XRP, похищенные при взломе Bitget, больше не находятся там, куда поступили изначально. Обзор CoinDesk записей XRP Ledger показал, что к 12:41 UTC 26 сентября около 54 млн XRP покинули пять исходных счетов, использовавшихся для хранения добычи из Bitget. Два счёта, на каждом из которых изначально было по 20 млн XRP, сократились примерно до 23 и 55 XRP, а на третьем всё ещё оставалось около 5,8 млн XRP.

Около 49 млн XRP, стоимостью примерно 75 млн долларов на тот момент, оставались на этих пяти исходных счетах. Эта цифра учитывает только исходные счета для хранения: средства, покинувшие их, могут по-прежнему находиться под контролем злоумышленника в новых кошельках, и лишь по данным реестра невозможно определить, какая часть перемещённой суммы остаётся в пределах досягаемости атакующего. Ключевой вопрос на блокчейне — достигнет ли XRP в конечном итоге сервиса, способного идентифицировать и остановить того, кто им управляет.

Пять исходных кошельков показывают лишь первый этап

Чтобы понять, что именно измеряет фигура в 83 млн долларов, полезно отделить первоначальную кражу от последующего перераспределения. Согласно публичным записям блокчейна, около 103 млн XRP покинули два связанных с Bitget аккаунта XRPL 24 сентября и поступили на адрес rwNhefsz1UQEusxhCvHip3RANinWi4CTck. Arkham отнёс этот адрес к своей сущности «Bitget Hacker». Затем средства были разделены между пятью счетами для хранения.

Такая двухэтапная схема — сначала консолидация, затем перераспределение — типична для отмывания средств после взломов бирж, и она обозначает границу между тем, что могут установить публичные данные реестра, и тем, что — нет. Разделение подтверждает, куда XRP поступили изначально. Само по себе оно не может показать, принадлежит ли каждый последующий адрес тому же оператору, посреднику по отмыванию средств или клиенту биржи. Называть каждый перевод «обналичиванием» значило бы преувеличить доказательства. Перемещение между кошельками, контролируемыми злоумышленником, само по себе не создаёт нового давления на продажу; продажа становится конкретным риском лишь тогда, когда маршрут достигает централизованной биржи, OTC-дилера, сервиса мгновенного обмена или другого шлюза, способного конвертировать XRP в другой актив или фиатные деньги.

Ripple не может заморозить нативный баланс XRP

Это ограничение заложено в том, как XRP Ledger обращается со своим нативным активом. XRP не является выпущенным токеном и не имеет эмитента, который мог бы внести аккаунт в чёрный список. Согласно документации XRPL, функции заморозки применяются к выпущенным токенам, удерживаемым через трастовые линии, а не к самому XRP. Поэтому Ripple, XRPL Foundation и валидаторы не имеют встроенных полномочий помечать эти нативные XRP-аккаунты как замороженные, и обычный платёж со счёта, на котором достаточно XRP, остаётся действительным по действующим правилам реестра.

Отслеживаемость — это не контроль. XRP Ledger делает каждый перевод публичным, но такая прозрачность не даёт Ripple полномочий изымать или блокировать нативный XRP, хранящийся на чужом счёте.

Контраст виден на примере стейблкоинов в рамках того же взлома. Как сообщила CoinDesk, Circle и Tether заморозили около 320 000 долларов в USDC и USDT, связанных с инцидентом. Эти активы имеют механизмы чёрных списков на уровне эмитента. У нативного XRP нет, и именно эта асимметрия объясняет, почему две части одного взлома пошли по столь разным путям возврата средств.

Ключевая точка вмешательства — депозит на биржу

Как только XRP достигает адреса, контролируемого биржей, вопрос переходит от правил протокола к кастодиальному контролю. Биржа может связать тегированный депозит XRP с клиентским аккаунтом, приостановить вывод средств или торговлю, сохранить записи и сотрудничать со следствием. На этом этапе исход зависит от собственных механизмов платформы, а не от правил реестра.

Это различие особенно важно на XRP Ledger, поскольку крупные биржи обычно используют общие депозитные кошельки. Destination tag указывает бирже, на какой внутренний клиентский аккаунт должен поступить платёж. Тег не является публичным доказательством личности человека, но создаёт точку, в которой платформа может сопоставить блокчейн-депозит с собственными клиентскими записями.

Анализ публичных данных XRPL от 25 сентября отследил один маршрут от исходного счёта для хранения через адреса-посредники к депозитной инфраструктуре Binance и MEXC. Это не доказывает, что указанные биржи получили или зачислили все последующие переводы, и ни одну из платформ не следует описывать как заморозившую средства без публичного подтверждения. Но это показывает, почему оповещения на блокчейне важны до того, как крупный баланс достигнет точки вывода.

Счета для хранения быстро пустеют

Контрольная точка на бирже становится всё более срочной, поскольку исходные счета для хранения быстро опустошаются. По данным обзора CoinDesk, на 04:32 UTC 26 сентября на них было около 70 млн XRP; примерно через восемь часов баланс сократился до около 49 млн XRP. Ещё одна заметная деталь: один счёт не смог отправить около 521 000 XRP из-за недостатка средств, а второй счёт примерно через час отправил адресату идентичную сумму.

Эта закономерность подтверждает вывод о том, что средства активно перераспределяются. Она не устанавливает причину каждого перевода, не доказывает, принадлежит ли конкретный кошелёк сервису по отмыванию средств, и не показывает, сколько XRP достигло рынка. Эти вопросы требуют доказательств за пределами самого реестра.

Что можно отслеживать по реестру — вполне конкретно: темп дальнейших выводов со счетов для хранения, объём оставшихся средств и то, совпадает ли какой-либо адрес назначения с известной депозитной инфраструктурой бирж.

Решающий момент — не следующий перевод между анонимными кошельками. Это первый случай, когда отслеживаемый баланс XRP поступает в сервис, которому известно, кто контролирует аккаунт, и который может предотвратить его повторный вывод.

Эта статья предоставлена исключительно в информационных целях и не является финансовой, инвестиционной или юрид консультацией. Балансы на блокчейне, метки кошельков и действия бирж могут быстро меняться по мере продолжения расследования.