Хакеры, стоящие за кражей $6,43 млрд у Binance, конвертировали около $124 млн украденных альткоинов в биткоины, согласно отчёту от 6 ноября блокчейн-аналитической компании Elliptic. Активность по отмыванию средств разворачивается одновременно с восстановлением биржей услуг по выводу средств для клиентов.

Конвертация альткоинов, а не вывод в фиат

Обмены принесли приблизительно 1 650 BTC — отдельно от $1,48 млрд, похищенных непосредственно в ходе атаки 29 октября. На данный момент перемещено около $50 млн в XRP, при этом $226 млн остаются на кошельках, контролируемых хакерами. Почти вся украденная Solana — на сумму около $87 млн — была обменена на другие криптовалюты, переведена между блокчейнами или проведена через транзакции, призванные скрыть её происхождение.

Последние данные не дают полной картины состояния украденных средств. По оценкам Elliptic, $2,85 млрд, или 44,3% от общей суммы, заморожены, а ещё $3,11 млрд, или 48,4%, остаются на связанных кошельках. Вместе эти категории покрывают $5,96 млрд из украденных $6,43 млрд, оставляя примерно $470 млн, или 7,3%, неучтёнными в заявленных итогах. Расхождения в оценке стоимости активов и сроках отчётности могут объяснять эти несоответствия.

Конвертированные в биткоин $124 млн не следует рассматривать как дополнительную сумму, поскольку хакеры просто обменяли одну форму криптовалюты на другую, а не вывели средства в фиат. По данным Elliptic, лишь небольшая часть украденных денег выведена на данный момент. То, какая часть остатка на связанных кошельках будет заморожена, перемещена или выведена, — это показатель, который вероятнее всего изменится в последующих обновлениях.

Как продолжается отмывание

Украденные активы распределены по огромному количеству транзакций. Анализ Elliptic позволил отследить более 20 000 криптокошельков, 16 различных блокчейнов и 65 000 транзакций. Активность выглядит автоматизированной, однако доказательств того, что ею управляют ИИ-агенты, нет.

TRM Labs установила, что хакеры создали токены и пулы ликвидности в сети Tron для маскировки переводов. Они также перемещали средства через токены кредитных расписок и связанные блокчейн-мосты, минуя кошельки, где активы могут быть заморожены.

Ранее Chainalysis отследила конвертацию $325 млн стейблкоинов в $285 млн эфира в течение 20 минут — очевидно, во избежание заморозки. Часть конвертаций XRP прошла через THORChain. Как сообщала Cryptopolitan, сайт THORChain заблокировал помеченные адреса после запроса ФБР, однако независимые узлы продолжали обрабатывать транзакции.

Возобновление вывода средств и тест на ликвидность

Binance восстанавливает вывод средств, пока украденные активы остаются в обращении. В обновлении от 6 ноября, опубликованном также в X, биржа сообщила, что намерена возобновить вывод средств для HYPE, INJ, APT, PLASMA, NEAR и LTC до конца следующей недели. Binance также сообщила о восполнении 98% затронутых токенов к 31 октября и пообещала покрыть убытки клиентов — хотя замена украденных активов не равнозначна их возвращению. Цель по шести токенам задаёт следующую конкретную контрольную точку в графике восстановления биржи.

Возобновление вывода средств оказало давление на ликвидность Binance. Talos зафиксировал чистый отток в $6,1 млрд. Глубина стакана биткоина в пределах 1% упала на 28% в первый день после атаки и достигла минимума — примерно на 44% ниже уровня до взлома — около 1 ноября, после чего восстановилась. Сам биткоин после взлома упал примерно на 5%. Тем не менее Talos обнаружил ограниченные признаки более широкого заражения рынка по сравнению с крахом FTX.

Что это значит для бирж и комплаенса

ФБР 31 октября возложило ответственность за кражу на северокорейскую группировку TraderTraitor. Ведомство опубликовало связанные с хакерами адреса и призвало операторов THORNode, DeFi-сервисы и мгновенные обменники блокировать соответствующие транзакции.

Несмотря на сложность отмывания, атака началась с привычных уязвимостей в безопасности. Расследование Binance описывает фальшивое собеседование, вредоносное ПО, установленное на компьютер инженера, и злоупотребление внутренним ИИ-инструментом. В конечном итоге атакующие получили доступ к системам, участвующим в подписании транзакций кошельков.

Этот инцидент подчёркивает две задачи для бирж: защита сотрудников и чувствительных систем от вторжений и предотвращение перемещения украденных средств через децентрализованные сети.