitcoinである。Ellipticは、これらの資金は極めて高い確度でまだ北朝鮮の手に保有されていると考えている。国連調査員はこれまでに、北朝鮮の暗号資産窃盗が同国の兵器プログラムの資金調達に寄与していると報告している。一方、すでに洗浄パイプラインを流れている資金は中国のマネーロンダリング網に渡った可能性がある。現金化された額はごくわずかに見える。また、約1,600万ドルが9月のBitgetエクスプロイトの収益を保有するアドレスに流入した。

Bybitハッキング後に観察された手法に基づき、Ellipticは攻撃者がETHを少しずつBitcoinに交換し、数か月にわたって店頭（OTC）仲介業者を通じて現金化すると見ている。同社によれば、ETHとBitcoinは凍結できないため、さらなる凍結はより困難になるという。残された最善の機会は中央集権型サービスにあり、資金は最終的にそこで表面化せざるを得ない。公表されたFBIの数百のアドレスは、コンプライアンスチームに具体的なスクリーニングツールを提供している。

Binance窃盗事件は、暗号資産セクターのセキュリティ態勢にとって過酷な一連の出来事に幕を下ろす形となった。月曜、BTCPay Serverはホットウォレット攻撃の報告を受けて加盟店にサーバー停止を呼びかけ、ブラジルの取引所Mercado Bitcoinは4,000万ドルのハッキングを受けて出金を停止した。両インシデントがBinance攻撃と関連しているかどうかは不明である。