КНДР отрицает причастность ко взлому Binance, в то время как аналитические блокчейн-компании отслеживают миллиарды долларов в украденных средствах, перемещающихся через тысячи кошельков и несколько сетей. Пхеньян назвал заявления США о её причастности «серьезным политическим вызовом», в то время как Elliptic и Chainalysis описали сложную операцию по отмыванию, которая продолжает перемещаться с одного блокчейна на другой. Исследователи отслеживают украденные средства Binance, и их выводы касаются масштабов и последовательности этих перемещений.

Отмывание охватывает 11 блокчейнов и 12 000 кошельков

По данным Elliptic, в первые четыре дня после атаки хакеры использовали около 12 000 кошельков в 11 блокчейнах. Компания насчитала более 40 000 транзакций, при этом в среднем новый кошелек появлялся каждые 25 секунд, и назвала эту активность высоко сложной и автоматизированной.

Значительная часть первоначального отмывания, согласно Elliptic, происходила в сети Tron, которая широко используется для переводов стейблкоинов. Средства были распределены примерно по 7 700 адресам, прежде чем через межсетевые мосты — сервисы, перемещающие активы между отдельными сетями, — они были переведены в Ethereum; через этот маршрут из Tron было выведено не менее 147 миллионов долларов, сообщила компания.

Хакеры также обменивали украденные стейблкоины на децентрализованных биржах — платформах, позволяющих торговать токенами без центрального посредника — на криптовалюты, которые эмитенты не могут заморозить, включая эфир. Tether и Circle, эмитенты стейблкоинов USDT и USDC, могут замораживать токены на уровне эмитента — функции, которой эфир не обладает. Elliptic сообщила, что около 786 миллионов долларов в стейблкоинах было конвертировано до того, как Tether и Circle заморозили оставшиеся активы. Позднее перемещения распространились на другие сети, включая Solana.

Chainalysis сообщила, что связанные с КНДР субъекты начали новый этап отмывания, переведя более 500 миллионов долларов через промежуточные кошельки в сети Tron. Отдельно Elliptic выявила первые признаки использования биткоин-миксеров — метода, направленного на затруднение отслеживания транзакций.

Замороженные средства, конвертации и более медленный темп, чем при взломе Bybit

К утру понедельника около 28 биткоинов на сумму 2,2 миллиона долларов прошли через 18 миксерных транзакций, сообщила Elliptic. По данным компании, около 2,85 миллиарда долларов — 44% от заявленных ею украденных 6,43 миллиарда — были заморожены или изъяты, в то время как примерно 3,24 миллиарда долларов остаются на адресах, связанных с кражей, преимущественно в биткоинах и эфире.

Обналичена, судя по всему, лишь незначительная сумма. Большая часть активности представляла собой переводы или конвертации между криптовалютами, а не обмен на средства, пригодные к использованию.

Elliptic отметила, что отмывание средств в этот раз шло медленнее, чем после взлома Bybit на 1,5 миллиарда долларов в феврале 2025 года — тогда это была крупнейшая кража криптовалюты в истории, — когда северокорейские хакеры переместили весь украденный эфир в течение 10 дней. Компания ожидает, что оставшиеся средства будут постепенно конвертированы в биткоины и потенциально обналичены через внебиржевых брокеров — площадки, где крупные сделки заключаются вне публичных биржевых стаканов — и биржи в течение нескольких месяцев.

Binance возобновляет вывод средств

Binance сообщила, что после взлома на прошлой неделе постепенно возобновит вывод дополнительных криптоактивов в большем числе сетей. Биржа также сообщила, что покрыла около 95% пострадавшей суммы; оставшиеся 5% составляют менее ликвидные токены, на поиск которых требуется больше времени. Binance заявила, что работает с индустриальными партнерами над приобретением этих активов.

Более ранние материалы BlockTelegraph документировали отток средств из Binance после взлома и права доступа к кошелькам, о которых сообщалось в другом инциденте. Отдельный отчет отслеживает перемещение украденных средств в Zcash. Эти статьи охватывают отдельные публикации и не устанавливают дополнительных фактов о перемещениях, описанных здесь.

Следующим заявленным шагом является поэтапное возобновление вывода средств Binance, которая работает с индустриальными партнерами над поиском оставшихся менее ликвидных токенов. Аналитические компании тем временем сообщают о средствах, которые все еще перемещаются по связанным адресам, конвертациях и миксерных транзакциях.