Około połowy z 6,43 mld USD skradzionych z Binance w ubiegłym miesiącu wciąż nie została wyprana — poinformowała firma analityki blockchainowej Elliptic w raporcie zaktualizowanym w piątek. Łup o wartości 6,43 mld USD jest ponad cztery razy większy niż hack Bybit o wartości 1,5 mld USD z lutego 2025 roku.

Około 3,11 mld USD nadal znajduje się na adresach powiązanych z kradzieżą, głównie w ETH i Bitcoinie, a te środki są "bardzo prawdopodobnie" nadal przechowywane przez Koreę Północną, podała Elliptic. Kolejne 2,85 mld USD, czyli 44% łupu, zostało zamrożonych lub skonfiskowanych — głównie stablecoiny, które emitenci, w tym Tether i Circle, zamrozili w ciągu godziny od kradzieży. Dla porównania, po hacku Bybit o wartości 1,5 mld USD w lutym 2025 roku zamrożono około 3%, według Elliptic.

Uważa się, że tylko znikoma część skradzionych środków została do tej pory wypłacona. Elliptic oczekuje, że atakujący zamieni środki na Bitcoina i wypłaci je za pośrednictwem brokerów over-the-counter przez wiele miesięcy, odzwierciedlając wzór z 2025 roku po hacku Bybit.

W aktualizacji opublikowanej na X w piątek Elliptic podała, że skradzione XRP zaczęły się przemieszczać:

Binance hack update: the XRP has started moving. About $50 million has been swapped, mostly through THORChain into BTC, with about $226 million still to move. Bitcoin converted from other stolen assets is now about 1,650 BTC ($124 million), almost twice the figure a day earlier.…

— Elliptic (@elliptic) November 6, 2026

FBI przypisało kradzież z 29 października północnokoreańskim hakerom, których nazywa TraderTraitor. Korea Północna zaprzeczyła udziałowi.

Elliptic określiła dotychczasową operację prania pieniędzy jako "wysoce złożoną i wyraźnie zautomatyzowaną". Objęła ona ponad 20 000 portfeli w 16 blockchainach, co najmniej 36 usług i co najmniej 65 000 transakcji — mniej więcej jeden nowy portfel tworzony co 30 sekund.

18 270 BTC skradzionych z Binance, warte w momencie kradzieży około 1,5 mld USD, zostało podzielone na 19 adresów w dniu hacku i od tego czasu się nie przemieszczało. Dziewięć największych adresów Ethereum, przechowujących 89% ETH atakującego, również jest nieaktywnych od 30 października.

Jak przemieszczają się środki

Największa część prania do tej pory — około 220 mln USD w TRX — przeszła przez Tron. Pojedynczy portfel dystrybucyjny wysłał 684,6 mln TRX do setek nowo utworzonych adresów w ciągu 51 godzin, w tym przez całą noc w Pjongjangie. Prawie cały ten TRX został następnie przerzucony do Ethereum
Cała skradziona Solana, o wartości około 87 mln USD po obecnych cenach, została zamieniona, przerzucona lub zmieszana. Atakujący rozpoczął również pranie skradzionych XRP, z około 50 mln USD dotychczas skonwertowanymi i około 226 mln USD jeszcze do przeniesienia. Łącznie około 124 mln USD zostało przekonwertowanych na Bitcoina, głównie za pośrednictwem międzyłańcuchowej usługi THORChain.

Mniejsza część środków została zmieszana. około 33 BTC, warte około 2,5 mln USD, przeszło przez coinjoiny w stylu Wasabi, a około 1,1 mln USD w ETH i SOL zostało zdeponowanych w puli Privacy Cash, która wstrzymała wpłaty na około jeden dzień.

Szybkość operacji wywołała spekulacje, że środki przemieszczają agenci AI, ale Elliptic powiedziała, że dowody wskazują na konwencjonalną automatyzację. "Pranie jest wyraźnie zautomatyzowane, ale nic z tego, co widzieliśmy, nie wskazuje na agenta AI podejmującego decyzje", stwierdziła firma.

Elliptic oczekuje, że atakujący zamieni ETH na Bitcoina, a następnie wypłaci środki za pośrednictwem brokerów OTC i giełd przez wiele miesięcy. Po hacku Bybit Korea Północna wyprała wszystkie 499 000 skradzionych ETH w ciągu 10 dni, ale wypłata zajęła jej wiele miesięcy, zauważyła firma. Dopóki ta wypłata nie zostanie zakończona, uśpione adresy Bitcoin i Ethereum przechowujące większość nieupranych środków, wraz z temp pozostałych konwersji XRP, są głównymi wskaźnikami do obserwacji w miarę postępu operacji.

Binance kontynuuje przywracanie usług

Binance kontynuował przywracanie usług po kradzieży. W piątek giełda poinformowała, że użytkownicy mogą teraz zweryfikować, że ich salda są zabezpieczone co najmniej 1:1, korzystając z dowodu wiedzy zerowej dla najnowszego migawki proof-of-reserves. Giełda dodała, że zamierza przywrócić wypłaty dla wszystkich tokenów na przywróconych sieciach do końca przyszłego tygodnia. Czy ten cel zostanie osiągnięty, będzie kolejnym widocznym markerem odzyskiwania Binance.