Binance возобновила вывод средств в воскресенье после покрытия большей части похищенных 6,3 млрд долларов в результате атаки 29 октября, сообщает Reuters, и к 15:30 UTC оценила чистый отток примерно в 3,6 млрд долларов. Однако альтернативные подсчеты ончейн-провайдеров данных показывают более высокие цифры, и расхождение объясняется измерительными окнами, охватом кошельков и тем, как маркируются вновь созданные биржевые адреса.

Binance насчитала 9,5 часов, DefiLlama — 24

По данным The Block, Binance сообщила, что с 06:00 до 15:30 UTC в воскресенье обработала выводов примерно на 4,65 млрд долларов и депозитов на 1,01 млрд долларов. Депозиты компенсировали примерно пятую часть выведенных средств, поэтому чистый показатель составляет около 3,6 млрд долларов, а не общую сумму. Эти часы последовали за заморозкой, действовавшей с 29 октября.

Биржа сопоставила чистый показатель с 171 млрд долларов активов под управлением из своих данных о резервах от 28 октября и оценила отток в 2,1%. Этот знаменатель относится к периоду до взлома, поэтому соотношение сравнивает вывод в воскресенье с запасами Binance до кражи, а не с текущими.

Binance также сообщила, что объемы выводов стабилизировались после начального всплеска, при этом депозиты оставались значительными. Почасовой разбировки биржа не опубликовала, поэтому динамику снижения невозможно проверить извне.

Альтернативные показатели выглядят следующим образом:

• Binance, по собственным данным: чистый отток около 3,6 млрд долларов, 06:00–15:30 UTC, 1 ноября
• DefiLlama, по данным The Block: чистый отток около 4,05 млрд долларов, 24 часа до 16:37 UTC, 1 ноября
• DefiLlama, по данным Reuters: около 4,4 млрд долларов, окно не указано

Эти цифры измеряют разные вещи. 24-часовое окно DefiLlama открывается в субботу днем, более чем за 13 часов до того, как Binance обработала первый вывод, когда клиенты не могли вывести средства с биржи. Любое снижение баланса, зафиксированное в эти часы, не могло быть уходом клиентов.

Различается и охват. DefiLlama отслеживает около 131 млрд долларов на кошельках, которые она относит к Binance, что значительно меньше 171 млрд долларов, заявленных биржей, то есть обе стороны считают потоки по разным наборам адресов.

Новый горячий кошелек выглядит как вывод средств

После того как атакующие опустошили горячие кошельки, Binance начала обрабатывать выводы с вновь созданных кошельков и добавила их в свой список резервов, сообщает The Block. Пока трекер не маркирует новый адрес как принадлежащий Binance, средства, которые биржа переводит на него, регистрируются как отток. Методологическое руководство CryptoQuant указывает на тот же риск: неидентифицированные биржевые адреса могут выглядеть как внешний вывод при внутреннем переводе.

На этом основано возражение Binance против более высокого показателя DefiLlama, который, по словам биржи, не полностью учитывал депозиты на новый горячий кошелек. Ни один трекер пока не опубликовал сверку. Пока новые адреса не маркированы, а окна не сопоставлены, это объяснение основывается только на словах Binance.

Та же проблема маркировки затемняет данные дня атаки. CryptoQuant зафиксировала вывод около 28 000 BTC и примерно 2,9 млрд ERC-20 USDT с кошельков, маркированных как принадлежащие Binance, 29 октября. Эти суммы объединяют похищенные средства, экстренные переводы и любые клиентские выводы, обработанные до заморозки, а серия USDT охватывает только версию токена в сети Ethereum. С цифрой USDT связана еще одна сложность: часть ее — похищенный стейблкоин, который эмитенты в принципе могут заморозить. Разбор Coindoo о том, как хакер обошел эти заморозки, показывает, как атакующий все же продолжал перемещать средства.

Куда ушли деньги

Лишь небольшая часть воскресного оттока появилась на конкурирующих площадках. За те же 24 часа десять следующих по величине бирж в данных DefiLlama зафиксировали совокупный чистый приток около 368 млн долларов, лидировала OKX с почти 317 млн долларов, тогда как Bitfinex и Gate показали чистый отток. DefiLlama не охватывает Coinbase и Kraken, но данные CoinGlass, на которые ссылается The Block, показали рост их биткоин-балансов примерно на 984 BTC и 1 422 BTC соответственно, тогда как баланс Binance снизился примерно на 19 289 BTC.

Таким образом, большая часть средств ушла на адреса, которые эти дашборды не маркируют. Это могут быть кошельки самостоятельного хранения, более мелкие биржи или еще не маркированные адреса Binance, и ончейн-данные сами по себе не позволяют их различить.

Что клиенты могут вывести

Binance определила первую фазу восстановления по спросу на вывод за предыдущую неделю, поэтому первыми вернулись основные монеты и самые загруженные сети стейблкоинов. В обновлении о восстановлении от 1 ноября биржа сообщила, что балансы в BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD и ZEC полностью обеспечены. Оставшиеся невосполненными примерно 5% похищенной стоимости приходятся на менее ликвидные токены вне этой группы, которые биржа продолжает закупать через рыночные и OTC-каналы.

Статус выводов в воскресенье днем (UTC):

• 12:36 – все 15 сетей первой фазы возобновили работу
• 16:22 – страница статуса показывала 531 из 552 монет заблокированными; 14 частично восстановлены, включая BTC и ETH
• Все еще тестируются – Cardano, Chainlink, Hyperliquid, Litecoin, NEAR и другие сети

Для тех, кто держит монету, которая все еще заблокирована, воскресные миллиарды ничего не говорят о собственном балансе. Страница статуса сетей Binance указывает доступность для каждой пары актив–сеть.

Восполнение похищенной стоимости за счет средств компании — это отдельный вопрос от возврата самих похищенных монет. Binance сообщает, что работает с правоохранительными органами и отраслевыми партнерами над их отслеживанием и заморозкой, однако в обновлении от 1 ноября не указано, сколько средств заморожено на данный момент.

Данные о резервах по-прежнему предшествуют воскресенью

Оба доступных ориентира по резервам относятся к периоду до всплеска. Соотношение 2,1% опирается на данные от 28 октября. Binance сообщила, что ее следующий отчет о резервах, рассчитанный с использованием доказательств с нулевым разглашением и ожидаемый в понедельник, использует снимок от 31 октября. Этот отчет может показать, что обеспечивало клиентские балансы в субботу, но не то, что осталось после выплат воскресенья. Инвестор-адвокат PCAOB также предупредил, что такие отчеты не являются аудитами и мало говорят об общем финансовом состоянии компании.

Три маркера покажут, стало ли воскресенье разгребанием накопившихся заявок или началом более длительного исхода. Первый — вернутся ли заблокированные монеты в строй. Второй — приблизятся ли показатели DefiLlama к данным Binance после маркировки новых кошельков. Третий — первый снимок резервов, датированный после 1 ноября.

Эта статья первоначально была опубликована изданием Coindoo.