Федеральное бюро расследований подтвердило, что за кражей более $6 млрд у Binance стоит КНДР. В заявлении от 31 октября бюро отнесло атаку к активности, которую оно отслеживает под названием TraderTraitor, сняв вопрос об ответственности КНДР, долго висевший над этим делом.

Почему обращение адресовано инфраструктуре

ФБР, Секретная служба и уголовное подразделение IRS обратились к операторам THORNode, RPC-операторам, мгновенным обменникам, DeFi-сервисам, аналитическим компаниям и другим провайдерам виртуальных активов с просьбой блокировать транзакции, связанные с опубликованными адресами. По данным ведомств, украденные активы в основном конвертируются в ETH, а дальнейшее отмывание ожидается через DeFi и сервисы мгновенного обмена.

Именно эта конвертация объясняет столь широкий охват обращения. Эмитенты стейблкоинов могут замораживать собственные токены, и часть добычи была заморожена таким образом в течение нескольких часов. У ETH нет эмитента, к которому можно обратиться. После того как атакующий перевел средства в ETH, их остановка зависит от сервисов, через которые они пройдут дальше.

Список адресов — отправная точка. ФБР описывает перечисленные кошельки как содержащие или ранее содержавшие украденные активы, а также как управляемые или тесно связанные с участниками TraderTraitor. Некоторые из них могут быть уже пусты. Каждому провайдеру по-прежнему предстоит определить, что он может сделать в рамках собственной роли.

Пять смыслов слова «блокировка»

Вмешательство выстраивается от самой слабой меры к самой сильной, и лишь последняя возвращает деньги:

1. Отслеживание. Аналитические компании отслеживают движение средств и предупреждают остальных — информация, а не контроль.
2. Отказ в подключении. RPC-провайдер или интерфейс приложения отклоняет запросы от помеченных адресов в своем сервисе.
3. Остановка протокола. Сеть вроде THORChain может приостановить торговлю или целую цепочку, остановив транзакции всех, а не только атакующего.
4. Заморозка в хранении. Биржа или кастодиан, который удерживает активы, ограничивает доступ к ним.
5. Возврат средств. Идентифицированные активы фактически переводятся обратно.

Каждый уровень требует разных доказательств. Отказ в подключении означает, что один сервис сказал «нет». Остановка показывает, что активность была приостановлена, на время. Заморозка в хранении означает, что активы удерживаются в ожидании юридической процедуры. Только возврат свидетельствует о восстановлении средств. Названные в обращении провайдеры находятся на разных уровнях: аналитические компании отслеживают, RPC-операторы и интерфейсы приложений отказывают, операторы протоколов могут останавливать сеть, а кастодианы замораживают.

Отказ в подключении

Приложения взаимодействуют с Ethereum через узлы, часто управляемые RPC-провайдерами, чтобы читать данные или отправлять транзакции, как объясняется в документации JSON-RPC Ethereum. Провайдер может отклонять запросы, проходящие через его сервис, но правила сети от этого не меняются. Широковещательная передача, включение в блок и финализация — отдельные этапы, и транзакция, отклоненная одним провайдером, может быть отправлена через другого. То же относится к сайту, ограничивающему свой интерфейс, пока базовый протокол продолжает работать.

Остановка протокола: позиция THORChain

ФБР напрямую назвало операторов THORNode — тех, кто управляет сетью THORChain, — что привлекло внимание к архитектуре THORChain. В публикации от 1 октября, вышедшей до кражи у Binance, проект заявил, что его протокол может приостановить цепочку или всю сеть в целях безопасности, но не имеет возможности отменить отдельный обмен. В квартальном отчете от 23 октября эта позиция была повторена.

В документации для разработчиков проекта описаны несколько видов паузы: от остановки торговли до остановки исходного подписания и остановки целой цепочки. Любая из них затронет всех пользователей этого маршрута, а не только атакующего.

Случайность уже показала, как выглядит незапланированный сбой. 31 октября Chainalysis сообщила, что реорганизация блока Ethereum привела к тому, что THORChain выдал дублированный возврат пользователю, внесшему 10 ETH, что непреднамеренно задержало отмывание средств, украденных у Binance. Это была операционная ошибка, а не намеренное ограничение — а задержанные средства не являются возвращенными.

THORChain just inadvertently delayed the laundering of a significant amount of funds stolen from Binance. The reason? An Ethereum reorg. One happened this morning and caused THORChain to incorrectly issue a double refund to someone who had deposited 10 ETH. This triggered an “emergency pause” on THORChain, preventing all users, including DPRK’s money launderers, from using cross-chain swaps. Until the service comes back online, neither the hackers nor anyone else can swap through a majority of THORChain’s bridges.

— Chainalysis (@chainalysis) October 31, 2026 — опубликовано в X

Заморозка в хранении

Самая сильная точка контроля — компания, которая фактически удерживает активы. У ETH нет черного списка от эмитента, но биржа или кастодиан, хранящий украденные ETH для клиента, может заблокировать этот аккаунт. Там, где применяются санкции, руководство OFAC требует, чтобы лица в США, удерживающие заблокированную виртуальную валюту, ограничивали доступ к ней и соблюдали правила хранения и отчетности. Предупреждение ФБР — это просьба, а не санкционное обозначение или судебный приказ, поэтому каждому держателю по-прежнему нужна собственная правовая основа для действий.

Что можно считать прогрессом

Достойные внимания обновления будут называть провайдера, предпринятое действие, затронутые активы и время. Подтвержденное ограничение показывает сужение путей атакующего. Заморозка в хранении — что активы удерживаются. Только документально зафиксированный обратный перевод показывает возвращение денег — и именно этот показатель в итоге измерит, какая часть из $6 млрд реально спасена благодаря принятому ответу.

Эта статья предоставлена исключительно в информационных целях и не является финансовой или инвестиционной рекомендацией.