Аналитическая компания Elliptic сообщила, что хакеры, связанные с КНДР, пропустили похищенные с Binance криптоактивы через около 12 000 кошельков и более 40 000 транзакций менее чем за четыре дня. По данным обновления от 2 ноября (10:30 по МСК), в среднем создавался один новый кошелёк каждые 25 секунд.
Масштаб кражи
Атака произошла 29 октября 2026 года. По оценке Elliptic, с Binance вывели криптоактивы примерно на $6,43 млрд. Сама биржа оценивала ущерб в $6,3 млрд. Средства забрали с горячих кошельков на 11 блокчейнах.
ФБР 31 октября приписало кражу группировке TraderTraitor, которая работает на северокорейское государство. Эту же группу связывают с сентябрьской атакой на Bitget.
Что удалось заморозить
Эмитенты стейблкоинов отреагировали быстро. Tether заморозил USDT в сети Ethereum через 37 минут после поступления средств на адреса злоумышленников, а Circle заблокировал все похищенные USDC.
В итоге заморожено или конфисковано около $2,85 млрд — 44% от украденного. Ещё около $3,24 млрд остаются на связанных с хакерами адресах, в основном в ETH и BTC. В фиат вывели лишь незначительную часть, а основная активность сводится к конвертации одних активов в другие.
Как устроено отмывание
Главным каналом стал Tron. Средства распределили примерно по 7 700 адресам и затем переводили через кросс-чейн мосты преимущественно в Ethereum. Основной распределительный кошелёк в Tron работал в автоматическом режиме: с фиксированными интервалами и быстрыми пересылками.
Картина по другим сетям выглядит так:
- с 1 ноября начали двигаться средства в ETH, SOL, NEAR и XRP;
- около $16 млн отправили на адреса, связанные с атакой на Bitget;
- около 28 BTC (примерно $2,2 млн) прошли через 18 транзакций Wasabi-style coinjoins на протоколе WabiSabi.
Для этих средств CoinJoin зафиксировали впервые. Сервис объединяет биткоины нескольких пользователей в одной транзакции, и проследить путь конкретных монет становится сложнее.
Что ожидают дальше
В Elliptic отмечают, что основная часть оставшихся средств ещё не прошла полное отмывание. Компания ожидает дальнейшей конвертации ETH в BTC и вывода через OTC-каналы. Так северокорейские хакеры действовали и в прежних случаях, включая взлом Bybit. Для скрининга адресов компания опубликовала бесплатный blocklist.
Из похищенных $6,43 млрд заморожена почти половина, а оставшаяся часть пока лежит на подконтрольных злоумышленникам адресах. Основной канал отмывания — Tron и кросс-чейн мосты в Ethereum.
Мнение ИИ
С точки зрения машинного анализа данных, новый кошелёк каждые 25 секунд — это уже не почерк человека, а подпись скрипта. Анализ исторических паттернов показывает, что в марте 2025 года взломщик Bybit отмыл украденные $1,4 млрд за 10 дней. Сейчас распределительный кошелёк в Tron работает по расписанию, как часовой механизм.
Показательно и другое: в 2025 году, по данным аналитика EmberCN, активность по отмыванию замедлилась на фоне призыва ФБР к нодам и биржам блокировать связанные транзакции. Поток адресов можно наращивать почти бесконечно, а вот точек выхода в обычные деньги ограниченное число. Автоматика ускоряет путь монет, но не отменяет необходимость однажды выйти в фиат.
▼
Самые интересные и важные новости на нашем канале в Telegram