Кошелек, хранивший средства, похищенные в результате рекордного взлома Binance, перевел 120 млн TRX на неизвестный адрес, сообщает ончейн-трекер Whale Alert. Этот перевод стал очередным шагом злоумышленников в отмывании доходов от взлома 29 октября — и он наглядно показывает, почему нативный токен Tron оказывается гораздо труднее вернуть, чем стейблкоины, похищенные в ходе той же атаки.

Что было переведено и откуда

К 30 октября компании в области блокчейн-криминалистики выявили конкретные адреса в сети Tron, контролируемые злоумышленниками, — на каждом из них находилось ровно 120 млн TRX. По имеющимся данным, еще один кошелек в том же кластере хранил около 158,2 млн TRX.

После атаки с других связанных с группировкой адресов продолжали поступать более мелкие переводы. Следователи описывают эти перемещения как переводы по схеме peel-chain — распространенный метод отмывания, при котором похищенные средства проводятся через цепочку адресов все более мелкими частями. Каждая часть сама по себе достаточно мала, чтобы не привлекать внимания, но вместе они делают исходную сумму труднее для отслеживания и проще для обналичивания по частям.

Взлом, стоящий за этими деньгами

Атака на Binance произошла 29 октября 2026 года: с горячих кошельков биржи — подключенных к интернету кошельков, которые биржи держат пополненными для обработки вывода средств клиентов, — на примерно десяти блокчейнах было выведено цифровых активов на сумму около 6,3 млрд долларов. Вся операция заняла около 20 минут, и этот взлом называют рекордным для отрасли как по масштабу, так и по скорости.

Tron стал одной из наиболее пострадавших сетей. Злоумышленники вывели с горячих кошельков Binance в этой сети 612,7 млн USDT и 46,4 млн TRX. Затем они использовали SunSwap, децентрализованную биржу на Tron, чтобы обменять около 234 млн USDT на примерно 638 млн TRX.

Этот обмен имеет большее значение, чем может показаться на первый взгляд. USDT — это стейблкоин, выпущенный компанией Tether, и Tether может заморозить токены, находящиеся на конкретных адресах. TRX, напротив, не имеет центрального эмитента с функцией заморозки. В результатах исследования отмечается, что незамораживаемые активы, такие как TRX, продолжают создавать трудности для усилий по возврату средств.

После атаки Tether и Circle заморозили стейблкоинов примерно на 2,7–3 млрд долларов — действие, ставшее возможным благодаря контролю на уровне эмитента, тому же инструменту, который оба эмитента ранее использовали для блокировки средств, связанных с предыдущими взломами.

Кто стоит за атакой и как отреагировала Binance

Инцидент с высокой степенью уверенности приписывается группировке TraderTraitor — северокорейским хакерам, связанным с прежними крупными атаками. Следователи ООН оценивали, что в последние годы северокорейские кибероперации похитили криптовалюты на миллиарды долларов, которые, по их оценке, помогают финансировать программы вооружений страны. Binance расследует возможность того, что первоначальным вектором атаки стал скомпрометированный ноутбук DevOps.

Биржа заявила, что покроет все потери затронутых клиентов. Она временно приостановила вывод средств с затронутых кошельков — стандартный шаг по локализации на время расследования — и зарезервировала более 6,34 млрд долларов из собственных средств для покрытия ущерба.

Значительная часть похищенных активов — в частности TRX — по-прежнему находится в руках хакеров. Согласно результатам исследования, злоумышленники активно отмывают средства.

Что это значит

Главное в этой истории — разделение на то, что можно вернуть, и что нельзя. Стейблкоины оказались частично возвращаемыми, поскольку их эмитенты могут их замораживать, и миллиарды долларов были заблокированы в течение нескольких дней. Нативные токены, такие как TRX, подчиняются иным правилам: после того как они покидают контроль биржи, возврат зависит от отслеживания, сотрудничества с другими платформами и перехвата средств при попытке вывода. На практике это означает наблюдение за тем, где в следующий раз появятся TRX: если они попадут на депозитные адреса бирж, платформы с комплаенс-контролем могут помечать и блокировать депозиты, связанные со взломом.

Результаты исследования указывают на усиление внимания к безопасности централизованных бирж и возможность введения более строгих протоколов во всей отрасли. Они также позволяют предположить, что после этого взлома некоторые трейдеры могут задуматься о переходе к децентрализованным биржам. Примечательно, что сами злоумышленники использовали децентрализованную биржу — SunSwap — чтобы перевести средства в форму, которую сложнее заморозить.

Эта статья основана на материале CryptoBriefing, отредактированном Джоном Ченом. Оригинал: 120 million TRX from the Binance hack moves to an unknown wallet