Около половины из $6,43 млрд, украденных у Binance в прошлом месяце, еще не отмыты, сообщила блокчейн-аналитическая компания Elliptic в отчете, обновленном в пятницу. Добыча в размере $6,43 млрд более чем в четыре раза превышает ущерб от взлома Bybit на $1,5 млрд в феврале 2025 года.

Около $3,11 млрд по-прежнему находятся на адресах, связанных с кражей, в основном в ETH и биткоине, и эти средства, по словам Elliptic, «весьма вероятно» все еще удерживаются Северной Кореей. Еще $2,85 млрд, или 44% добычи, заморожены или изъяты — в основном стейблкоины, которые эмитенты, включая Tether и Circle, заморозили в течение часа после кражи. Для сравнения: после взлома Bybit на $1,5 млрд в феврале 2025 года было заморожено около 3%, по данным Elliptic.

Предполагается, что лишь незначительная часть украденных средств была на данный момент выведена в фиат. Elliptic ожидает, что злоумышленник обменяет средства на биткоин и выведет их через внебиржевых брокеров в течение нескольких месяцев, повторяя сценарий, который последовал за взломом Bybit в 2025 году.

В обновлении, опубликованном в пятницу в X, Elliptic сообщила, что украденный XRP начал перемещаться:

Binance hack update: the XRP has started moving. About $50 million has been swapped, mostly through THORChain into BTC, with about $226 million still to move. Bitcoin converted from other stolen assets is now about 1,650 BTC ($124 million), almost twice the figure a day earlier.…

— Elliptic (@elliptic) November 6, 2026

ФБР возложило ответственность за кражу 29 октября на северокорейских хакеров, которых оно называет TraderTraitor. Северная Корея отрицает причастность.

Elliptic охарактеризовала операцию по отмыванию на данный момент как «в высшей степени сложную и явно автоматизированную». Она охватила более 20 000 кошельков в 16 блокчейнах, не менее 36 сервисов и не менее 65 000 транзакций — примерно один новый кошелек создавался каждые 30 секунд.

18 270 BTC, украденных у Binance стоимостью около $1,5 млрд на момент кражи, были разделены на 19 адресов в день взлома и с тех пор не перемещались. Девять крупнейших Ethereum-адресов, на которых хранится 89% ETH злоумышленника, также бездействуют с 30 октября.

Как перемещаются средства

Наибольшая часть отмывания на данный момент — около $220 млн TRX — прошла через Tron. Один дистрибуционный кошелек отправил 684,6 млн TRX сотням новых адресов за 51 час, в том числе в течение ночи в Пхеньяне. Почти весь этот TRX впоследствии был переведен через мост на Ethereum.

Весь украденный Solana, около $87 млн по текущим ценам, был обменен, переведен через мост или смешан. Злоумышленник также начал отмывать украденный XRP: на данный момент конвертировано около $50 млн, а около $226 млн еще предстоит переместить. В общей сложности около $124 млн было конвертировано в биткоин, значительная часть — через кроссчейн-сервис THORChain.

Меньшая часть средств была смешана. Около 33 BTC стоимостью примерно $2,5 млн прошли через coinjoin в стиле Wasabi, а примерно $1,1 млн в ETH и SOL было внесено в пул Privacy Cash, который приостановил депозиты примерно на день.

Скорость операции породила предположения, что средства перемещают ИИ-агенты, однако Elliptic заявила, что данные указывают на обычную автоматизацию. «Отмывание явно автоматизировано, но ничто из увиденного не указывает на то, что решения принимает ИИ-агент», — сообщила компания.

Elliptic ожидает, что злоумышленник обменяет ETH на биткоин, а затем выведет средства через внебиржевых брокеров и биржи в течение нескольких месяцев. После взлома Bybit Северная Корея отмыла все 499 000 украденных ETH за 10 дней, но на вывод средств понадобились месяцы, отметила компания. Пока этот вывод не завершится, бездействующие биткоин- и Ethereum-адреса, на которых хранится основная часть неотмытых средств, а также темпы оставшихся конвертаций XRP остаются главными индикаторами, за которыми следует следить по мере развития операции.

Binance продолжает восстанавливать сервисы

Binance продолжает восстанавливать сервисы после кражи. В пятницу биржа сообщила, что пользователи теперь могут проверить, что их балансы обеспечены не менее чем 1:1, с помощью доказательства с нулевым разглашением для последнего снапшота proof-of-reserves. Биржа добавила, что планирует возобновить вывод средств для всех токенов на восстановленных сетях до конца следующей недели. Будет ли достигнута эта цель — следующий видимый ориентир восстановления Binance.