Korea Północna zaprzeczyła powiązaniom z włamaniem na Binance, podczas gdy firmy analizujące blockchainy śledzą miliardy dolarów skradzionych środków przemieszczających się przez tysiące portfeli i wiele sieci. Pjongjang nazwał amerykańskie przypisanie winy „poważną prowokacją polityczną”, a Elliptic i Chainalysis opisały złożoną operację prania pieniędzy, która nieustannie przenosi się z jednego blockchaina na inny. Badacze śledzą skradzione środki z Binance, a ich ustalenia koncentrują się na skali i kolejności tych przemieszczeń.

Pranie pieniędzy obejmuje 11 blockchainów i 12 000 portfeli

Elliptic podało, że hakerzy użyli około 12 000 portfeli w 11 blockchainach w pierwsze cztery dni po ataku. Firma zarejestrowała ponad 40 000 transakcji, ze średnio jednym nowym portfelem używanym co 25 sekund, i określiła tę aktywność jako wysoce złożoną i zautomatyzowaną.

Według Elliptic większość początkowego prania pieniędzy odbywała się w sieci Tron, szeroko wykorzystywanej do transferów stablecoinów. Środki rozproszono na około 7700 adresach, zanim trafiły do Ethereum poprzez mosty międzyłańcuchowe — usługi przenoszące aktywa między oddzielnymi sieciami — a tą drogą z Tron wypłynęło co najmniej 147 milionów dolarów, poinformowała firma.

Hakerzy wymieniali również skradzione stablecoiny na giełdach zdecentralizowanych — platformach pozwalających użytkownikom handlować tokenami bez centralnego pośrednika — na kryptowaluty, których emitenci nie mogą zamrozić, w tym ether. Tether i Circle, emitenci stablecoinów USDT i USDC, mogą zamrażać tokeny na poziomie emitenta — ether nie ma takiego mechanizmu. Elliptic podało, że około 786 milionów dolarów w stablecoinach zostało skonwertowanych, zanim Tether i Circle zamroziły pozostałe aktywa. Przemieszczenia rozszerzyły się później na inne sieci, w tym Solanę.

Chainalysis poinformowało, że podmioty powiązane z Koreą Północną rozpoczęły nową fazę prania pieniędzy po przemieszczeniu ponad 500 milionów dolarów przez portfele pośredniczące w sieci Tron. Oddzielnie Elliptic zidentyfikowało pierwsze oznaki mieszania bitcoina — techniki mającej utrudnić śledzenie transakcji.

Zamrożone środki, konwersje i wolniejsze tempo niż w przypadku Bybit

Do wczesnych godzin poniedziałku około 28 bitcoinów o wartości 2,2 miliona dolarów przeszło przez 18 transakcji mieszających, podało Elliptic. Firma przekazała, że około 2,85 miliarda dolarów — 44% z 6,43 miliarda dolarów, które według niej skradziono — zostało zamrożonych lub zajętych, a około 3,24 miliarda dolarów nadal znajduje się na adresach powiązanych z kradzieżą, głównie w bitcoinie i etherze.

Znikoma część środków wyglądała na wypłaconą. Większość aktywności obejmowała transfery lub konwersje między kryptowalutami, a nie wymianę na środki do wydawania.

Elliptic zauważyło, że to pranie pieniędzy przebiega wolniej niż po włamaniu na Bybit o wartości 1,5 miliarda dolarów w lutym 2025 roku — największej kradzieży kryptowalut w historii w tamtym czasie — kiedy hakerzy z Korei Północnej przemieszcili cały skradziony ether w ciągu 10 dni. Firma oczekuje, że pozostałe środki będą stopniowo konwertowane na bitcoina i potencjalnie wypłacane przez brokerów pozagiełdowych — biura rozliczające duże transakcje poza publicznymi arkuszami zleceń — oraz giełdy w ciągu kilku miesięcy.

Binance przywraca wypłaty

Binance poinformowała, że będzie stopniowo otwierać wypłaty kolejnych aktywów krypto w większej liczbie sieci po ubiegłotygodniowym włamaniu. Giełda podała również, że pokryła około 95% dotkniętej kwoty, a pozostałe 5% stanowią tokeny o niskiej płynności, których pozyskanie zajmuje więcej czasu; Binance poinformowała, że współpracuje z partnerami branżowymi w celu ich pozyskania.

Wcześniejsze doniesienia BlockTelegraph udokumentowały odpływy środków z Binance po włamaniu oraz uprawnienia portfeli zgłoszone w innym incydencie. Osobny raport śledzi skradzione środki przemieszczające się do Zcash. Te artykuły dotyczą odrębnych doniesień i nie stanowią dodatkowych faktów na temat opisywanych tu transferów.

Kolejnym zadeklarowanym etapem jest przywracanie przez Binance wypłat etapami, podczas gdy giełda współpracuje z partnerami branżowymi nad pozyskaniem pozostałych tokenów o niskiej płynności. Relacje firm analitycznych opisują jednocześnie środki, które wciąż przemieszczają się przez powiązane adresy, konwersje i transakcje mieszające.