Хакер Binance перевел украденные XRP на $293 млн; $242 млн ушли через Tron

Украденные XRP «просыпаются»

2 ноября в 03:47 по UTC адрес хранения злоумышленника в реестре XRP (XRPL) начал отправлять тестовые платежи по 1 000 XRP на шесть новых кошельков. Крупные переводы последовали через несколько минут.

Сервис отслеживания блокчейна Whale Alert зафиксировал перевод 40 млн XRP на сумму около 50,4 млн долларов с адреса, обозначенного как «Binance Hack 2026». Менее чем через минуту он зафиксировал второй перевод на ту же сумму — 40 млн XRP.

Эти два оповещения были лишь частью операции, поскольку полная история транзакций кошелька показывает девять крупных платежей, совершенных в период с 03:52 до 04:00 по UTC, на общую сумму около 233,45 млн XRP. После шести тестовых переводов на этом адресе осталось всего 23,7 XRP.

Пять из кошельков-получателей сейчас содержат по около 40 млн XRP каждый. На шестом кошельке находится 33,46 млн XRP. По состоянию на 04:37 UTC ни один из шести кошельков не пересылал средства дальше.

Именно об этом запасе Bitcoin.com News сообщал, когда XRP впервые подвергся атаке 29 октября. Начиная с 20:05 UTC, пять кошельков Binance отправили 233,46 млн XRP на один адрес злоумышленника примерно за четыре минуты.

При курсе XRP около 1,26 доллара сумма похищенных средств сейчас составляет около 293 миллионов долларов.

Почему XRP так и не был заморожен

В отличие от стейблкоинов, у нативного XRP нет эмитента, который мог бы его заморозить. Компания Ripple заморозила украденные RLUSD, связанные с этой атакой, но такие меры по заморозке со стороны эмитента не распространяются на XRP, и возвращение XRP зависит от его отслеживания и от того, заблокируют ли биржи поступления средств.

Компания Elliptic, занимающаяся аналитикой блокчейна, установила, что XRP находился на месте по состоянию на 31 октября, поэтому это последнее распределение крупного остатка по нескольким новым кошелькам, скорее всего, является этапом отмывания средств. Это создает больше следов, по которым могут идти следователи, и позволяет перемещать средства меньшими суммами.

Через Tron уже переведено 242 млн долларов

Перемещение XRP происходит на фоне появления новых данных отслеживания из другой цепочки. Аналитики сообщили, что в течение двух дней после взлома злоумышленник переместил около 242 млн долларов через каналы, связанные с Tron. В результате атаки с Tron было похищено около 628 млн долларов в активах.

В отчете говорится, что после того, как Tether заморозил около 378,7 млн USDT, злоумышленник переместил средства через Relay, Thorchain, Chainflip, Symbiosis и другие каналы. Еще 41,7 млн долларов прошли через Bitget Wallet, и их конечный пункт назначения пока не подтвержден.

Thorchain, протокол межсетевого обмена, стал одним из основных маршрутов. Сбой в сети приостановил его работу, поскольку ФБР потребовало от операторов узлов заблокировать транзакции, связанные с взломом. Часть средств в биткойнах также не была перемещена.

Наконец, Bitcoin.com News недавно сообщил, что на момент написания статьи добыча Северной Кореи в размере 1,4 млрд долларов в биткойнах также остаётся на месте.

Небольшой приток средств на Gate

Злоумышленник также прощупывает централизованные биржи: по данным аналитического аккаунта Lookonchain, хакер в течение 12 часов внес 250 000 долларов на криптовалютную биржу Gate. И хотя это крошечная сумма по сравнению с общей добычей, она показывает, что хакер тестирует пути вывода средств через платформы с хранением активов.

Однако момент для Gate выбран неудачно, поскольку всего через несколько дней после взлома ее генеральный директор призвал к созданию отраслевого альянса по безопасности. На момент написания статьи Gate публично не прокомментировала эти поступления.

Власти США возложили ответственность за кражу на Северную Корею. Binance заявляет, что покрыла около 95 % похищенной суммы за счет средств компании. Впереди нас ждут интересные дни!