После кражи $6,3 млрд у Binance хакеры вывели 81% украденных SOL и переводят средства в Bitcoin

Хакеры, ответственные за взлом криптобиржи Binance на $6,3 млрд, переместили более 81% украденных токенов Solana (SOL). По данным блокчейн-аналитиков, злоумышленники продолжают переводить активы между различными сетями, используя децентрализованные обменные сервисы, чтобы усложнить отслеживание средств.

Согласно данным Arkham, на адресах, связанных со злоумышленниками, осталось 182 443 SOL стоимостью около $16,9 млн. Это лишь 18,8% от общего объема 970 522 SOL, украденных во время атаки на Binance.

Аналитики Lookonchain установили, что хакеры распределяют Solana между несколькими кошельками, после чего продают токены за USDC. Затем средства переводят в сеть Ethereum, используют для покупки ETH и в конечном итоге обменивают на Bitcoin через кроссчейн-протокол THORChain.

Такая последовательность операций позволяет перемещать украденные активы между различными блокчейнами без использования традиционных централизованных бирж. При этом сам факт перевода или обмена не означает, что средства окончательно скрыты или стали недоступными для отслеживания.

Активность злоумышленников возобновилась после того, как 4 ноября THORChain вновь запустил обмены Bitcoin, Ethereum и других криптовалют. Работу протокола приостановили 31 октября из-за проблемы с возвратом средств, обнаруженной после реорганизации блока в сети Ethereum.

По оценке Chainalysis, временная остановка THORChain непреднамеренно задержала отмывание украденных активов. Возобновление обменов вновь позволило хакерам конвертировать криптовалюту между сетями через этот протокол.

Масштаб перемещения средств значительно шире операций с Solana. Блокчейн-исследователь SomaXBT оценил, что около 54% из более чем 47 600 транзакций злоумышленников в сетях Tron и Solana были автоматизированными.

По информации Chainalysis, через сеть Tron прошло около $500 млн в рамках операций, связанных с атакой. Однако эта сумма включает повторные переводы между кошельками, поэтому ее нельзя считать отдельным объемом украденных средств.

После перемещения большей части активов с временных кошельков в Tron злоумышленники 1 ноября расширили операции на сеть Solana. Это позволило им продолжить обмен токенов через различные блокчейны и увеличить количество транзакций, которые необходимо анализировать для отслеживания активов.

Федеральное бюро расследований США 31 октября связало взлом Binance с северокорейской хакерской группировкой TraderTraitor. Ведомство призвало криптовалютные сервисы, в частности операторов узлов THORChain, блокировать транзакции, связанные с украденными средствами.

Власти КНДР отвергли обвинения. Ким Е Чжон, сестра северокорейского лидера Ким Чен Ына, назвала утверждения о причастности страны к атаке необоснованными.

Ранее связанные с Северной Кореей хакерские группировки уже подозревали в использовании THORChain для перемещения украденной криптовалюты, в частности после взлома Bybit на $1,4 млрд.

Сам взлом Binance произошел 29 октября после многомесячной атаки на внутренние системы биржи через зараженные компьютеры сотрудников и фальшивые собеседования. Компания заявила, что покроет убытки за собственный счет, а по состоянию на 31 октября уже восстановила 98% затронутых токеновых активов.

Дальнейшее перемещение украденных SOL показывает, что восстановление клиентских балансов не означает завершения инцидента. Злоумышленники продолжают контролировать часть активов и использовать межсетевые обмены, в то время как блокчейн-аналитики и правоохранительные органы пытаются отследить и заблокировать их перемещение.