Binance wznowiła wypłaty w niedzielę po pokryciu większości z 6,3 miliarda dolarów skradzionych w ataku z 29 października, poinformował Reuters, a do godziny 15:30 UTC oszacowała swój odpływ netto na około 3,6 miliarda dolarów. Rywalizujące wyliczenia dostawców danych on-chain pokazują jednak wyższe kwoty, a różnica wynika z okien pomiarowych, zakresu śledzonych portfeli oraz sposobu oznaczania nowo utworzonych adresów giełdy.

Binance liczyła 9,5 godziny, DefiLlama liczyła 24

Binance poinformowała, że między 06:00 a 15:30 UTC w niedzielę obsłużyła około 4,65 miliarda dolarów wypłat i 1,01 miliarda dolarów wpłat, według The Block. Wpłaty pokryły mniej więcej jedną piątą kwoty, która opuściła giełdę – dlatego wartość netto wynosi około 3,6 miliarda dolarów, a nie kwotę brutto. Godziny te nastąpiły po zamrożeniu obowiązującym od 29 października.

Giełda odniosła wartość netto do 171 miliardów dolarów aktywów pod zarządzaniem z danych proof-of-reserves z 28 października i oszacowała odpływ na 2,1%. Ten mianownik pochodzi sprzed ataku, więc wskaźnik porównuje niedzielny odpływ z possesjami Binance sprzed kradzieży, a nie z obecnym stanem.

Binance dodała również, że wolumeny wypłat stabilizowały się po początkowym skoku, podczas gdy wpłaty pozostawały znaczne. Giełda nie opublikowała godzinowego rozbicia, więc kształt tego spadku nie może zostać zweryfikowany z zewnątrz.

Rywalizujące odczyty przedstawiają się następująco:

• Binance, dane własne: około 3,6 miliarda dolarów netto, 06:00–15:30 UTC, 1 listopada
• DefiLlama, za The Block: około 4,05 miliarda dolarów netto, 24 godziny do 16:37 UTC, 1 listopada
• DefiLlama, za Reuters: około 4,4 miliarda dolarów, okno nieokreślone

Te liczby nie mierzą tego samego. 24-godzinne okno DefiLlamy otwiera się w sobotnie popołudnie, ponad 13 godzin przed tym, jak Binance obsłużyła pierwszą wypłatę, kiedy klienci nie mieli możliwości przeniesienia środków z giełdy. Każdy spadek salda zarejestrowany w tych godzinach nie mógł być wynikiem wyjścia klientów.

Zakres pokrycia również się różni. DefiLlama śledzi około 131 miliardów dolarów w portfelach przypisywanych Binance, znacznie mniej niż raportowane przez giełdę 171 miliardów dolarów, co oznacza, że obie strony liczą przepływy na różnych zbiorach adresów.

Nowy gorący portfel wygląda jak wypływ środków

Po opróżnieniu gorących portfeli przez atakujących Binance rozpoczęła obsługę wypłat z nowo wygenerowanych portfeli i dodała je do swojej listy proof-of-reserves, poinformował The Block. Dopóki tracker nie oznaczy nowego adresu jako należącego do Binance, środki przenoszone przez giełdę na ten adres rejestrowane są jako odpływ. Przewodnik metodologiczny CryptoQuant wskazuje na to samo ryzyko: niezidentyfikowane adresy giełd mogą sprawiać, że transfer wewnętrzny wygląda jak wypłata zewnętrzna.

Na tym opiera się zastrzeżenie Binance wobec wyższego odczytu DefiLlamy, który – jak stwierdziła giełda – nie uwzględniał w pełni wpłat na nowy gorący portfel. Żaden tracker nie opublikował jeszcze uzgodnienia. Dopóki nowe adresy nie zostaną oznaczone, a okna pomiarowe dopasowane, to wyjaśnienie opiera się na słowie Binance.

Ten sam problem z oznaczaniem zaciera dane z dnia ataku. CryptoQuant odnotował około 28 000 BTC i około 2,9 miliarda ERC-20 USDT opuszczających portfele oznaczone jako Binance 29 października. Te sumy łączą skradzione środki, transfery awaryjne i wszelkie wypłaty klientów obsłużone przed zamrożeniem, a seria USDT obejmuje tylko wersję tokena w sieci Ethereum. Kwota USDT niesie drugą komplikację: jej częścią jest skradziony stablecoin, który emitenci mogły w zasadzie zamrozić. Analiza Coindoo, jak hakerowi udało się ominąć te zamrożenia, pokazuje, jak atakujący mimo to utrzymywał środki w ruchu.

Dokąd trafiły pieniądze

Tylko niewielka część niedzielnego odpływu pojawiła się na konkurencyjnych platformach. W tych samych 24 godzinach dziesięć kolejnych największych giełd w danych DefiLlamy odnotowało łącznie około 368 milionów dolarów napływu netto, z czego OKX niemal 317 milionów dolarów, podczas gdy Bitfinex i Gate odnotowały odpływ netto. DefiLlama nie obejmuje Coinbase ani Kraken, ale dane CoinGlass cytowane przez The Block pokazały wzrost ich sald bitcoina odpowiednio o około 984 BTC i 1422 BTC, podczas gdy salda Binance spadła o około 19 289 BTC.

Większość środków trafiła zatem na adresy, których te panele nie oznaczają. Mogą to być portfele self-custody, mniejsze giełdy lub adresy Binance, które nie zostały jeszcze oznaczone, a same dane on-chain nie pozwalają ich odróżnić.

Co klienci faktycznie mogą wypłacić

Binance ustaliła pierwszą fazę przywracania według popytu na wypłaty z poprzedniego tygodnia, dlatego główne monety i najbardziej obciążone sieci stablecoinów wróciły jako pierwsze. W aktualizacji z 1 listopada giełda oświadczyła, że salda BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD i ZEC są w pełni pokryte. Pozostałe około 5% skradzionej wartości, której jeszcze nie zastąpiono, dotyczy mniej płynnych tokenów spoza tej grupy, które giełda wciąż skupuje poprzez kanały rynkowe i OTC.

Status wypłat w niedzielne popołudnie (UTC):

• 12:36 – wszystkie 15 sieci pierwszej fazy zostało ponownie otwartych
• 16:22 – strona statusu pokazywała 531 z 552 monet zawieszonych; 14 częściowo przywróconych, w tym BTC i ETH
• Nadal w testach – Cardano, Chainlink, Hyperliquid, Litecoin, NEAR i inne sieci

Dla każdego, kto posiada monetę nadal zawieszoną, niedzielne miliardy nie mówią nic o jego własnym saldzie. Strona statusu sieci Binance wskazuje dostępność dla każdej pary aktywów i sieci.

Zastąpienie skradzionej wartości środkami firmy to odrębna kwestia od odzyskania samych skradzionych monet. Binance deklaruje, że współpracuje z organami ścigania i partnerami branżowymi w celu ich namierzenia i zamrożenia, ale aktualizacja z 1 listopada nie wskazała, ile dotąd zamrożono.

Dane o rezerwach wciąż pochodzą sprzed niedzieli

Oba punkty odniesienia dotyczące rezerw krążące w obiegu pochodzą sprzed fali wypłat. Wskaźnik 2,1% opiera się na danych z 28 października. Binance poinformowała, że jej najbliższy raport proof-of-reserves, obliczony z wykorzystaniem dowodów o zerowej wiedzy i oczekiwany w poniedziałek, opiera się na migawce z 31 października. Ten raport może pokazać, co pokrywało salda klientów w sobotę, a nie to, co zostało po niedzielnych wypłatach. Rzecznik inwestorów PCAOB przestrzegł również, że takie raporty nie są audytami i niewiele mówią o szerszej sytuacji finansowej podmiotu.

Trzy wskaźniki pokażą, czy niedziela była rozliczeniem zaległości, czy początkiem dłuższej ucieczki. Pierwszym jest powrót zawieszonych monet do działania. Drugim – zbliżenie się danych DefiLlamy do danych Binance po oznaczeniu nowych portfeli. Trzecim – pierwsza migawka rezerw datowana po 1 listopada.

Ten artykuł został pierwotnie opublikowany przez Coindoo.