Hakerzy stojący za rekordową kradzieżą z Binance rozpoczęli wymianę dużej części skradzionego XRP na Bitcoina, według firmy analitycznej Elliptic, której najnowszy raport obejmuje dane do piątku. Około 42 milionów XRP — około 50 milionów dolarów — zostało już wymienionych, przy czym większość środków przepłynęła przez THORChain, zdecentralizowaną sieć wymiany międzyłańcuchowej, która wymienia natywne aktywa między blockchainami bez udziału centralnego depozytariusza.

Te konwersje sprawiły, że ilość Bitcoina pochodzącego z innych skradzionych aktywów wzrosła niemal z dnia na dzień do około 1650 BTC, wartych około 124 milionów dolarów, poinformowała Elliptic. Większość tego wzrostu nastąpiła poprzez trasę XRP. Około 192 milionów XRP, wycenianych na mniej więcej 226 milionów dolarów, pozostaje niewymienionych na adresach powiązanych z kradzieżą.

XRP stanowiło część odpływu z 29 października, który Binance później wyceniła na 6,34 miliarda dolarów. Tego dnia między 20:05 a 20:09 UTC pięć gorących portfeli połączonych z internetem przetransferowało 233,46 miliona XRP na adres kontrolowany przez atakującego. FBI przypisało tę operację północnokoreańskiej grupie TraderTraitor, podmiotowi, który władze USA wcześniej łączyły z serią kradzieży o wysokiej wartości z giełd i mostków. Binance od tego czasu przywróciła wypłaty etapami, oświadczyła, że zamroziła lub przechwyciła około 2,85 miliarda dolarów, i pokrywa straty klientów z własnych środków.

Jak skradzione XRP zaczęło się przemieszczać

Skradzione XRP początkowo pozostawało nieruchome. Wczesnym rankiem 2 listopada, między 02:12 a 04:00 UTC, cała pula około 233 milionów XRP przeniosła się na sześć nowych adresów, gdzie pozostawała do 5 listopada, poinformowała Elliptic. Od popołudnia 5 listopada dwa z tych sześciu adresów zaczęły przekazywać XRP do dziesiątek nowych kont, które wymieniały środki, głównie przez THORChain na Bitcoina. Mała ilość Eteru przeszła również tego wieczoru przez THORChain na Bitcoina.

Główne zasoby Bitcoina i Eteru z kradzieży — największe pule — wciąż się nie przemieściły, poinformowała Elliptic. Ten wzorzec odpowiada temu, co firma zaobserwowała po włamaniu na Bybit — ataku z lutego 2025 roku, podczas którego z giełdy skradziono około 1,5 miliarda dolarów w Eterze, również przypisanego przez FBI północnokoreańskim hakerom: najpierw wymienić tokeny podlegające zamrożeniu i o średniej płynności na Bitcoina, a później podjąć próbę wypłaty środków przez brokerów OTC.

Zasięg operacji prania pieniędzy jest już ogromny. Od kradzieży Elliptic zarejestrowała ponad 20 000 portfeli na 16 blockchainach, co najmniej 36 usług i co najmniej 65 000 transakcji — mniej więcej jeden nowy portfel co 30 sekund i jedna transakcja co 10 sekund. Około 3,11 miliarda dolarów pozostaje na adresach powiązanych z włamaniem, głównie w Eterze i Bitcoinie, a do tej pory prawdopodobnie wypłynęło jedynie znikome kwoty.

Dlaczego XRP i Bitcoin mają tu znaczenie

Emitenci mogą zamrażać wiele stablecoinów; XRP nie można zamrozić w ten sam sposób, a Bitcoina również nie. Po tym, jak Tether i Circle zablokowały 29 października duże partie stablecoinów, atakujący nadali priorytet aktywom znajdującym się poza tym mechanizmem awaryjnym. Przenoszenie XRP na Bitcoina kontynuuje tę samą logikę: raz rozdrobniony na świeże adresy Bitcoin staje się znacznie trudniejszy do odzyskania.

Całe skradzione SOL — około 87 milionów dolarów według wycen Elliptic — zostało już wymienione, przepuszczone przez mostki lub zmieszane, przy czym znaczna część trafiła na Bitcoina. Większość wczesnego prania w sieci Tron — około 220 milionów dolarów w TRX — również już upłynęła; Bitcoin Magazine zasygnalizował ten przepływ, relacjonując ciche zamknięcie T3 Financial Crime Unit przed włamaniem. Tylko niewielkie części głównych pul Eteru i NEAR zostały przemieszczone.

Część wymienionego Bitcoina trafiła do coinjoinów w stylu Wasabi — techniki mieszania, która łączy monety od wielu wydawców, aby zerwać śledzone powiązania — około 33 BTC, czyli 2,5 miliona dolarów, od 1 listopada — a około 1,1 miliona dolarów w Eterze i SOL wpłynęło do puli Privacy Cash, zanim ta usługa wstrzymała wpłaty. Elliptic oświadczyła, że tempo wskazuje na klasyczną automatyzację, a nie na agenta AI podejmującego decyzje w czasie rzeczywistym: stałe pory, ustalone kwoty, ślepe ponawianie prób i nowe taktyki wprowadzane w odstępach godzinowych.

Amerykańscy nadzorcy bankowi po włamaniu na Binance zwrócili się już do banków z pytaniami. Dla rynków Bitcoina bliższe pytanie brzmi, ile kolejnych z pozostałych ~192 milionów XRP — a ostatecznie odłożonego Eteru — zostanie zamienionych na BTC, zanim ktokolwiek podejmie próbę wypłaty środków.

Próbą jest teraz to, czy operatorzy THORChain i inne mostki będą blokować ujawnione adresy atakującego wystarczająco szybko, aby spowolnić rurociąg XRP-do-Bitcoina, czy też reszta puli podąży tą samą nocną ścieżką, którą przeszło już pierwsze 50 milionów dolarów.

Ten artykuł powstał na podstawie wpisu, który po raz pierwszy ukazał się na Bitcoin Magazine i został napisany przez Micaha Zimmerman.