Хакеры отмывают украденные у Binance $6,43 млрд через 12 000 кошельков

Поздно в четверг злоумышленники начали выводить средства с горячих кошельков Binance. Позже ФБР связало кражу с TraderTraitor — северокорейской хакерской группой, связанной с государством. Binance пообещала покрыть все потери и возобновила вывод средств в воскресенье. За первые 9,5 часа после этого биржа зафиксировала чистый отток около $3,64 млрд.

Согласно анализу Elliptic, менее чем за четыре дня атакующий распределил средства по 11 блокчейнам и создавал новый криптокошелёк примерно каждые 25 секунд. Эмитенты стейблкоинов успели заморозить или изъять около $2,85 млрд — 44% похищенной суммы. После взлома Bybit на $1,5 млрд в феврале 2025 года этот показатель составлял около 3%.

На стейблкоины пришлось $3,46 млрд, или 54% украденной суммы. Tether заблокировала USDT через 37 минут после поступления токенов на адрес атакующего, а Circle заморозила все украденные $823 млн в USDC, прежде чем их успели обменять. До этого хакер конвертировал 434 млн USDT в ETH через Uniswap и другие DEX, занял в Aave 19 762 ETH под залог ещё 59,9 млн USDT и обменял 234 млн USDT на TRX. Атакующему удалось вывести около $786 млн в стейблкоинах.

Основным маршрутом стал Tron: в пиковый момент за час в сети проходило около 1 300 транзакций. Elliptic считает операции автоматизированными, но не видит признаков работы ИИ-агента. Фиксированные интервалы и суммы, повторные попытки и паузы больше похожи на заранее заданный сценарий, в котором периоды активности совпадают с рабочими часами людей.

Около $3,24 млрд остаётся на адресах, связанных с кражей. В основном это ETH и BTC; на этих адресах находятся 18 270 BTC. Средства не двигались со дня атаки и, по оценке Elliptic, вероятно, всё ещё находятся у Северной Кореи. Активы, которые уже начали отмывать, могли перейти к китайским сетям отмывания денег. Обналичена лишь незначительная сумма. Ещё около $16 млн поступило на адреса с доходами от сентябрьского взлома Bitget.

Elliptic ожидает, что в течение нескольких месяцев ETH будут обменивать на Bitcoin небольшими партиями и выводить через OTC-брокеров. ETH и Bitcoin нельзя заморозить, поэтому основные возможности для блокировки сохранятся на централизованных сервисах. На фоне этой атаки BTCPay Server призвал продавцов отключить серверы из-за сообщений о взломах горячих кошельков, а Mercado Bitcoin остановила выводы после кражи $40 млн. Связь этих инцидентов с атакой на Binance не установлена.