Hakerzy stojący za kradzieżą 6,43 miliarda dolarów z Binance wymienili około 124 milionów dolarów skradzionych altcoinów na Bitcoina, według raportu z 6 listopada firmy analitycznej Elliptic. Działania związane z praniem pieniędzy toczą się w tym samym czasie, w którym giełda przywraca usługom wypłat dostęp dla swoich klientów.

Wymiana altcoinów, a nie wypłacanie środków

Wymiany przyniosły około 1 650 BTC, co stanowi kwotę odrębną od 1,48 miliarda dolarów pobranych bezpośrednio w ataku z 29 października. Jak dotąd przeniesiono około 50 milionów dolarów w XRP, a 226 milionów dolarów nadal znajduje się w portfelach kontrolowanych przez hakerów. Prawie cała skradziona Solana — o wartości około 87 milionów dolarów — została wymieniona na inne kryptowaluty, przeniesiona między blockchainami lub przeprowadzona przez transakcje zaprojektowane tak, aby zatuszować jej pochodzenie.

Najnowsze dane nie dają pełnego obrazu skradzionych środków. Według szacunków Elliptic 2,85 miliarda dolarów, czyli 44,3% całości, zostało zamrożonych, a kolejne 3,11 miliarda dolarów, czyli 48,4%, nadal znajduje się w powiązanych portfelach. Łącznie te kategorie obejmują 5,96 miliarda dolarów z skradzionych 6,43 miliarda dolarów, pozostawiając około 470 milionów dolarów, czyli 7,3%, nieuwzględnionych w zgłoszonych sumach. Rozbieżności w wycenie aktywów i terminach raportowania mogą wyjaśniać te niespójności.

Kwota 124 milionów dolarów wymienionych na Bitcoina nie powinna być traktowana jako dodatkowa suma, ponieważ hakerzy po prostu wymienili jedną formę krypto na inną, zamiast wypłacać środki. Według Elliptic tylko niewielka część skradzionych pieniędzy została do tej pory wypłacona. To, ile środków z salda w powiązanych portfelach zostanie zamrożone, przeniesione lub wypłacone, będzie liczbą, która najprawdopodobniej zmieni się w kolejnych aktualizacjach.

Jak toczy się pranie pieniędzy

Skradzione aktywa zostały rozproszone w ogromnej liczbie transakcji. Analiza Elliptic umożliwiła wyśledzenie ponad 20 000 portfeli kryptowalutowych, 16 różnych blockchainów i 65 000 transakcji. Działalność wygląda na zautomatyzowaną, choć nie ma dowodów na to, że sterują nią agenci AI.

TRM Labs ustalił, że hakerzy utworzyli tokeny i pule płynności w sieci Tron, aby ukryć transfery. Środki przenosili również poprzez tokeny pokwitowań pożyczkowych i połączone mosty blockchainowe, omijając portfele, w których aktywa mogłyby zostać zamrożone.

Wcześniej Chainalysis wykrył konwersję 325 milionów dolarów w stablecoinach na 285 milionów dolarów Ethera w ciągu 20 minut, najwyraźniej w celu uniknięcia zamrożenia. Część konwersji XRP przeszła przez THORChain. Jak donosi Cryptopolitan, strona internetowa THORChain zablokowała oznaczone adresy po prośbie FBI, ale niezależne węzły nadal przetwarzały transakcje.

Przywracanie wypłat i test płynności

Binance przywraca wypłaty, podczas gdy skradzione środki pozostają w obiegu. W aktualizacji z 6 listopada, również opublikowanej na X, giełda oświadczyła, że zamierza do końca przyszłego tygodnia przywrócić wypłaty dla HYPE, INJ, APT, PLASMA, NEAR i LTC. Binance poinformowało również o uzupełnieniu 98% dotkniętych aktywów tokenowych do 31 października i zobowiązało się pokryć straty klientów — choć zastąpienie skradzionych aktywów nie oznacza ich odzyskania. Cel obejmujący sześć tokenów wyznacza kolejny konkretny punkt kontrolny w harmonogramie odbudowy giełdy.

Przywracanie wypłat wywiera presję na płynność Binance. Talos odnotował 6,1 miliarda dolarów netto wypływów. Głębokość księgi zleceń Bitcoina w przedziale 1% spadła o 28% pierwszego dnia po ataku i osiągnęła_minimum około 44% poniżej poziomów sprzed włamania na początku listopada, po czym zaczęła się odbudowywać. Sam Bitcoin spadł po włamaniu o około 5%. Talos nonetheless znalazł jednak ograniczone oznaki szerszej zaraźliwości na rynku w porównaniu z upadkiem FTX.

Co to oznacza dla giełd i compliance

FBI przypisało kradzież północnokoreańskiej grupie TraderTraitor 31 października. Agencja opublikowała adresy powiązane z hakerami i wezwała operatorów THORNode, usługi DeFi oraz natychmiastowe giełdy wymiany do blokowania powiązanych transakcji.

Mimo wyrafinowanego prania pieniędzy atak rozpoczął się od znanych słabości bezpieczeństwa. Śledztwo Binance opisało fałszywą rozmowę kwalifikacyjną, złośliwe oprogramowanie zainstalowane na komputerze inżyniera oraz niewłaściwe wykorzystanie wewnętrznego narzędzia AI. Atakujący ostatecznie uzyskali dostęp do systemów zaangażowanych w podpisywanie transakcji portfelowych.

Włamanie uwypukla dwa wyzwania dla giełd: ochronę pracowników i wrażliwych systemów przed intruzją oraz powstrzymanie przepływu skradzionych środków przez zdecentralizowane sieci.