Hakerzy z Korei Północnej przenoszą skradzione z Binance około 6,4 mld dolarów w oszałamiającym tempie, tworząc nowy portfel kryptowalutowy mniej więcej co 25 sekund — według firmy analitycznej Elliptic, która opublikowała swoją analizę kampanii prania pieniędzy w poniedziałek.

W mniej niż cztery dni napastnik rozprzestrzenił środki na około 12 000 portfeli w 11 blockchainach, wykonując przy tym ponad 40 000 transakcji. Elliptic opisało operację jako wysoce zautomatyzowaną, ale stwierdziło, że nie znalazło dowodów na działanie sztucznej inteligencji.

Emiterzy stablecoinów poruszali się jednak szybciej, niż złodzieje potrafili rozprzestrzeniać pieniądze. Około 2,85 mld dolarów, czyli 44% łupu, zostało zamrożonych lub skonfiskowanych — to wyraźny kontrast wobec około 3% zamrożonych po koreańskopółnocnym hacku Bybit o wartości 1,5 mld dolarów w lutym 2025 roku, który pozostawał największą kradzieżą kryptowalut w historii. Włamanie do Binance jest ponad cztery razy większe.

Szybkość okazała się kluczowa, ponieważ stablecoiny stanowiły 3,46 mld dolarów, czyli 54% skradzionych środków, a ich emiterzy zachowują możliwość ich zamrożenia. Tether zablokował skradzione USDT na Ethereum 37 minut po tym, jak trafiły do portfela napastnika, podczas gdy Circle zamroziło całe 823 mln dolarów skradzionych USDC, zanim cokolwiek mogło zostać wymienione — ustaliło Elliptic.

Zanim te zamrożenia weszły w życie, haker wymienił 434 mln USDT na ETH na zdecentralizowanych giełdach takich jak Uniswap, pożyczył 19 762 ETH na protokole pożyczkowym Aave pod zastaw kolejnych 59,9 mln USDT i wymienił 234 mln USDT na token TRX sieci Tron. Łącznie około 786 mln dolarów w stablecoinach uniknęło interwencji emiterów.

Samo włamanie rozpoczęło się w późny czwartek, gdy napastnicy zaczęli opróżniać gorące portfele Binance — portfele połączone z internetem, których giełdy używają do obsługi wypłat klientów, co czyni je najbardziej narażoną warstwą systemu przechowywania aktywów giełdy. FBI później przypisało kradzież grupie TraderTraitor — hakerskiej grupie powiązanej z północnokoreańskim państwem, którą amerykańskie władze wcześniej łączyły z innymi dużymi kradzieżami kryptowalut — i opublikowało setki powiązanych adresów. Binance, które zobowiązało się pokryć wszystkie straty klientów, ponownie otworzyło wypłaty w niedzielę i odnotowało około 3,64 mld dolarów netto wypływów w pierwsze dziewięć i pół godziny.

Następujące po tym pranie pieniędzy było nieustanne. Tron stał się głównym kanałem, a aktywność transakcyjna osiągała szczyt na poziomie około 1 300 transferów w ciągu jednej godziny. To tempo wywołało spekulacje, że ruchem kierują agenci AI, ale Elliptic odrzuciło taką interpretację, wskazując na stałe ramy czasowe, ustalone kwoty, ślepe ponawianie prób i przerwy przypominające godziny pracy ludzi. Choć pranie jest zdecydowanie zautomatyzowane, firma napisała, że „nic z tego, co widzieliśmy, nie wskazuje na podejmowanie decyzji przez agenta AI”.

Znaczne sumy pozostają nietknięte. Około 3,24 mld dolarów znajduje się na adresach powiązanych z kradzieżą, głównie w ETH i 18 270 skradzionych Bitcoinach, które nie zmieniły lokalizacji od dnia ataku. Elliptic uważa, że te środki są bardzo prawdopodobnie nadal w rękach Korei Północnej — śledczy ONZ wcześniej raportowali, że północnokoreańskie kradzieże kryptowalut pomagają finansować programy zbrojeniowe kraju — podczas gdy pieniądze już poruszające się w łańcuchu prania mogły trafić do chińskich sieci prania pieniędzy. Tylko znikoma kwota wydaje się zostać wypłacona. Około 16 mln dolarów trafiło również na adresy holdingowe zysków z eksploitu Bitgeta z września.

Wzorując się na schemacie zaobserwowanym po hacku Bybit, Elliptic oczekuje, że napastnik będzie wymieniał swoje ETH na Bitcoina w małych partiach i wypłacał środki przez brokerów over-the-counter w okresie kilku miesięcy. Dalsze zamrożenia będą trudniejsze do uzyskania, powiedziała firma, ponieważ ETH i Bitcoin nie mogą zostać zamrożone. Najlepsze pozostałe możliwości wiążą się z usługami scentralizowanymi, gdzie środki ostatecznie będą musiały się pojawić — i gdzie setki opublikowanych przez FBI adresów dają zespołom compliance konkretne narzędzie do skanowania.

Kradzież z Binance wieńci bolesny okres dla bezpieczeństwa sektora krypto. BTCPay Server wezwało handlowców do wyłączenia swoich serwerów w poniedziałek w związku z doniesieniami o atakach na gorące portfele, a brazylijska giełda Mercado Bitcoin wstrzymała wypłaty po hacku o wartości 40 mln dolarów. Nie jest jasne, czy którekolwiek z tych zdarzeń ma związek z atakiem na Binance.