Хакеры, стоящие за рекордной кражей в Binance, начали конвертировать значительную часть украденных XRP в биткоин, согласно данным блокчейн-аналитической компании Elliptic, последнее обновление которой охватывает период до пятницы. Около 42 млн XRP — примерно $50 млн — уже обменяны, при этом большая часть средств прошла через THORChain — децентрализованную кроссчейн-сеть обмена, которая меняет нативные активы между блокчейнами без участия центрального хранителя.

В результате этих конвертаций объем биткоина, полученного от других украденных при взломе активов, практически за ночь вырос примерно до 1 650 BTC стоимостью около $124 млн, сообщила Elliptic. Основная часть этого роста пришлась на маршрут с XRP. Около 192 млн XRP, оцениваемых примерно в $226 млн, остаются необработанными на адресах, связанных с кражей.

XRP были частью вывода средств от 29 октября, который Binance позже оценила в $6,34 млрд. В тот день между 20:05 и 20:09 UTC пять подключенных к интернету хот-кошельков перевели 233,46 млн XRP на адрес, контролируемый злоумышленником. ФБР связало атаку с северокорейской группировкой TraderTraitor, которую американские власти ранее связывали с серией крупномасштабных краж с бирж и мостов. Binance с тех пор поэтапно возобновила вывод средств, заявила, что заморозила или перехватила около $2,85 млрд, и покрывает потери клиентов за счет собственных средств.

Как началось движение украденных XRP

Сначала украденные XRP оставались неподвижными. Рано утром 2 ноября, между 02:12 и 04:00 UTC, весь объем около 233 млн XRP был перемещен на шесть новых адресов, где он оставался до 5 ноября, сообщила Elliptic. С дня 5 ноября два из этих шести адресов начали пересылать XRP на десятки новых аккаунтов, которые обменивали средства, в основном через THORChain на биткоин. В тот же вечер небольшое количество эфира также прошло через THORChain в биткоин.

Основные запасы биткоина и эфира от кражи — крупнейшие пулы — еще не двигались, сообщила Elliptic. Эта схема повторяет то, что компания наблюдала после взлома Bybit — февраля 2025 года, когда с биржи было выведено примерно $1,5 млрд в эфире, что ФБР также связало с северокорейскими хакерами: сначала конвертировать замораживаемые токены и токены со средней ликвидностью в биткоин, а затем пытаться вывести средства через внебиржевых брокеров.

Масштаб отмывочной операции уже огромен. С момента кражи Elliptic насчитала более 20 000 кошельков на 16 блокчейнах, как минимум 36 сервисов и как минимум 65 000 транзакций — примерно один новый кошелек каждые 30 секунд и одна транзакция каждые 10 секунд. Около $3,11 млрд остаются на адресах, связанных с взломом, преимущественно в эфире и биткоине, при этом, вероятно, выведена лишь незначительная часть средств.

Почему XRP и биткоин имеют здесь значение

Эмитенты могут замораживать многие стейблкоины; XRP таким образом заморозить нельзя, как и биткоин. После того как Tether и Circle заблокировали крупные объемы стейблкоинов 29 октября, злоумышленник сделал приоритетом активы, находящиеся вне этого «аварийного выключателя». Перевод XRP в биткоин продолжает ту же логику: когда биткоин раздроблен по свежим адресам, вернуть его становится значительно сложнее.

Весь украденный SOL — около $87 млн по оценкам Elliptic — уже обменян, переведен через мосты или смешан, при этом значительная часть превратилась в биткоин. Большая часть раннего отмывания в Tron — около $220 млн в TRX — также уже прошла; Bitcoin Magazine отмечал этот поток, сообщая о тихом закрытии подразделения T3 Financial Crime Unit до взлома. Лишь небольшие части основных запасов эфира и NEAR пришли в движение.

Часть конвертированного биткоина попала в coinjoin в стиле Wasabi — технику смешивания, объединяющую монеты множества отправителей для разрыва отслеживаемых связей — около 33 BTC, или $2,5 млн, с 1 ноября, — а около $1,1 млн в эфире и SOL поступило в пул Privacy Cash до того, как этот сервис приостановил депозиты. Elliptic сообщила, что скорость указывает на обычную автоматизацию, а не на ИИ-агента, принимающего решения в реальном времени: фиксированное время, заданные суммы, «слепые» повторные попытки и новые тактики, вводимые с интервалом в несколько часов.

Американские банковские регуляторы уже связались с кредитными организациями после взлома Binance. Для биткоин-рынков более близкий вопрос — сколько еще из оставшихся ~192 млн XRP — и в конечном итоге находящегося в ожидании эфира — будет конвертировано в BTC, прежде чем кто-либо попытается вывести средства.

Теперь вопрос в том, смогут ли операторы THORChain и других мостов достаточно быстро блокировать опубликованные адреса злоумышленников, чтобы замедлить конвейер XRP в биткоин, или оставшаяся часть средств пойдет тем же ночным путем, которым уже прошли первые $50 млн.

Эта статья основана на материале, впервые опубликованном на Bitcoin Magazine, автором которого является Micah Zimmerman.