Преступники, стоящие за кражей $6,3 млрд у Binance, начали обменивать украденный Solana (SOL) на Bitcoin (BTC), сообщили блокчейн-аналитики, опустошив большинство кошельков в сети Tron, которые они использовали для перемещения средств.

Lookonchain сообщил в воскресенье, что хакеры переместили 486 970 SOL на сумму около $46,4 млн и обменивали токены на Bitcoin через Relay — кроссчейн-протокол для перемещения токенов между блокчейнами.

Отмывание затрагивает активы, которые ускользнули от заморозок, введенных после кражи в четверг — крупнейшей в истории криптовалют, более чем в четыре раза превышающей прежний рекорд: около $1,5 млрд, украденных у биржи Bybit в феврале 2025 года. Отраслевые партнеры, включая Tether и Circle, заморозили около $3 млрд украденных средств — такие заморозки возможны потому, что стейблкоины выпускаются централизованно и их эмитенты могут вносить адреса в черный список, рычага, которого не существует для нативных активов, таких как Bitcoin, Ether или Solana. Аналитик SomaXBT оценил, что у атакующих все еще остается около $3,5 млрд.

Binance сообщила, что взлом затронул ее горячие кошельки — подключенные к интернету кошельки, которые биржи используют для вывода средств клиентов. Первоначальные данные указывали на взломанный ноутбук сотрудника, прежде чем аналитики обнаружили дополнительные точки проникновения. Биржа начала восстанавливать вывод средств в воскресенье, обязалась покрыть убытки и работает с властями США над отслеживанием и возвратом украденных активов.

Связанная статья: OKX привлекла $445 млн чистого притока, тогда как отток средств с Binance превысил $7 млрд.

В воскресном обновлении Chainalysis сообщила, что большинство временных кошельков хакеров в сети Tron было опустошено по мере расширения операции по отмыванию на Solana. Аналитическая компания оценила объем переводов в Tron примерно в $500 млн.

SomaXBT отметил в ответ, что цифра в $500 млн отражает все переводы в процессе отмывания, включая многократные перемещения между кошельками, тогда как из кошельков Tron фактически вывено лишь около $242 млн.

В пятницу Chainalysis сообщила, что хакеры, судя по всему, используют автоматизацию для сокрытия своих следов, указав на тысячи транзакций, выполненных за короткий период. Компания наблюдала многократную циркуляцию средств между адресами, которые порой возвращались к кошелькам, использованным ранее в цепочке.

ФБР призвало криптосервисы блокировать транзакции хакеров

Часть украденных средств также достигла централизованной биржи Gate. Lookonchain сообщил в понедельник, что хакеры внесли на платформу около $250 000 за предыдущие 12 часов. Gate заявила, что заморозила два связанных счета и будет сотрудничать с правоохранительными органами, однако в заявлении не уточнила сумму заморозки.

ФБР в субботу возложило ответственность за кражу на TraderTraitor — северокорейскую хакерскую группировку, которую ведомства США ранее связывали с другими крупными криптокражами, включая взлом моста Ronin Network на сумму около $620 млн в 2022 году, — и опубликовало адреса кошельков, связанных с украденными активами.

Вместе с Secret Service и IRS Criminal Investigation ведомство призвало операторов узлов THORChain, биржи и сервисы децентрализованных финансов (DeFi) блокировать транзакции, связанные с этими адресами или отслеженными средствами. THORChain — это децентрализованный кроссчейн-протокол обмена, работающий на независимых операторах узлов, а не на централизованной компании.

По данным ФБР, ранее аналитики наблюдали, как хакеры конвертировали украденные активы преимущественно в Ether (ETH), прежде чем перейти к Solana и Bitcoin, и ожидали дальнейшего отмывания через DeFi-протоколы и сервисы мгновенного обмена.