Після крадіжки $6,3 млрд у Binance хакери вивели 81% вкрадених SOL і переводять кошти в Bitcoin

Хакери, відповідальні за злам криптобіржі Binance на $6,3 млрд, перемістили понад 81% викрадених токенів Solana (SOL). За даними блокчейн-аналітиків, зловмисники продовжують переводити активи між різними мережами, використовуючи децентралізовані сервіси обміну для ускладнення відстеження коштів.

Згідно з інформацією Arkham, на адресах, пов'язаних зі зловмисниками, залишилося 182 443 SOL вартістю приблизно $16,9 млн. Це лише 18,8% від загального обсягу 970 522 SOL, викрадених під час атаки на Binance.

Аналітики Lookonchain встановили, що хакери розподіляють Solana між кількома гаманцями, після чого продають токени за USDC. Далі кошти переводять у мережу Ethereum, використовують для придбання ETH і зрештою обмінюють на Bitcoin через кросчейн-протокол THORChain.

Така послідовність операцій дозволяє переміщувати викрадені активи між різними блокчейнами без використання традиційних централізованих бірж. Водночас сам факт переказу або обміну не означає, що кошти остаточно приховані чи стали недоступними для відстеження.

Активність зловмисників відновилася після того, як 4 листопада THORChain знову запустив обміни Bitcoin, Ethereum та інших криптовалют. Роботу протоколу призупинили 31 жовтня через проблему з поверненням коштів, виявлену після реорганізації блоку в мережі Ethereum.

За оцінкою Chainalysis, тимчасова зупинка THORChain ненавмисно затримала відмивання викрадених активів. Відновлення обмінів знову відкрило хакерам можливість конвертувати криптовалюту між мережами через цей протокол.

Масштаб переміщення коштів значно ширший за операції із Solana. Блокчейн-дослідник SomaXBT оцінив, що приблизно 54% із понад 47 600 транзакцій зловмисників у мережах Tron і Solana були автоматизованими.

За інформацією Chainalysis, через мережу Tron пройшло близько $500 млн операцій, пов'язаних з атакою. Однак ця сума включає повторні перекази між гаманцями, тому її не можна вважати окремим обсягом викрадених коштів.

Після переміщення більшості активів із тимчасових гаманців у Tron зловмисники 1 листопада розширили операції на мережу Solana. Це дозволило їм продовжити обмін токенів через різні блокчейни та збільшити кількість транзакцій, які необхідно аналізувати для відстеження активів.

Федеральне бюро розслідувань США 31 жовтня пов'язало злам Binance із північнокорейським хакерським угрупованням TraderTraitor. Відомство закликало криптовалютні сервіси, зокрема операторів вузлів THORChain, блокувати транзакції, пов'язані з викраденими коштами.

Влада КНДР відкинула звинувачення. Кім Йо Чжон, сестра північнокорейського лідера Кім Чен Ина, назвала твердження про причетність країни до атаки безпідставними.

Раніше пов'язані з Північною Кореєю хакерські угруповання вже підозрювали у використанні THORChain для переміщення викраденої криптовалюти, зокрема після злому Bybit на $1,4 млрд.

Сам злам Binance стався 29 жовтня після багатомісячної атаки на внутрішні системи біржі через заражені комп'ютери співробітників і фальшиві співбесіди. Компанія заявила, що покриє збитки власним коштом, а станом на 31 жовтня вже відновила 98% постраждалих токенових активів.

Подальше переміщення викрадених SOL показує, що відновлення клієнтських балансів не означає завершення інциденту. Зловмисники продовжують контролювати частину активів і використовувати міжмережеві обміни, тоді як блокчейн-аналітики та правоохоронні органи намагаються відстежити й заблокувати їхній рух.