Аналитическая компания TRM Labs подробно описала, как атакующие, стоящие за взломом Binance, отмывают украденные средства через самостоятельно выпущенные токены, передачу депозитных квитанций и цепочки кросс-чейн свопов — методы, разработанные для разрыва прямых платежных связей, от которых зависят заморозки активов. В обновлении от 3 ноября, охватывающем период с 31 октября по 2 ноября — когда в трассировке компании впервые появились мосты и новые методы на базе TRON, — TRM описала серию маршрутов, построенных вокруг одного принципа: кошелек со средствами, связанными со взломом, никогда не должен платить кошельку, который в итоге выводит деньги.

По данным TRM, около 6,36 млрд долларов покинули кошельки Binance в десяти блокчейнах 29 октября. ФБР 31 октября приписало кражу КНДР, обозначив активность как TraderTraitor — тот же ярлык, что применялся к краже 1,5 млрд долларов у Bybit в феврале 2025 года.

Эмитенты и сети действовали быстро. Tether, Circle, Ripple, World Liberty Financial и Совет по безопасности Arbitrum заморозили почти 2,7 млрд долларов в течение нескольких часов. TRM оценивает, что атакующий все еще удерживает около 2,4 млрд долларов в ETH и BTC, и эти основные балансы не демонстрировали новой активности по состоянию на 3 ноября. Отмывание, которое компания сейчас отслеживает, сосредоточено на TRON, при этом средства также начинают проходить через серию кошельков в Solana.

На TRON каждый новый метод решает для атакующего одну и ту же задачу: заморозка или оповещение должны указывать на конкретный адрес.

Токен, который мог выпустить только его создатель

31 октября адрес, уже присутствовавший в трассировке взлома Binance, создал токен, который может выпускать только его создатель. Его единственным рынком был один пул на децентрализованной бирже в TRON, где токен был спарен с квитанционным токеном кредитного протокола. TRM не назвала ни биржу, ни кредитный протокол.

TRM разбивает маршрут на три шага:

1. Финансирование — свежие кошельки покупателей получают TRX от веерного кошелька из трассировки взлома, обменивают их на USDT, конвертируют в квитанционный токен и покупают новый токен.
2. Эмиссия — создатель выпускает новые токены бесплатно и отправляет их на отдельный кошелек продавца.
3. Вывод — продавец продает токены в пул, забирает квитанционные токены и погашает их за USDT.

Поскольку токены продавца ничего не стоили в создании, вся ценность, извлеченная им из пула, была внесена туда кошельками покупателей — а финансировались они из взлома. TRM не обнаружила переводов между покупателями и продавцом; пул — их единственная связь. Поэтому трассировка, следящая за платежами между кошельками, видит набор внешне никак не связанных адресов, торгующих новым токеном.

В одном случае 1 ноября веерный кошелек отправил около 2,94 млн TRX трем кошелькам покупателей. Затем создатель выпустил 300 млн токенов на кошелек продавца, который продал их в течение минуты, снял почти 100 млн квитанционных токенов, погасил их за USDT и конвертировал выручку обратно в TRX.

Цифру 100 млн лучше читать как количество квитанционных токенов, а не долларов, поскольку квитанция конвертируется в USDT по курсу, определяемому кредитным рынком. Долларовая оценка TRM по одному такому пулу — около 2,7 млн долларов, выведенных по состоянию на 1 ноября.

Выход в Ethereum отслежен лишь частично

Кошелек продавца разделил свои TRX между пятью новыми кошельками. С 03:22 до 04:26 UTC эти кошельки разместили 38 ордеров на сумму 966 558 USDT через встроенный в приложение-кошелек своп-роутер, при этом все платежи ушли на адреса мостов одного и того же кросс-чейн сервиса.

Сервис не публикует, куда выплачиваются его ордера, поэтому TRM сопоставила их по сумме и времени. Одиннадцать из 38 ордеров — около 290 000 долларов — совпадают с выплатами в Ethereum, где средства были обменены на ETH, что составляет примерно 30% партии по стоимости. На момент публикации компания все еще отслеживала остальные 27 ордеров и кошельки Ethereum, окончательно получившие средства.

Совпадение по сумме и времени — это вывод, а не запись самого сервиса. Оно дает следователям конкретные адреса Ethereum для изучения, оставляя большую часть партии нераспределенной. Оставшиеся ордера и кошельки, получившие заявленные выплаты в Ethereum, — наиболее явные нерешенные элементы этой части трассировки TRM.

В другом отслеженном случае на том же маршруте TRON–Ethereum средства с нескольких адресов TRON поступили на промежуточные адреса Ethereum. Затем они были консолидированы, пересланы на второй адрес и разделены на части по 50–80 ETH. Этот ETH остался там, куда поступил. TRM описывает такую последовательность обмена, консолидации и перераспределения как типичную для отмывания КНДР.

Депозитное требование, переданное между кошельками

TRM пометила второй метод на TRON 2 ноября. Кошелек A вносит USDT в кредитный пул и получает квитанционный токен, представляющий его требование на этот депозит. Он отправляет квитанцию кошельку B обычным переводом токена. Кошелек B погашает ее, пул выплачивает USDT, и B отправляет этот USDT на мост с TRON.

Трассировка, следующая только за USDT, обрывается на пуле: A вносит USDT, а B выводит USDT. Поскольку пул крупный и общий со множеством других вкладчиков, ничто в потоках USDT не связывает их между собой. Единственные контрагенты B — кредитный рынок и мост, поэтому его история выглядит чистой. Связь существует только в переводе квитанционного токена от A к B.

Квитанция несет сам депозит, а не его копию. Если A вносит 100 000 долларов и передает квитанцию, B может погасить этот депозит по правилам рынка, а A остается без какого-либо собственного требования.

Это отличается от ранее описанного получения ETH в кредит под украденные стейблкоины. Заем оставляет долг, обеспеченный внесенным залогом. Передача квитанции переносит право собственности на депозит полностью.

На что должна указывать заморозка

Оба маршрута на TRON исключают платеж от кошелька со средствами, связанными со взломом, кошельку, который выводит деньги. Мосты добавляют третий вариант той же идеи. TRM наблюдала, как атакующий выстраивает цепочку из двух кросс-чейн свопов, отправляя средства с адреса отмывания прямо на депозитный адрес второго моста. Это позволяет пропустить промежуточный кошелек, где, по словам TRM, оповещение или заморозка обычно и срабатывают.

Замороженные в первые часы 2,7 млрд долларов были остановлены на адресах, которые эмитенты знали как скомпрометированные. Рекомендации TRM комплаенс-командам вытекают из того, что эти маршруты обходят: отслеживать ценность через квитанционные и пуловые токены, проверять несколько хопов ниже по цепочке — включая кросс-чейн выплаты — и учитывать, что некоторые выплаты можно сопоставить только по сумме и времени. Проверка, учитывающая лишь отправителя депозита USDT, пропустила бы кошелек B.

Крупнейшие балансы по-прежнему не двигаются. Около 2,4 млрд долларов в ETH и BTC не перемещались по состоянию на 3 ноября, тогда как отмывание, задокументированное TRM на TRON, шло порциями от сотен тысяч до нескольких миллионов долларов. Призыв ФБР заблокировать кошельки, связанные с TraderTraitor, зависит от того, что кто-то сначала идентифицирует эти кошельки. Каждый описанный маршрут спроектирован так, что следующий в цепочке кошелек не имеет видимой платежной истории с предыдущим.

Эта статья адаптирована из оригинального репортажа Coindoo — Binance Hackers Created a Token to Trade With Themselves.