Хакеры Binance начали переводить XRP, но 3,11 млрд долларов пока не тронуты

Аналитическая компания Elliptic, которая отслеживает движение средств в блокчейнах, сообщила о начале крупных переводов из похищенного у Binance. С четверга хакеры начали распродавать украденный XRP и обменивать его на биткоин. При этом спустя больше недели после атаки основная часть добычи, по оценке Elliptic, всё ещё лежит на адресах, связанных с кражей, и почти не задействована.

Что уже переведено в биткоин

По данным Elliptic, с четверга из кошельков, связанных с атакой 29 октября, ушло около 42 млн XRP на 50 млн долларов. Значительную часть этих монет обменяли на биткоин через протокол межсетевого обмена THORChain. У злоумышленников осталось примерно 192 млн XRP, что по текущему курсу составляет 226 млн долларов.

Общий объём украденных активов, переведённых в биткоин, вырос примерно до 1 650 BTC, или 124 млн долларов на утро пятницы. За сутки эта сумма почти удвоилась, и большую часть прироста дал XRP. Ранее, 2 ноября, злоумышленники перевели все 233,46 млн похищенных XRP на шесть новых кошельков после примерно 80 часов простоя.

Где остаётся основная часть

На адресах, связанных с кражей, по оценке Elliptic, находится 3,11 млрд долларов, преимущественно в биткоине и эфире. Первоначальные 18 270 BTC, которые оценивались примерно в 1,4 млрд долларов, не двигались с момента распределения по 19 кошелькам сразу после атаки.

Крупнейшие запасы эфира тоже не тронуты. Из примерно 1,33 млрд долларов украденного ETH через каналы отмывания прошло около 3 млн долларов, а девять крупнейших ETH-кошельков неактивны с 30 октября. Общая сумма, по данным Elliptic, на 6 ноября составляла 6,43 млрд долларов похищенного, из которых около 2,85 млрд были заморожены или конфискованы, в основном благодаря эмитентам стейблкоинов.

Solana и приватные протоколы

Elliptic установила, что практически весь украденный SOL, оценённый сейчас примерно в 87 млн долларов, уже обменян, переведён между сетями или смешан через сервисы конфиденциальности. Большая часть конвертированных средств в итоге попала на биткоин-кошельки.

Кроме того, около 2,5 млн долларов в биткоине прошли через coinjoin-транзакции в стиле Wasabi, которые объединяют монеты нескольких пользователей и затрудняют отслеживание. Ещё 1,1 млн долларов в ETH и SOL поступили в протокол Privacy Cash начиная с 3 ноября. После этого сервис временно приостановил приём депозитов и ужесточил проверки.

Масштаб сети и сравнение с Bybit

Сеть отмывания, по подсчётам Elliptic, выросла до более чем 20 000 кошельков в 16 блокчейнах, с участием как минимум 36 сервисов и 65 000 транзакций. В более раннем подсчёте Bitcoin.com News фигурировали около 12 000 кошельков и 40 000 транзакций.

Elliptic сравнила ситуацию с взломом Bybit в феврале 2025 года, при котором было похищено около 1,5 млрд долларов. Тогда северокорейские злоумышленники конвертировали примерно 499 000 ETH за 10 дней, а вывод средств растянулся на несколько месяцев. По мнению Elliptic, оставшийся эфир в случае Binance тоже будет постепенно переведён в биткоин, после чего последуют попытки обменять его на традиционные деньги через внебиржевых брокеров и торговые площадки.

Официальная позиция и атрибуция

ФБР связало атаку с северокорейской хакерской группой TraderTraitor. Пхеньян отрицает причастность. Binance, в свою очередь, сообщила во вторник, что взлом стал результатом многомесячной кампании. Злоумышленники использовали вредоносное ПО для разработчиков, поддельные собеседования при найме и взлом внутренних инструментов на базе искусственного интеллекта, в итоге получив доступ к инфраструктуре подписи кошельков.

Elliptic отмечает, что перемещение между кошельками или обмен одной монеты на другую не обязательно означает реальное обналичивание. Пока большая часть поступлений с Binance остаётся под наблюдением, и это даёт бирже и следователям шанс выявить и заблокировать средства до их перевода в деньги.