Sprawcy kradzieży 6,3 miliarda dolarów z Binance rozpoczęli wymianę skradzione Solany (SOL) na Bitcoina (BTC), poinformowali badacze blockchaina, po opróżnieniu większości portfeli opartych na Tronie, których wcześniej używali do przemieszczania środków.

Lookonchain poinformował w niedzielę, że hakerzy przenieśli 486 970 SOL o wartości około 46,4 miliona dolarów i wymieniali te tokeny na Bitcoina za pośrednictwem Relay — międzyłańcuchowego protokołu służącego do przenoszenia tokenów między blockchainami.

Pralnia dotyczy aktywów, które ominęły zamrożenia nałożone po czwartkowej kradzieży — największej w historii kryptowalut, ponad czterokrotnie większej od poprzedniego rekordu wynoszącego około 1,5 miliarda dolarów ukradzionych z giełdy Bybit w lutym 2025 roku. Partnerzy branżowi, tacy jak Tether i Circle, zamroźli około 3 miliardów dolarów skradzionych środków — zamrożenia są możliwe, ponieważ stablecoiny są emitowane centralnie, a ich emitenci mogą blokować adresy na czarnych listach, czego nie można zrobić w przypadku natywnych aktywów takich jak Bitcoin, Ether czy Solana — podczas gdy badacz SomaXBT oszacował, że napastnicy nadal posiadają około 3,5 miliarda dolarów.

Binance poinformował, że włamanie naruszyło jego gorące portfele — portfele połączone z internetem, których giełdy używają do wypłat dla klientów — a wstępne ustalenia wskazywały na zhakowany laptop pracownika, zanim badacze odkryli dodatkowe punkty wejścia. Giełda rozpoczęła przywracanie wypłat w niedzielę, zobowiązała się pokryć straty i współpracuje z amerykańskimi władzami w celu namierzenia i odzyskania skradzionych aktywów.

Powiązane: OKX odnotowuje 445 milionów dolarów napływów netto, gdy wypływy z Binance przekraczają 7 miliardów dolarów.

W niedzielnej aktualizacji Chainalysis podał, że większość tymczasowych portfeli przechowawczych hakerów na Tronie została opróżniona w miarę rozszerzania operacji prania pieniędzy na Solanę. Firma analityczna wyceniła transfery na Tronie na około 500 milionów dolarów.

SomaXBT zaznaczył w odpowiedzi, że kwota 500 milionów dolarów odzwierciedla wszystkie transfery w trakcie procesu prania, w tym powtarzające się przepływy między portfelami, podczas gdy z portfeli przechowawczych na Tronie faktycznie wyszło tylko około 242 milionów dolarów.

W piątek Chainalysis poinformował, że hakerzy najwyraźniej używają automatyzacji, aby zatrzeć ślady, wskazując na tysiące transakcji wykonanych w krótkim okresie. Firma zaobserwowała środki wielokrotnie krążące między adresami, czasem powracające do portfeli użytych wcześniej w sekwencji.

FBI prosi usługi krypto o blokowanie transakcji hakerów

Część skradzionych środków trafiła również na scentralizowaną giełdę Gate. Lookonchain poinformował w poniedziałek, że hakerzy wpłacili na platformę około 250 000 dolarów w ciągu poprzednich 12 godzin. Gate poinformował, że zamroził od tego czasu dwa powiązane konta i będzie współpracował z organami ścigania, choć w komunikacie nie sprecyzował zamrożonej kwoty.

FBI w sobotę przypisało kradzież grupie TraderTraitor — północnokoreańskiej grupie hakerskiej, którą amerykańskie agencje wcześniej łączyły z innymi dużymi kradzieżami krypto, w tym z włamaniem na mostek Ronin Network o wartości około 620 milionów dolarów w 2022 roku — i opublikowała adresy portfeli powiązane ze skradzionymi aktywami.

Wraz z US Secret Service i IRS Criminal Investigation agencja wezwała operatorów węzłów THORChain, giełdy oraz usługi zdecentralizowanych finansów (DeFi) do blokowania transakcji obejmujących te adresy lub środki od nich wywodzone. THORChain to zdecentralizowany międzyłańcuchowy protokół wymiany działający na niezależnych operatorach węzłów, a nie w ramach jednej centralnej firmy.

Badacze zaobserwowali wcześniej, że hakerzy wymieniali skradzione aktywa głównie na Ether (ETH), zanim rozpoczęli ruchy w kierunku Solany i Bitcoina, i spodziewali się dalszego prania pieniędzy poprzez protokoły DeFi oraz natychmiastowe usługi wymiany — według FBI.