Северокорейские хакеры перемещают около $6,4 млрд, похищенных у Binance, с головокружительной скоростью, создавая новый криптокошелёк примерно каждые 25 секунд, согласно блокчейн-аналитической компании Elliptic, опубликовавшей в понедельник свой анализ кампании по отмыванию средств.

Менее чем за четыре дня злоумышленник распределил средства примерно по 12 000 кошельков в 11 блокчейнах, совершив более 40 000 транзакций. Elliptic охарактеризовала операцию как высокоавтоматизированную, но заявила, что не нашла признаков использования искусственного интеллекта.

Однако эмитенты стейблкоинов сработали быстрее, чем воры успели распределить деньги. Около $2,85 млрд, или 44% похищенного, заморожено или конфисковано — это резкий контраст с примерно 3%, замороженными после взлома Bybit со стороны Северной Кореи на $1,5 млрд в феврале 2025 года, который оставался крупнейшей кражей криптовалюты в истории. Взлом Binance более чем в четыре раза крупнее.

Скорость оказалась критической, поскольку стейблкоины составляли $3,46 млрд, или 54% похищенных средств, а их эмитенты сохраняют возможность их заморозки. Tether заблокировала похищенные USDT на Ethereum через 37 минут после того, как они попали в кошелёк злоумышленника, а Circle заморозила все $823 млн в похищенных USDC до того, как их удалось обменять, установила Elliptic.

До вступления этих блокировок в силу хакер конвертировал 434 млн USDT в ETH на децентрализованных биржах, таких как Uniswap, занял 19 762 ETH на протоколе кредитования Aave под ещё 59,9 млн USDT и обменял 234 млн USDT на токен TRX блокчейна Tron. В общей сложности около $786 млн в стейблкоинах избежали вмешательства эмитентов.

Сам взлом начался в четверг вечером, когда злоумышленники приступили к опустошению горячих кошельков Binance — подключённых к интернету кошельков, которые биржи используют для обработки вывода средств клиентов, что делает их наиболее уязвимым уровнем системы хранения активов биржи. ФБР впоследствии связало кражу с группировкой TraderTraitor — хакерской группировкой, связанной с северокорейским государством, которую американские власти ранее связывали с другими крупными кражами криптовалюты, — и опубликовало сотни связанных адресов. Binance, пообещавшая возместить все потери клиентов, в воскресенье возобновила вывод средств и зафиксировала около $3,64 млрд чистого оттока за первые девять с половиной часов.

Последовавшее отмывание средств было непрерывным. Tron стал основным каналом, где активность достигла пика примерно в 1300 транзакций за один час. Такой темп породил предположения, что перемещением средств управляют ИИ-агенты, однако Elliptic отвергла эту интерпретацию, указав на фиксированные тайминги, заданные суммы, слепые повторные попытки и паузы, напоминающие рабочие часы людей. Хотя отмывание явно автоматизировано, написала компания, «ничто из того, что мы видели, не указывает на принятие решений ИИ-агентом».

Значительные суммы остаются нетронутыми. Около $3,24 млрд находятся на адресах, связанных с кражей, преимущественно в ETH и 18 270 похищенных биткойнах, которые не перемещались с дня атаки. Elliptic полагает, что эти средства, весьма вероятно, всё ещё удерживаются Северной Кореей — следователи ООН ранее сообщали, что северокорейские кражи криптовалюты помогают финансировать программы разработки вооружений страны, — тогда как средства, уже проходящие через цепочку отмывания, возможно, перешли к китайским сетям по отмыванию денег. Выведено, судя по всему, лишь незначительное количество средств. Около $16 млн также поступило на адреса, содержащие доходы от сентябрьского взлома Bitget.

Опираясь на сценарий, наблюдавшийся после взлома Bybit, Elliptic ожидает, что злоумышленник будет обменивать ETH на биткойн небольшими партиями и выводить средства через внебиржевых брокеров в течение нескольких месяцев. Добиться дальнейших блокировок будет сложнее, сообщила компания, поскольку ETH и биткойн невозможно заморозить. Оставшиеся возможности связаны с централизованными сервисами, где средства рано или поздно должны проявиться — и где сотни опубликованных ФБР адресов дают комплаенс-командам конкретный инструмент проверки.

Кража у Binance завершает тяжёлый период для безопасности криптоиндустрии. BTCPay Server призвал продавцов отключить свои серверы в понедельник на фоне сообщений об атаках на горячие кошельки, а бразильская биржа Mercado Bitcoin приостановила вывод средств после взлома на $40 млн. Остаётся неясным, связаны ли эти инциденты с атакой на Binance.