Две кражи криптоактивов, произошедшие с разницей менее чем в неделю, демонстрируют схожую схему: быстро вывести средства из стейблкоинов, которые эмитенты могут заморозить, разделить их на части, перевести в другие блокчейны и использовать приватные монеты или внебиржевые каналы, чтобы затруднить отслеживание. Объём замороженных стейблкоинов и оставшиеся под контролем злоумышленников ETH и BTC важны как для оценки перспектив возврата средств, так и для понимания возможного давления на рынок со стороны их продажи.
После взлома горячих кошельков Binance заморозили стейблкоины
29 октября злоумышленники вывели из горячих кошельков Binance активы примерно на $6,36 млрд, переместив их по нескольким блокчейнам. Горячие кошельки подключены к интернету и используются биржами, в частности, для обработки выводов клиентов. По данным аналитической компании TRM Labs, основная часть средств была перемещена примерно за 20 минут. ФБР связало атаку с северокорейской хакерской группировкой TraderTraitor. Это крупнейшая известная кража криптоактивов на сегодняшний день.
Эмитенты стейблкоинов могут блокировать токены на отдельных адресах, поэтому USDT и USDC уязвимы для заморозки. TRM сообщила, что Tether заморозила около 971 млн USDT на кошельках, принимавших похищенные средства, примерно через 37 минут после поступления основной суммы. Позднее Circle заблокировала около 823 млн USDC. С учётом действий Tether, Circle, Ripple, World Liberty Financial и Совета безопасности Arbitrum TRM оценила общий объём замороженных средств примерно в $2,7 млрд. Binance назвала сумму около $3 млрд.
Чтобы снизить риск дальнейшей блокировки, злоумышленники продали маркетмейкерам около 325 млн USDT, получив взамен примерно 122 300 ETH. Сделка прошла с дисконтом более 10% к рыночной цене на тот момент. Кроме того, они внесли около 60 млн USDT в качестве залога на платформе кредитования Aave и заняли примерно 19 760 ETH. Переход в активы, которые эмитенты не могут заморозить напрямую, сопровождался существенным дисконтом — это указывает на стремление злоумышленников быстро уйти от риска блокировки стейблкоинов.
BTC дробили на переводы при перемещении средств
После конвертации в ETH и BTC, которые эмитенты не могут заморозить напрямую, отслеживать средства стало сложнее. По данным TRM, 18 270 BTC, выведенных с Binance, разделили на несколько переводов по 1 000 и 100 BTC в рамках одного блока, создав множество отдельных цепочек транзакций. Следователи также обнаружили автоматические перемещения средств между разными кошельками, в том числе адресами, использовавшимися ранее. Это может усложнить анализ движения активов.
Мосты между блокчейнами позволяют переводить активы из одной сети в другую, после чего следователям приходится отслеживать их уже в новой сети. Компания Onchain Lens, занимающаяся мониторингом блокчейнов, сообщила о другом предполагаемом инциденте, сведения о котором появились в понедельник: средства из кошелька, связанного с арбитражным ботом King в сети Solana, прошли через несколько адресов Solana, а затем были переведены в Ethereum с помощью кроссчейн-сервиса Mayan. Оператор King не подтвердил взлом, поэтому сам маршрут средств не доказывает, что бот или связанная с ним сторона были скомпрометированы.
TRM отмечает, что на раннем этапе дела Binance злоумышленники чаще использовали маркетмейкеров и кредитные протоколы, а не кроссчейн-мосты. Мосты играли более заметную роль после кражи на $1,5 млрд у Bybit в 2025 году. По мере дальнейшего перемещения средств Binance могут использоваться также мосты, биржевые сервисы и внебиржевые брокеры.
Предполагаемый ущерб структуре в ЕС превышает $106 млн
В понедельник блокчейн-расследователь ZachXBT сообщил, что в воскресенье неизвестная структура из ЕС могла потерять более $106 млн в результате кражи с нескольких биржевых счетов. Предполагаемый пострадавший и задействованные биржи не названы, а сам инцидент пока не подтверждён. По словам ZachXBT, средства переводили в USDC и USDT, после чего USDC конвертировали в ETH. Эта последовательность напоминает первые этапы перемещения средств в деле Binance.
ZachXBT также сообщил, что средства прошли через сервисы мгновенного обмена, включая WellWallet и Kyrrex, а затем были конвертированы в Monero с помощью сервиса Wagyu. Такие обменники позволяют быстро менять один токен на другой. Monero по умолчанию скрывает отправителя, получателя и сумму транзакции. После перевода в Monero отслеживать движение средств по общедоступным данным блокчейна становится значительно труднее.
Остатки на кошельках важны для оценки возможного предложения
По данным TRM, под контролем злоумышленников, атаковавших Binance, оставалось более 420 000 ETH и 18 270 BTC общей стоимостью около $2,4 млрд. Эти активы не подпадают напрямую под механизмы заморозки, доступные эмитентам стейблкоинов. Если значительные объёмы ETH или BTC в итоге поступят на рынок, они могут увеличить доступное предложение. Однако сроки и способы возможных продаж неизвестны: переводы могут растянуться на недели или месяцы. Поэтому имеющиеся остатки сами по себе не свидетельствуют о скорой масштабной распродаже.
Соисполнительный директор Binance Хэ И заявила, что биржа выделила более $6,34 млрд собственных средств для покрытия похищенных активов. По имеющимся сведениям, механизм компенсации включает покупки через внебиржевые сделки и операции на бирже, что может создать встречный спрос. Масштаб, сроки и способы проведения этих покупок остаются важными для оценки потоков средств.
Binance заявила, что возьмёт убыток на себя; клиентам не сообщали, что им придётся его покрывать. Взлом затронул собственные горячие кошельки биржи, но вновь поставил вопрос о том, насколько надёжно торговые платформы защищают хранящиеся у них активы. Заморозка стейблкоинов помогла ограничить перемещение похищенных средств, одновременно показав, что эмитенты могут контролировать токены на отдельных адресах.
Переводы с кошельков и объём блокировок остаются ключевыми сигналами
Следователи будут отслеживать крупные переводы с кошельков злоумышленников, на которых находятся ETH и BTC, особенно если средства направятся на биржи или к внебиржевым посредникам. TRM отслеживает дробление переводов и адреса, на которых средства собираются вновь. Крупный перевод может указывать на приближение продажи, но сам по себе перевод не означает, что активы уже обналичили.
Binance пока не раскрыла полную причину компрометации системы подписания транзакций. Подробное объяснение сбоя поможет оценить, могут ли аналогичные риски затронуть другие платформы. Предполагаемый инцидент в ЕС также ожидает подтверждения от пострадавшей стороны или бирж и проверки суммы ущерба. До этого оценка более чем в $106 млн остаётся неподтверждённой. Изменение данных о замороженных или возвращённых средствах повлияет и на оценку активов, которые всё ещё контролируют злоумышленники.