ФБР обратилось к операторам узлов THORChain и другим сервисам децентрализованных финансов (DeFi) с просьбой заблокировать транзакции, связанные с примерно 6,3 млрд долларов, украденными в результате взлома Binance, — запрос, который подчеркивает, насколько сложно обеспечить принуждение в сети, построенной для работы без централизованного контроля.

Запрос поступил 31 октября. THORChain — это сеть межцепочечных обменов, соединяющая 13 блокчейнов; ее узлы работают независимо, и ни один орган не может обязать их блокировать транзакции.

Чего требовало ФБР — и как ответил THORChain

Бюро возложило ответственность за кражу 29 октября на TraderTraitor — свое обозначение связанной с северокорейским государством хакерской группировки — и попросило сервисы заблокировать перечисленные кошельки, а также любые производные от них транзакции. В официальном предупреждении ФБР сообщило, что злоумышленники конвертируют украденную криптовалюту в Ether.

На данный момент ФБР выявило 608 адресов в сети Ethereum, 19 адресов в Bitcoin и один адрес в Solana. Примечательно, что ни один адрес в сети Tron не был указан, хотя этот блокчейн широко использовался для перемещения украденных средств.

Чад Баррафорд, технический сооснователь THORChain, сообщил The Block, что официальный сайт протокола заблокировал перечисленные адреса. Он отметил, что операторы узлов и так могут видеть транзакции в публичных блокчейнах, но выразил ожидание, что независимые операторы продолжат обрабатывать сделки, как и прежде.

Где заканчивается фронтенд и начинаются узлы

Здесь важно различие между сайтом THORChain и самой сетью THORChain. Сайт существует для предоставления интерфейса обмена, но протокол работает на отдельных узлах, к которым можно подключиться через другие интерфейсы. Такое разделение распространено в DeFi: фронтенды — это необязательные интерфейсы, а лежащие в их основе протоколы работают на независимых операторах. Поэтому блокировка адреса на официальном сайте не мешает провести ту же транзакцию другим способом, и пока неясно, заблокировали ли операторы узлов отмеченные адреса по всей сети.

Отдельная остановка, задевшая добросовестных пользователей

Затем торговую активность остановила несвязанная с этим проблема. 31 октября произошла реорганизация блока в Ethereum, из-за чего THORChain пришлось вернуть 10 ETH, относящихся к хранилищам, на которые не поступили депозиты, а недостачу зафиксировал проверщик платежеспособности сети. Это вынудило операторов продлить паузу, и 1 ноября торговля на 10 из 13 подключенных цепочек была приостановлена. Все вовлеченные стороны понесли убытки. Остановка была направлена на защиту сети, а не на выполнение требования ФБР.

Цифры — это оценки, а не установленные факты

Скорость перемещения украденных средств затрудняет точную оценку общей суммы. Аналитик SomaXBT оценил в посте в X, что около 242 млн долларов было переведено через блокчейн Tron в течение двух дней.

Большая часть этой суммы — около 140 млн долларов — прошла через различные межцепочечные сервисы: на Relay пришлось почти 48 млн долларов, THORChain переместил 44 млн долларов, Chainflip перевел 32,1 млн долларов, а Symbiosis — 16 млн долларов. Эти цифры являются оценками и не указывают на то, что THORChain знал о противоправных действиях хакеров.

Почему проверка кошельков по одному может не сработать

Быстрое перемещение украденных средств затрудняет проверку кошельков по одному. Компания блокчейн-аналитики Elliptic отследила около 12 000 кошельков в 11 блокчейнах и более 40 000 транзакций менее чем за четыре дня, обнаружив признаки автоматизированной отмывки, но не найдя доказательств того, что ею руководили ИИ-агенты. При постоянном перемещении средств на новые кошельки фиксированные блок-листы быстро устаревают — и 628 выявленных на данный момент ФБР адресов покрывают лишь малую часть этой активности.

Для THORChain вопрос в том, насколько быстро она может реагировать. В более ранней дискуссии исследователь Тейлор Монаган утверждала, что сеть могла бы остановить подозрительные маршруты. Баррафорд возразил, что достижение консенсуса двух третей узлов — согласия подавляющего большинства операторов — может занять дни или недели, а более быстрые действия потребовали бы более централизованного контроля.

Ставки для ликвидности, комплаенса и доверия

Тем временем Binance работает над восстановлением доверия клиентов. Биржа завершила доказательство резервов — снимок, показывающий, обеспечены ли указанные остатки клиентов активами, — и пообещала покрыть убытки.

Тем не менее, по данным Reuters, чистый отток составил 4,72 млрд долларов, или около 3% активов платформы, несмотря на приток в 2,7 млрд долларов. Cryptopolitan ранее анализировала подверженность THORChain украденным средствам.

Далее стоит следить за конкретными ориентирами: применит ли операторы узлов THORChain список ФБР по всей сети, добавят ли в него адреса Tron и когда возобновится торговля на 10 приостановленных цепочках. Этот последний случай вновь выводит на первый план знакомую проблему: как DeFi может сохранять открытую ликвидность, не жертвуя комплаенсом и доверием пользователей?