Haker podejrzewany o celowanie w kupujących portfele Ledger za pośrednictwem odsprzedawcy CryptoBilis przeniósł 430,2 ETH, o wartości około 1,07 mln USD, do Tornado Cash za pośrednictwem czterech osobnych portfeli, zgodnie z raportem Onchain Lens z 9 października 2026 roku. Dodatkowe 270 280 USD trafiło do Binance. Śledczy mogą obserwować transakcje, ale śledzenie przepływu środków to co innego niż ich zatrzymanie.

Cztery portfele do miksera, hot wallet na giełdzie

Tornado Cash to protokół miksera, który łączy depozyty wielu użytkowników we wspólnych pulach smart kontraktów i wypłaca środki na świeże adresy, przerywając bezpośrednie powiązanie między źródłem a celem. Choć Tornado Cash znacznie utrudnia dopasowanie depozytów do wypłat, nie wyeliminował możliwości śledzenia środków innymi drogami.

Kolejny raport z 9 października od Onchain Lens ujawnił, że 256 567 USD w USDT oraz blisko 13 710 USD w TRX trafiło do Binance, przy czym transfer 22 390 USDT był już wliczony do łącznej sumy USDT. Środki miały trafić do hot walleta na giełdzie — portfela połączonego z internetem, używanego do obsługi depozytów i wypłat. Aktywa w ramach depozytu u Binance nadal mogą zostać zamrożone; odzyskanie ich to jednak zupełnie inna historia.

Tether zamraża USDT, a portfele przechodzą na USDD

Tetherroził część USDT powiązaną z podejrzaną kradzieżą — to dźwignia wbudowana w sam token, ponieważ emitent może na poziomie kontraktu umieszczać adresy na czarnej liście. Pozostałe środki zostały podobno zamienione na USDD, zdecentralizowany stablecoin emitowany w sieci TRON, za pośrednictwem platformy SUN.io i jej Peg Stability Module, zgodnie z TokenPost. Zamrożonego USDT nie można było wymienić na nic innego.

Raport TokenPost z 9 października wycenił aktywa podejrzanego hakera na około 70,60 mln USD w ETH, BTC, USDD i USDT. Choć portfele monitorowane przez Arkham oferują dokładniejszy obraz tych aktywów, wycena podana w raporcie nie jest potwierdzoną kwotą rzekomo utraconych środków.

Zgodnie z raportem FATF z marca 2026 roku konieczne są silniejsze środki, aby zapewnić zamrażanie i blokowanie wszystkich podejrzanych transakcji stablecoinów. Jednak użycie USDD pokazuje, że przestępcy są w stanie przenosić środki poza zasięg takich reguł.

Ledger wciąż prowadzi dochodzenie, a kwota 90 mln USD nie jest potwierdzona

9 października Ledger ogłosił na X, że bada zgłoszenia dotyczące klientów CryptoBilis z Azji Południowo-Wschodniej i poprosił sprzedawcę o wstrzymanie dystrybucji urządzeń, jak podało Cryptopolitan. Klientom, którzy kupili produkty w ciągu ostatnich trzech miesięcy, doradzono nieużywanie nowych urządzeń, a obecnym użytkownikom zalecono przeniesienie aktywów do nowego signera z nową frazą seed. Ta rada odzwierciedla sposób projektowania portfeli sprzętowych: fraza seed jest generowana na urządzeniu i przechowywana offline, więc nowy signer z nową frazą seed eliminuje wszelką zależność od frazy, która mogła zostać narona.

Zgodnie z artykułem The Block, opublikowanym tego samego dnia, szacunki tanuki42 i Specter mieściły się w przedziale od 72 mln do 86 mln USD i opierały się na analizie aktywności blockchain. Według danych podanych przez Binance News 9 października łączna kwota wynosi 90 mln USD. Żadna z tych liczb nie została potwierdzona jako rzeczywiste szacunki strat i mogą one dotyczyć różnych portfeli.

Changpeng Zhao, jeden ze współzałożycieli Binance, wysunął teorię ataku na łańcuch dostaw specyficznego dla sprzedawcy, w którym urządzenie zostaje naruszone między produkcją a dostawą. Mark Karpelès, były CEO Mt. Gox, wspomniał o możliwości manipulacji przy urządzeniach. Żadna z tych teorii nie została zweryfikowana ani potwierdzona.

Dlaczego mikserom i wymianom stablecoinów nadal udaje się pokonywać wysiłki na rzecz odzyskiwania środków

Objęty sankcjami przez amerykański Departament Skarbu w 2022 roku i usunięty z listy sankcyjnej w marcu 2025 roku, Tornado Cash pozostaje rutynowym przystankiem dla skradzionych środków. TRM Labs podało, że do połowy czerwca 2026 roku wpływy do Tornado Cash przekroczyły 700 mln USD, co stanowiło ponad 20% aktywności mikserów. Przegląd z lipca odnotował 207 ataków hakerskich i 972 mln USD skradzionych w pierwszej połowie roku. Cryptopolitan wcześniej informowało, że Tornado Cash pojawił się w 42% exploitów zbadanych przez Global Ledger.

Dla posiadaczy portfeli największym zmartwieniem pozostaje łańcuch dostaw. Ledger nie potwierdził manipulacji przy urządzeniach. Jego ustalenia, reakcja Binance i dalsze ruchy portfeli mogą ostatecznie zadecydować o tym, ile środków uda się odzyskać.