Portfel przechowujący środki skradzione podczas rekordowego włamania na Binance przeniósł 120 milionów TRX na nieznany adres, według on-chainowego trackera Whale Alert. Transfer stanowi kolejny krok w wysiłkach napastników mających na celu wypranie pieniędzy z włamania z 29 października — i ilustruje, dlaczego natywny token Trona okazuje się znacznie trudniejszy do odzyskania niż stablecoiny zabrane w tym samym ataku.

Co się przeniosło i skąd pochodziło

Do 30 października firmy zajmujące się analizą blockchain oznaczyły konkretne adresy Trona kontrolowane przez napastników, z których każdy przechowywał dokładnie 120 milionów TRX. Kolejny portfel w tym samym klastrze miał podobno około 158,2 miliona TRX.

Od czasu ataku z innych adresów powiązanych z grupą nadal wypływają mniejsze transfery. Śledczy opisują te ruchy jako zgodne z transferami typu peel-chain — powszechną techniką prania pieniędzy, w której skradzione środki przepuszczane są przez serię adresów w coraz mniejszych częściach. Każda porcja jest na tyle mała, że sama w sobie wygląda niepozornie, ale razem utrudniają śledzenie pierwotnej sumy i ułatwiają jej wypłacanie częściami.

Włamanie, które stoi za pieniędzmi

Atak uderzył w Binance 29 października 2026 roku, wypłukując około 6,3 miliarda dolarów w aktywach cyfrowych z hot walletów giełdy — internetowych portfeli, które giełdy utrzymują zasilone, aby obsługiwać wypłaty klientów — na około dziesięciu blockchainach. Cała operacja trwała około 20 minut, a włamanie zostało opisane jako rekordowe wydarzenie dla branży zarówno pod względem skali, jak i szybkości.

Tron był jedną z najbardziej poszkodowanych sieci. Napastnicy wyciągnęli 612,7 miliona USDT i 46,4 miliona TRX z hot walletów Binance w tej sieci. Następnie użyli SunSwap, zdecentralizowanej giełdy na Tronie, aby wymienić około 234 miliony USDT na szacowane 638 milionów TRX.

Ta wymiana ma większe znaczenie, niż mogłoby się początkowo wydawać. USDT to stablecoin emitowany przez Tether, a Tether może zamrażać tokeny znajdujące się na określonych adresach. TRX, w przeciwieństwie do tego, nie ma centralnego emitora z funkcją zamrażania. Wnioski z badań wskazują, że niezamrażalne aktywa, takie jak TRX, nadal stanowią wyzwanie dla działań odzyskowych.

Tether i Circle zamroziły około 2,7 do 3 miliardów dolarów w stablecoinach w następstwie ataku — działanie możliwe dzięki tej kontroli na poziomie emitenta, temu samemu narzędziu, którego obaj emitenci wcześniej używali do blokowania środków związanych z wcześniejszymi exploitami.

Kto za tym stoi i jak zareagował Binance

Incydent z wysokim prawdopodobieństwem przypisuje się grupie TraderTraitor, północnokoreańskiej grupie hakerskiej powiązanej z wcześniejszymi zakrojonymi na dużą skalę exploitami. Śledczy ONZ oszacowali, że północnokoreańskie operacje cybernetyczne ukradły w ostatnich latach miliardy dolarów w kryptowalutach — środki, które według ich ocen pomagają finansować programy zbrojeniowe tego kraju. Binance bada skompromitowany laptop DevOps jako potencjalny początkowy wektor ataku.

Giełda oświadczyła, że pokryje wszystkie straty dotkniętych klientów. Tymczasowo zawiesiła wypłaty z dotkniętych portfeli — standardowy krok ograniczający szkody w trakcie trwania dochodzenia — i przeznaczyła ponad 6,34 miliarda dolarów ze środków spółki na pokrycie szkód.

Znaczna część skradzionych aktywów — w szczególności TRX — pozostaje w rękach hakerów. Wnioski z badań opisują napastników jako aktywnie prających środki.

Co to oznacza

Szersza historia to podział między tym, co można odzyskać, a tym, czego nie można. Stablecoiny okazały się częściowo odzyskiwalne, ponieważ ich emitenci mogą je zamrażać, a miliardy dolarów zostały zablokowane w ciągu kilku dni. Natywne tokeny, takie jak TRX, rządzą się innymi zasadami: gdy opuszczą kontrolę giełdy, odzyskanie zależy od śledzenia, współpracy innych platform i wyłapania pieniędzy, gdy próbują opuścić ekosystem. W praktyce oznacza to obserwację, gdzie TRX pojawi się następnie — jeśli trafi na adresy depozytowe giełd, platformy z kontrolami zgodności mogą oznaczyć i zablokować depozyty związane z exploitem.

Wnioski z badań wskazują na zwiększoną kontrolę bezpieczeństwa scentralizowanych giełd oraz możliwość wprowadzenia ostrzejszych protokołów w całej branży. Sugerują również, że niektórzy traderzy mogą rozważyć przejście na zdecentralizowane giełdy po tym włamaniu. Co godne uwagi, sami napastnicy użyli zdecentralizowanej giełdy — SunSwap — aby przekształcić swoje pieniądze w formę trudniejszą do zamrożenia.

Ten artykuł opiera się na relacji CryptoBriefing, gdzie został zredagowany przez Johna Chena. Oryginał: 120 million TRX from the Binance hack moves to an unknown wallet