Хакеры Binance обменяли $50 млн украденного XRP на биткоин

Хакеры, стоящие за рекордной кражей с Binance, приступили к обмену значительной части украденного XRP на биткоин. Об этом сообщила аналитическая компания Elliptic в обновлении по состоянию на пятницу. Через THORChain уже обменяно около 42 млн XRP — примерно $50 млн.

Объём конвертированного биткоина из других похищенных активов за ночь почти удвоился — до 1650 BTC, или около $124 млн. По данным Elliptic, основной прирост обеспечила цепочка обмена XRP. Ещё около 192 млн XRP, или $226 млн, пока остаются необменянными на адресах, связанных с кражей.

XRP был частью средств, похищенных 29 октября, которые Binance впоследствии оценила в $6,34 млрд. Между 20:05 и 20:09 UTC в тот день пять горячих кошельков отправили 233,46 млн XRP на адрес злоумышленника. ФБР связало атаку с северокорейской группировкой TraderTraitor. Binance поэтапно восстановила вывод средств и сообщила, что заморозила или перехватила около $2,85 млрд, а убытки клиентов покрыла из собственных средств.

Похищенный XRP сначала оставался без движения. Рано утром 2 ноября, между 02:12 и 04:00 UTC, около 233 млн XRP перевели на шесть новых адресов, где они находились до 5 ноября. Во второй половине дня 5 ноября два из этих шести адресов начали рассылать XRP на десятки новых аккаунтов, которые обменивали их — в основном через THORChain на биткоин. Небольшая часть эфира в тот же вечер прошла через THORChain по аналогичной схеме.

Основные запасы биткоина и эфира из украденного — самые крупные пулы — пока не трогали. По словам Elliptic, схема повторяет действия хакеров после взлома Bybit: сначала конвертировать токены, которые можно заморозить, в биткоин, а затем пытаться обналичить средства через OTC-брокеров.

С момента кражи на Binance Elliptic зафиксировала более 20 000 кошельков в 16 блокчейнах, как минимум 36 сервисов и не менее 65 000 транзакций — примерно по одному новому кошельку каждые 30 секунд и по одной транзакции каждые 10 секунд. Около $3,11 млрд остаются на адресах, связанных с кражей, в основном в эфире и биткоине.

Эмитенты способны заморозить многие стейблкоины, но не могут сделать то же самое с XRP или биткоином. После того как Tether и Circle 29 октября заблокировали крупные транши стейблкоинов, злоумышленники переключились на активы вне досягаемости такой блокировки.

Весь похищенный SOL — около $87 млн по оценке Elliptic — уже обменян, переведён через мосты или смешан, значительная часть в итоге превратилась в биткоин. Основную часть ранней отмывочной цепочки в Tron — около $220 млн в TRX — тоже уже реализовали. Лишь небольшие доли основных запасов эфира и NEAR пока сдвинулись с места.

Часть конвертированного биткоина попала в coinjoin-сервисы в стиле Wasabi — около 33 BTC, или $2,5 млн, с 1 ноября. Ещё около $1,1 млн в эфире и SOL поступили в пул Privacy Cash до того, как сервис приостановил приём депозитов.

В Elliptic отмечают: скорость операций указывает на обычную автоматизацию, а не на решения ИИ-агента в реальном времени — фиксированные интервалы, заданные суммы, слепые повторные попытки и новые тактики, которые появлялись с разницей в несколько часов. Американские банковские регуляторы уже обращались к кредиторам после взлома Binance.