Половина похищенных у Binance $6,43 млрд всё ещё не отмыта — Elliptic

Из $6,43 млрд, украденных у Binance, почти половина — $3,11 млрд, в основном в ETH и биткоине, — ещё не отмыта, говорится в обновлённом отчёте Elliptic. Компания считает, что эти средства «с высокой вероятностью» всё ещё находятся под контролем Северной Кореи.

Ещё $2,85 млрд, или 44% похищенного, заморожены или изъяты — в основном стейблкоины, которые Tether и Circle заблокировали в течение часа после кражи. Для сравнения: после взлома Bybit на $1,5 млрд в феврале 2025 года было заморожено лишь около 3% средств.

ФБР связывает кражу, произошедшую 29 октября, с северокорейской группировкой TraderTraitor. Пхеньян причастность отрицает.

По данным Elliptic, отмывание идёт через более чем 20 000 кошельков в 16 блокчейнах и как минимум 36 сервисов — всего зафиксировано свыше 65 000 транзакций, то есть новый кошелёк появляется примерно каждые 30 секунд. Похищенные 18 270 BTC (около $1,5 млрд на момент кражи) злоумышленники разделили на 19 адресов в день взлома — с тех пор эти средства не двигались. Девять крупнейших ETH-адресов, на которые приходится 89% похищенных эфиров, не меняли баланс с 30 октября.

Основной поток средств — около $220 млн в TRX — прошёл через один кошелёк, который за 51 час распределил 684,6 млн TRX по сотням новых адресов. После этого злоумышленники перевели почти все средства через мост в сеть Ethereum. Весь похищенный объём другого актива, примерно на $87 млн, также обменян, переведён через мосты или смешан. Злоумышленники начали отмывать и похищенные XRP: уже конвертировано около $50 млн, в основном через THORChain в биткоин, ещё $226 млн предстоит перевести. В биткоин в общей сложности конвертировано около $124 млн.

Часть средств прошла через миксеры: около 33 BTC (примерно $2,5 млн) — через coinjoin-сервисы в стиле Wasabi, а $1,1 млн в ETH и SOL — через пул Privacy Cash, который после этого на сутки приостановил приём депозитов.

Elliptic отмечает, что схема отмывания «крайне сложная и явно автоматизированная», но заявляет: доказательств того, что решения принимает ИИ-агент, нет — речь идёт об обычной автоматизации.

Компания ожидает, что злоумышленники обменяют ETH на биткоин и будут обналичивать средства через OTC-брокеров и биржи в течение нескольких месяцев — по аналогии со взломом Bybit, после которого Северная Корея отмыла все 499 000 похищенных ETH за 10 дней, но на обналичивание ушли месяцы.

Binance тем временем продолжает восстанавливать работу сервисов: пользователи уже могут проверить обеспеченность своих балансов минимум 1:1 с помощью zero-knowledge доказательства по последнему снэпшоту резервов, а вывод всех токенов на восстановленных сетях биржа планирует возобновить до конца следующей недели.