Znacznej części pieniędzy zabranych z Binance nie udało się wyprowadzić. Decrypt poinformował, że z 6,43 mld USD skradzionych środków 2,85 mld USD zostało zamrożonych lub zajętych, w porównaniu z około 3% w przypadku włamania do Bybit.
To właśnie odróżnia tę sprawę od typowego schematu, w którym skradzione środki dawno znikają, zanim ktokolwiek wskaże podejrzanego. Drugą połową historii jest atrybucja: agencja rządu USA wskazała państwo stojące za jedną z największych odnotowanych kradzieży kryptowalut, a to państwo temu zaprzeczyło.
Kluczowe liczby
- 6,3 mld USD w aktywach cyfrowych zabranych z Binance w ataku z 29 października, według danych FBI
- 2,85 mld USD zamrożonych lub zajętych, wobec około 3% środków w przypadku włamania do Bybit, według Decrypt
- 12 000 portfeli użytych do prania pieniędzy, nowy mniej więcej co 25 sekund
- 3,64 mld USD odpływu netto z Binance w ciągu pierwszych dziewięciu i pół godziny po wznowieniu wypłat, czyli 2,1% jego aktywów
FBI nazwało operację i zaapelowało do innych o jej zablokowanie
W alercie bezpieczeństwa z 31 października FBI przypisało atak z 29 października północnokoreańskim cyberprzestępcom, poinformował CryptoSlate. Biuro określa tę działalność jako TraderTraitor.
Według Cointelegraph FBI podało, że skradzione aktywa zostały w większości zamienione na Ether i że spodziewa się ich dalszej konwersji za pośrednictwem usług DeFi i natychmiastowej wymiany, w miarę jak pranie pieniędzy przechodzi w bardziej zaawansowane etapy.
Agencja zwróciła się do prywatnych firm o odcięcie środków: operatorów THORNode, operatorów węzłów RPC, kantorów natychmiastowej wymiany, usług DeFi, firm zajmujących się analityką blockchain i innych dostawców usług w zakresie aktywów cyfrowych wezwano do blokowania transakcji z udziałem adresów wymienionych w komunikacie. CoinDesk poinformował, że prośba obejmowała adresy Bitcoin, Ether i Solana.
Mówiąc prościej: skradzione kryptowaluty są użyteczne dopiero wtedy, gdy można je wymienić, przenieść przez most lub spieniężyć, a te kroki przechodzą przez usługi prowadzone przez możliwe do zidentyfikowania firmy. Gdy ci operatorzy odrzucają oznaczone adresy, monety pozostają możliwe do wyśledzenia i trudne do wydania. Dlatego alert organów ścigania wygląda jak lista adresów portfeli, a nie nakaz aresztowania.
Pranie pieniędzy jest zautomatyzowane, a doniesienia nie nazywają tego AI
Decrypt opisał przepływ środków jako zautomatyzowany i obejmujący 12 000 portfeli, w tempie jednego nowego portfela mniej więcej co 25 sekund. Właśnie tę skalę firmy analityczne śledzą od czasu kradzieży.
Tu jednak doniesienia wyznaczają granicę. CoinDesk poinformował, że nie ma dowodu na użycie sztucznej inteligencji do przenoszenia skradzionych środków przez tysiące portfeli. Szybka automatyzacja to nie to samo co system AI, a żadne z przeczytanych przeze mnie doniesień nie przedstawia dowodów na to drugie.
Dla porównania Cointelegraph przytoczył raport CertiK, który przypisuje grupom powiązanym z Koreą Północną ponad 2 mld USD z szacowanych 3,4 mld USD strat w zakresie bezpieczeństwa kryptowalut w 2025 roku, w 79 z 656 udokumentowanych incydentów. To samo badanie oszacowało kradzieże tych podmiotów na 6,75 mld USD w 263 incydentach w latach 2016 – początek 2026.
Pjongjang odrzuca atrybucję
Korea Północna zaprzeczyła odpowiedzialności. The Defiant poinformował, że Kim Yo Jong nazwała amerykańskie oskarżenie „absurdalną retoryką”, natomiast Chainalysis stwierdził, że skradzione środki zostały wymieszane z wpływami z wcześniejszego exploita.
Same liczby nie są jednolite w poszczególnych doniesieniach. Według FBI chodzi o około 6,3 mld USD, CryptoSlate opisał alert jako obejmujący ponad 6 mld USD, a Decrypt podał 6,43 mld USD. Żadne z doniesień nie wyjaśnia tej różnicy.
Binance wznowiło wypłaty, a pierwszego dnia odpłynęło 3,64 mld USD
Binance utrzymało 1 listopada jako docelową datę wznowienia i rozpoczęło wypłaty etapami, poinformował Cointelegraph. W ciągu pierwszych dziewięciu i pół godziny po wznowieniu giełda odnotowała, jak podała, 3,64 mld USD odpływu netto, co odpowiada 2,1% jej aktywów, według Decrypt.
Giełda określiła to jako pierwszą fazę. Żadne z doniesień nie podaje terminu kolejnych faz.