Haker stojący za włamaniem do Binance o wartości około 6,3 miliarda dolarów przeniósł w poniedziałek całe 233,46 mln skradzionych XRP do sześciu nowych portfeli. Ta redystrybucja podkreśla kluczową różnicę między skradzionymi aktywami: w przeciwieństwie do skradzionych stablecoinów natywne XRP nie ma emitenta dysponującego uprawnieniami do zamrażania.

Zgodnie z zapisami rejestru XRP Ledger adres przechowujący środki wykonał od godziny 03:47 UTC sześć płatności testowych po 1 000 XRP każda. Transferom testowym, poprzedzającym pierwszą dużą płatność o około pięć minut, towarzyszyła praktyka powszechnie stosowana w celu potwierdzenia, że adres odbiorcy może przyjmować środki. Między 03:52 a 04:00 UTC wykonano dziewięć dużych płatności. Ostatecznie pięć portfeli otrzymało po około 40 mln XRP każdy, z czego trzy — w dwóch transzach po 30 mln i 10 mln, a szósty otrzymał 33,46 mln. Oryginalny adres zatrzymał 23,7 XRP.

Przy poniedziałkowym kursie około 1,26 dolara za XRP monety były warte około 294 milionów dolarów. Whale Alert zwrócił uwagę na pojedynczy transfer 40 mln XRP o wartości około 50,4 miliona dolarów z adresu oznaczonego jako „Binance Hack 2026”.

Atakujący wysłał również 1 000 XRP na siódmy, osobny adres o godzinie 02:12 UTC. Monety pozostawały stosunkowo nietknięte na adresie przechowującym przez około 80 godzin, zanim rozpoczęły się duże płatności. Pięć portfeli Binance wysłało całe 233,46 mln XRP na ten adres w około cztery minuty 29 października. Dane rejestru z godziny 07:27 UTC we wtorek wykazały, że żaden z sześciu nowych portfeli nie przelał środków dalej. Ponieważ rejestr jest publiczny, każde późniejsze przemieszczenie środków z tych adresów będzie widoczne na bieżąco.

Dlaczego skradzionego XRP nie można zamrozić

Zgodnie z dokumentacją XRP Ledger natywnego XRP nie można zamrozić na rejestrze. Ripple zamroził skradzione RLUSD związane z włamaniem, ale te uprawnienia emitenta obejmują wyłącznie jego własny stablecoin: uprawnienia do zamrażania dotyczą tokenów tworzonych przez emitenta, a natywny aktyw rejestru nie ma emitenta, który mógłby je zastosować. Zadaniem teraz jest śledzenie sześciu portfeli oraz odrzucanie wpłat przez giełdy w celu odzyskania XRP. Podział środków wygląda na etap prania pieniędzy: sześć sald oznacza więcej śladów do prześledzenia i mniejsze partie do wypłaty.

Śledzący on-chain Lookonchain poinformował, że około 250 tysięcy dolarów z łupów trafiło na giełdę Gate w wpłatach rozłożonych na 12 godzin.

Szersze skutki włamania

W wyniku ataku skradziono około 628 milionów dolarów w aktywach w sieci Tron. Tether zamroził około 378,7 mln USDT — tę samą uprawnienie emitenta, jakiego Ripple użył wobec RLUSD, a którego brakuje natywnemu XRP — ale analityk SomaXBT szacuje, że około 242 miliony dolarów wydostały się przez powiązane z Tron szlaki w ciągu dwóch dni. Około 140 milionów dolarów z tej kwoty przeszło przez usługi takie jak Relay i THORChain, których operatorów węzłów FBI poprosiło o zablokowanie środków. Szacunki wskazują, że wolumen Relay wyniósł prawie 48 milionów dolarów, a THORChain 44 miliony dolarów.

Cryptopolitan poinformował, że branża zamroziła około 3 miliardy dolarów skradzionych aktywów. FBI obwinia TraderTraitor — tak nazywa powiązaną z państwem północnokoreańską operację hakerską — i wskazuje, że atakujący zamieniają skradzione kryptowaluty na Ether. Jednak Kim Yo Jong z Korei Północnej zaprzeczyła oskarżeniom FBI, nazywając je „absurdalną retoryką i niczym nowym”, w oficjalnym oświadczeniu opublikowanym 2 listopada.

Binance oświadczyła, że środki spółki pokryły około 95% dotkniętej kwoty, a giełda dodała, że jej salda XRP są w pełni zabezpieczone.