Federalne Biuro Śledcze potwierdziło, że za kradzieżą ponad 6 miliardów dolarów z Binance stoi Korea Północna. W komunikacie z 31 października biuro przypisało atak działalności śledzonej jako TraderTraitor, rozstrzygając kwestię odpowiedzialności Korei Północnej, która od dłuższego czasu ciążyła nad sprawą.

Dlaczego prośba trafia do infrastruktury

FBI, Secret Service i IRS Criminal Investigation zwróciły się do operatorów THORNode, operatorów RPC, błyskawicznych giełd, usług DeFi, firm analitycznych i innych dostawców usług aktywów wirtualnych z prośbą o blokowanie transakcji powiązanych z opublikowanymi adresami. Według agencji skradzione aktywa są wymieniane głównie na ETH, a dalsze pranie pieniędzy ma przebiegać przez usługi DeFi i błyskawicznych swapów.

Ta wymiana wyjaśnia, dlaczego prośba obejmuje tak wiele typów usług. Emitenci stablecoinów mogą zamrozić własne tokeny i część łupu została w ten sposób zamrożona w ciągu kilku godzin. ETH nie ma emitenta, do którego można się zwrócić. Gdy atakujący przeniósł wartość do ETH, powstrzymanie jej zależy od usług, przez które środki przejdą następnie.

Lista adresów to punkt wyjścia. FBI opisuje wskazane portfele jako przechowujące lub wcześniej przechowujące skradzione aktywa, a także jako obsługiwane przez podmioty TraderTraitor lub z nimi ściśle powiązane. Niektóre mogą być już puste. Każdy dostawca musi jeszcze ustalić, co — jeśli w ogóle cokolwiek — może zrobić w ramach własnej roli.

Pięć możliwych znaczeń „blokowania”

Interwencja przebiega od najsłabszej do najsilniejszej formy działania, a tylko ostatni szczebel zwraca pieniądze:

1. Śledzenie. Firmy analityczne mapują przepływ środków i powiadamiają innych — to informacja, nie kontrola.
2. Odmowa połączenia. Dostawca RPC lub interfejs aplikacji odrzuca żądania z oflagowanych adresów na własnej usłudze.
3. Wstrzymanie protokołu. Sieć taka jak THORChain może wstrzymać handel lub cały łańcuch, zatrzymując transakcje wszystkich użytkowników, nie tylko atakującego.
4. Zamrożenie w depozycie. Giełda lub depozytariusz przechowujący aktywa odmawia dostępu do nich.
5. Zwrot środków. Zidentyfikowane aktywa są rzeczywiście przekazywane z powrotem.

Każdy szczebel wymaga innych dowodów. Odmowa połączenia pokazuje, że jedna usługa odmówiła. Wstrzymanie pokazuje, że aktywność została wstrzymana — na pewien czas. Zamrożenie w depozycie pokazuje, że aktywa są przetrzymywane w oczekiwaniu na postępowanie prawne. Tylko zwrot świadczy o odzyskaniu środków. Wskazani w prośbie dostawcy znajdują się na różnych szczeblach: firmy analityczne śledzą, operatorzy RPC i interfejsy aplikacji odmawiają, operatorzy protokołów mogą wstrzymać, a depozytariusze zamrażają.

Odmowa połączenia

Aplikacje docierają do Ethereum przez węzły, często prowadzone przez dostawców RPC, aby odczytywać dane lub wysyłać transakcje, jak wyjaśnia dokumentacja JSON-RPC Ethereum. Dostawca może odmówić żądań przechodzących przez jego usługę, ale zasady sieci się nie zmieniają. Nadawanie, włączenie do bloku i finalność to oddzielne etapy, a transakcja odrzucona przez jednego dostawcę może zostać wysłana przez innego. To samo dotyczy strony internetowej, która ogranicza swój interfejs, podczas gdy leżący u podstaw protokół dalej działa.

Wstrzymanie protokołu: stanowisko THORChain

FBI wymieniło bezpośrednio operatorów THORNode — operatorów zarządzających siecią THORChain — co poddało construction THORChain pod przegląd. W wpisie z 1 października, opublikowanym przed kradzieżą na Binance, projekt stwierdził, że jego protokół może dla bezpieczeństwa wstrzymać łańcuch lub całą sieć, ale nie ma możliwości usunięcia pojedynczego swapa. Ten sam stanowisko powtórzył kwartalny raport z 23 października.

dokumentacja deweloperska projektu opisuje kilka rodzajów wstrzymania — od zatrzymania handlu, przez zatrzymanie podpisywania transakcji wychodzących, po wstrzymanie łańcucha. Każde z nich dotknęłoby wszystkich użytkowników tej trasy, nie tylko atakującego.

Wypadek pokazał już, jak wygląda nieplanowana przerwa. 31 października Chainalysis poinformowało, że reorganizacja bloku Ethereum spowodowała, że THORChain wydał podwójny zwrot osobie, która wpłaciła 10 ETH, niechcący opóźniając pranie środków skradzionych z Binance. Była to usterka operacyjna, a nie celowe ograniczenie — a opóźnione środki to nie odzyskane środki.

THORChain niechcący opóźnił pranie znacznej ilości środków skradzionych z Binance. Powód? Reorganizacja w Ethereum. Jedna z nich wydarzyła się dziś rano i spowodowała, że THORChain niepoprawnie wydał podwójny zwrot osobie, która wpłaciła 10 ETH. Wywołało to „awaryjne wstrzymanie” THORChain, uniemożliwiając wszystkim użytkownikom, w tym praczom pieniędzy KRLD, korzystanie z swapów międzyłańcuchowych. Dopóki usługa nie wróci do działania, ani hakerzy, ani nikt inny nie może swapować przez większość mostów THORChain.

— Chainalysis (@chainalysis) 31 października 2026 — opublikowano na X

Zamrożenie w depozycie

Najsilniejszym punktem kontroli jest firma, która faktycznie przechowuje aktywa. ETH nie ma czarnej listy emitenta, ale giełda lub depozytariusz przechowujący skradzione ETH dla klienta może zablokować to konto. Tam gdzie mają zastosowanie sankcje, wytyczne OFAC wymagają, aby osoba z USA przechowująca zablokowaną walutę wirtualną odmówiła dostępu i spełniła zasady przechowywania oraz raportowania. Alert FBI to prośba, a nie wpis na listę sankcyjną ani nakaz sądowy, więc każdy posiadacz nadal potrzebuje własnej podstawy prawnej do działania.

Co liczyłoby się jako postęp

Aktualizacje warte uwzględnienia będą wskazywać dostawcę, podjęte działanie, dotknięte aktywa i moment ich wystąpienia. Potwierdzone ograniczenie pokazuje zwężanie się drogi atakującego. Zamrożenie w depozycie pokazuje przetrzymywane aktywa. Tylko udokumentowany transfer z powrotem pokazuje, że pieniądze wracają — i to właśnie ta liczba ostatecznie zmierzy, ile z tych 6 miliardów dolarów odpowiedź faktycznie uratowała.

Ten artykuł ma charakter wyłącznie informacyjny i nie stanowi porady finansowej ani inwestycyjnej.