Украденные с Binance BTC и XRP в движении, $3,1 млрд не отмыты — Elliptic

В обновленном в пятницу анализе компания Elliptic сообщила, что с четверга днем из кошельков, связанных с хакерской атакой 29 октября, было перемещено около 42 миллионов XRP на сумму 50 миллионов долларов. Большая часть этих средств была обменена на биткоины через межсетевой обменный протокол THORChain, в результате чего у хакеров осталось примерно 192 миллиона XRP на сумму 226 миллионов долларов.

Последние транзакции увеличили объем похищенной криптовалюты, конвертированной в биткоины, до примерно 1 650 BTC, стоимость которых по состоянию на утро пятницы составляла 124 миллиона долларов. Эта сумма почти удвоилась по сравнению с предыдущим днем, причем большую часть этого прироста составил XRP.

Несмотря на активизацию деятельности, по оценкам Elliptic, на адресах, связанных с кражей, по-прежнему находится 3,11 млрд долларов, преимущественно в биткойнах и эфирах. Первоначальные 18 270 BTC, похищенные с Binance и оценивавшиеся на тот момент примерно в 1,4 млрд долларов, не перемещались с момента распределения по 19 кошелькам вскоре после атаки.

Крупнейшие запасы эфира также остаются нетронутыми. По оценкам Elliptic, из примерно 1,33 млрд долларов украденного ETH через каналы отмывания прошло лишь около 3 млн долларов, в то время как девять крупнейших кошельков с ETH остаются неактивными с 30 октября.

Эти данные знаменуют собой новый этап в попытках хакеров скрыть похищенные активы. Как ранее сообщал Bitcoin.com News, 2 ноября злоумышленники перевели все 233,46 млн украденных XRP на шесть новых кошельков после того, как средства пролежали без движения около 80 часов. В четверг два из этих кошельков начали распределять XRP по десяткам дополнительных адресов, причём большая часть криптовалюты впоследствии была обменена на биткоины.

Активы Solana также оказались в центре внимания операции по отмыванию средств. Компания Elliptic обнаружила, что практически весь похищенный SOL, стоимость которого по текущим ценам составляет примерно 87 млн долларов, к настоящему моменту был обменен, переведен между блокчейнами или смешан с помощью сервисов конфиденциальности. Большая часть конвертированной суммы в конечном итоге поступила на биткоин-кошельки.

Исследователи также выявили около 2,5 млн долларов в биткойнах, обработанных посредством транзакций coinjoin в стиле Wasabi, которые объединяют монеты от нескольких пользователей, чтобы затруднить отслеживание в блокчейне. Еще 1,1 млн долларов в виде похищенных ETH и SOL поступили в протокол Privacy Cash, начиная с 3 ноября, что побудило сервис временно приостановить прием депозитов и усилить процедуры проверки.

С момента взлома сеть отмывания средств резко расширилась. На данный момент компания Elliptic выявила более 20 000 кошельков в 16 блокчейнах, в которых задействованы как минимум 36 сервисов и 65 000 транзакций. Как сообщил в понедельник Bitcoin.com News, на том этапе в операции было задействовано примерно 12 000 кошельков и 40 000 транзакций.

Через неделю после взлома Binance

Из первоначально похищенных 6,43 млрд долларов примерно 2,85 млрд долларов были заморожены или конфискованы, в основном благодаря вмешательству эмитентов стейблкоинов. Компания Elliptic полагает, что лишь незначительная сумма была фактически конвертирована в средства, доступные для расходования. Перемещение активов между кошельками или обмен одной криптовалюты на другую не обязательно означает, что поступления были успешно обналичены.

ФБР приписало эту атаку северокорейской хакерской операции TraderTraitor, хотя Пхеньян отрицает свою причастность.

Во вторник Binance сообщила, что взлом стал результатом многомесячной кампании, включавшей использование вредоносного программного обеспечения для разработчиков, мошеннические собеседования при приеме на работу и взлом внутренних инструментов искусственного интеллекта. В конечном итоге злоумышленники получили доступ к инфраструктуре подписи кошельков и осуществили несанкционированные транзакции в нескольких блокчейнах.

Компания Elliptic ожидает, что оставшиеся запасы эфира будут постепенно конвертированы в биткоин, после чего последуют попытки обменять криптовалюту на традиционные деньги через внебиржевых брокеров и торговые платформы.

Компания провела сравнение с взломом Bybit в феврале 2025 года — предыдущим рекордным криптовалютным ограблением, в ходе которого было похищено около 1,5 млрд долларов, — когда северокорейские злоумышленники конвертировали примерно 499 000 похищенных ETH в течение 10 дней, в то время как процесс обналичивания средств растянулся на несколько месяцев.

На данный момент большая часть поступлений с Binance по-прежнему отслеживается, что дает биржам и следователям дополнительные возможности для выявления и потенциального перехвата средств до того, как они будут конвертированы в наличные деньги.