Sprawca największego hacku w historii kryptowalut aktywnie zbywa skradzioną Solanę. Platformy monitorujące on-chain informują, że 486 970 SOL — o wartości około 46,4 mln USD — zostało przeniesionych w ciągu jednej godziny, co jest częścią szerszej operacji konwersji blisko 970 000 SOL na Bitcoina za pośrednictwem Relay Protocol.

Konwersja 46,4 mln USD z SOL na Bitcoina

Platforma analiz on-chain Arkham oraz serwis monitorujący Lookonchain ustaliły, że ten ruch był częścią większej operacji konwersji 970 522 SOL, o wartości około 95,9 mln USD, na Bitcoina. Relay Protocol został wskazany jako mechanizm routingu międzyłańcuchowego wykorzystany do przeniesienia aktywów.

Z całej pozycji 486 970 SOL (~46,4 mln USD) przeniesiono w ciągu zgłaszanej godziny, podczas gdy około 483 600 SOL (~46,14 mln USD) pozostawało w portfelu hakera w chwili publikacji, według danych Arkham.

Faza druga operacji prania pieniędzy o wartości 6,3 mld USD

Konwersja SOL na BTC nie jest odosobnioną transakcją. Stanowi ona świadomą drugą fazę po kradzieży 6,01 mld USD z gorących portfeli Binance w dziewięciu sieciach między 20:10 a 23:05 UTC 29 października 2026 roku — ataku, który Arkham potwierdził jako największy hack w historii kryptowalut.

Pierwotne zasoby stablecoinów sprawcy zostały w dużej mierze zneutralizowane, gdy Tether, Circle i Ripple zamroziły łącznie 2,80 mld USD skradzionych aktywów, eliminując tę część łupu jako możliwą drogę wyjścia. Zamrożenie było możliwe, ponieważ główne stablecoiny zawierają czarną listę kontrolowaną przez emitenta na poziomie kontraktu tokena, co daje emitentom bezpośrednią dźwignię po zidentyfikowaniu oznaczonych adresów — dźwigni, która nie istnieje dla natywnych aktywów takich jak SOL czy BTC.

Po zamrożeniu stablecoinów sprawca przekierował swoje zasoby Solany, kierując je teraz przez Relay Protocol do Bitcoina. Głębsza płynność Bitcoina — przy kapitalizacji rynkowej wynoszącej około 1,567 bln USD — sprawia, że duże napływy są trudniejsze do wykrycia i zamrożenia niż równoważne ruchy stablecoinów.

SOL jest obecnie notowany po 95,28 USD, co oznacza, że cała pozycja 970 522 SOL stanowi utrzymującą się presję podażową na już obciążonym rynku. Indeks Fear and Greed wynosi 34, co jednoznacznie plasuje się w strefie „strachu” po ataku z 29 października.

Sam atak wykorzystał EIP-7702 na Ethereum — standard wprowadzony w 2025 roku, który pozwala zwykłym portfelom zewnętrznym tymczasowo zyskiwać możliwości kontraktów inteligentnych, takie jak grupowanie transakcji i delegowane wykonanie — dzięki czemu atakujący mógł przekształcić gorący portfel Binance w kontrolowany przez siebie „sweeper” za pomocą 50 wcześniej podpisanych autoryzacji, w połączeniu z dostępem uzyskanym przez przejęty laptop inżyniera DevOps, według doniesień technicznych The Block. Powstała kaskada likwidacji na szerszym rynku podkreśliła, jak silnie powiązane jest ryzyko infrastruktury giełdowej z protokołami DeFi.

Przypisanie ataku Korei Północnej i to, co pozostaje zagrożone

FBI, Chainalysis i TRM Labs z wysokim stopniem pewności przypisały hack Binance północnokoreańskiej jednostce hakerskiej TraderTraitor. TraderTraitor to sponsorowany przez państwo KRLD program, który amerykańskie agencje śledzą w publicznych zaleceniach od 2022 roku, znany z włamań wymierzonych w giełdy kryptowalut i platformy DeFi. Chainalysis zamieściło na X informację, że śledczy zaobserwowali mieszanie się środków z tego ataku z wpływami z wcześniejszego włamania na Bitget — wzorca spójnego z metodologią prania pieniędzy KRLD.

„Nasi śledczy zaobserwowali, że środki skradzione przez KRLD w zeszłomiesięcznym włamaniu na Bitget mieszają się ze środkami skradzionymi z Binance. Mamy wysoki stopień pewności, że KRLD odpowiada za hack Binance o wartości 6,4 mld USD.” — Chainalysis (@chainalysis) na X

TRM Labs szacuje, że Korea Północna ukradła około 7,4 mld USD w kryptowalutach w samym 2026 roku, co zwiększa łączną sumę reżimu od 2017 roku do około 12,8 mld USD. Atak na Binance przebiega według znanego schematu: wykorzystanie infrastruktury podpisywania transakcji giełdy, osuszenie środków równolegle w wielu sieciach i konwersja identyfikowalnych, mostowanych aktywów na Bitcoina przed przeniesieniem ich do mikserów.

Reakcja Binance i rynku

Współdyrektor generalny Binance Richard Teng stwierdził: „Twoje pieniądze są bezpieczne, a my pokrywamy każdą stratę”, a giełda przeznaczyła 6,34 mld USD rezerw na pokrycie strat. Do 1 listopada Binance potwierdził, że 90% skradzionych aktywów zostało uzupełnionych.

Stłumiona reakcja ceny Bitcoina w porównaniu z historycznymi hackami giełdowymi odzwierciedla zarówno głębokość obecnej płynności BTC, jak i zaufanie do pozycji rezerwowej Binance — BTC jest notowany po 77 922 USD, wzrastając o 0,70% w ciągu dnia mimo aktywnej konwersji przez atakującego.

Dlaczego ten ruch ma znaczenie dla śledzenia on-chain

Każde zdarzenie konwersji aktywów to identyfikowalny moment na łańcuchu. Gdy atakujący kieruje SOL przez Relay Protocol do BTC, tworzy nowy klaster portfeli, który firmy zajmujące się kryminalistyką blockchainową mogą powiązać z pierwotnymi adresami wykorzystanymi w włamaniu na Binance, wydłużając ślad śledczy.

Brak opublikowanych hashy transakcji dla konkretnego ruchu 486 970 SOL ogranicza w tym stadium niezależną weryfikację. Arkham i Lookonchain to przywoływane źródła monitorujące, ale surowe dane eksploratora on-chain nie zostały opublikowane w dostępnych doniesieniach.

FBI wezwało podmioty sektora prywatnego do blokowania transakcji ze zidentyfikowanych adresów hakerskich, a szerszy ekosystem DeFi odpowiedział zaostrzeniem parametrów zabezpieczeń aktywów narażonych na skutki hacku. Przy około 2,9 mld USD w ETH, BTC, TRX, SOL i altcoinach, które według Arkham nadal można przenosić, aktywna faza konwersji prawdopodobnie będzie trwać, podczas gdy śledczy wyścigają się, aby mapować i oznaczać nowe adresy portfeli, zanim środki trafią do mikserów lub biur obrotu pozagiełdowego. Dla każdego, kto śledzi pranie pieniędzy w czasie rzeczywistym, najczytelniejszymi sygnałami są: ruch pozostałego salda 483 600 SOL, kolejne akcje zamrażania związane z nowo zidentyfikowanymi adresami oraz nowe przypisania klastrów portfeli łączące kolejne ruchy z włamaniem z 29 października.

Zastrzeżenie: ten artykuł ma charakter wyłącznie informacyjny i nie stanowi porady finansowej ani inwestycyjnej. Rynki kryptowalut i aktywów cyfrowych wiążą się ze znacznym ryzykiem. Zawsze przeprowadzaj własne badania przed podjęciem decyzji.