Значительная часть средств, похищенных у Binance, так и не ушла. Decrypt сообщил, что из $6,43 млрд украденного $2,85 млрд заморожены или изъяты, тогда как при взломе Bybit — около 3 %.
Именно этим данный случай отличается от обычной картины, когда к моменту, когда кто-то называет подозреваемого, украденные средства давно исчезли. Вторая половина истории — атрибуция: государственное ведомство США назвало государство, стоящее за одной из крупнейших зафиксированных криптокраж, а это государство свою причастность отрицает.
Ключевые цифры
- $6,3 млрд в цифровых активах похищено у Binance в ходе атаки 29 октября, по данным ФБР
- $2,85 млрд заморожено или изъято, против около 3 % средств при взломе Bybit, по данным Decrypt
- 12 000 кошельков использовано для отмывания, новый примерно каждые 25 секунд
- $3,64 млрд чистого оттока из Binance за первые девять с половиной часов после возобновления вывода, или 2,1 % её активов
ФБР назвало операцию и призвало других её заблокировать
В предупреждении о безопасности от 31 октября ФБР приписало атаку 29 октября северокорейским киберпреступникам, сообщил CryptoSlate. Бюро называет эту деятельность TraderTraitor.
По данным Cointelegraph, ФБР заявило, что похищенные активы в основном конвертированы в Ether, и ожидает их дальнейшей конвертации через DeFi и сервисы мгновенного обмена по мере перехода отмывания на более продвинутые стадии.
Ведомство попросило частные компании отрезать доступ к этим средствам: операторов THORNode, операторов RPC-узлов, мгновенные обменники, DeFi-сервисы, компании блокчейн-аналитики и других поставщиков услуг в сфере цифровых активов призвали блокировать транзакции с адресами, перечисленными в его сообщении. CoinDesk сообщил, что запрос касался адресов Bitcoin, Ether и Solana.
Простыми словами: украденная криптовалюта полезна только тогда, когда её можно обменять, перевести через мост или вывести в наличные, а эти шаги проходят через сервисы, которыми управляют идентифицируемые компании. Когда эти операторы отказываются работать с помеченными адресами, монеты остаются отслеживаемыми и их трудно потратить. Поэтому предупреждение правоохранительных органов выглядит как список адресов кошельков, а не как ордер на арест.
Отмывание автоматизировано, но отчёты не называют это ИИ
Decrypt описал движение средств как автоматизированное и охватывающее 12 000 кошельков, с темпом примерно один новый кошелёк каждые 25 секунд. Именно этот объём аналитические компании отслеживают с момента кражи.
Именно здесь отчёты и проводят черту. CoinDesk сообщил, что нет доказательств использования искусственного интеллекта для перемещения украденных средств через тысячи кошельков. Скоростная автоматизация — не то же самое, что система ИИ, и ни один из прочитанных мною отчётов не приводит доказательств последнего.
Для масштаба: Cointelegraph сослался на отчёт CertiK, который приписывает связанным с Северной Кореей группировкам более $2 млрд из примерно $3,4 млрд потерь в сфере криптобезопасности за 2025 год, в 79 из 656 задокументированных инцидентов. То же исследование оценило кражи этих групп примерно в $6,75 млрд в 263 инцидентах с 2016 года по начало 2026 года.
Пхеньян отвергает обвинения
Северная Корея отрицает ответственность. The Defiant сообщил, что Ким Е Чжон назвала обвинения США «абсурдной риторикой», а Chainalysis заявила, что украденные средства смешались с доходами от более раннего эксплойта.
Сами цифры в отчётах расходятся. По данным ФБР, сумма составляет около $6,3 млрд, CryptoSlate описал предупреждение как касающееся более $6 млрд, а Decrypt использовал цифру $6,43 млрд. Ни один из отчётов не объясняет расхождение.
Binance возобновила вывод, и в первый день ушло $3,64 млрд
Binance сохранила 1 ноября как целевую дату перезапуска и начала поэтапный вывод средств, сообщил Cointelegraph. За первые девять с половиной часов после возобновления биржа, по её словам, зафиксировала чистый отток в $3,64 млрд, что равно 2,1 % её активов, по данным Decrypt.
Биржа назвала это первым этапом. Ни один из отчётов не указывает даты последующих этапов.