Binance начала поэтапное восстановление вывода средств в воскресенье, через несколько дней после того, как хакеры украли у биржи $6,3 млрд за считанные минуты. Первая партия основных выводов криптоактивов была возобновлена к утру, включая биткоин, эфир, USDT, USDC, BNB, SOL, XRP и ряд других. Компания заявила, что покрывает убытки за счет собственных средств и Фонда безопасных активов для пользователей (SAFU).
Согласно данным CoinDesk, после возобновления вывода средств из кошельков, связанных с Binance, было выведено токенов на сумму более $6 млрд, согласно данным DefiLlama о движении средств по кошелькам. Эта сумма составляет примерно 3,6% от $171 млрд активов, которые Binance заявляла до атаки. Даже после всех этих отходов средств, трекер DefiLlama по-прежнему показывал около $129 млрд, оставшихся на кошельках, связанных с Binance.
По собственным данным Binance, за первые девять с половиной часов после возобновления вывода средств биржа обработала $4,649 млрд в виде выводов против $1,01 млрд в виде депозитов, что составило чистый отток около $3,64 млрд, или 2,1% от активов под управлением. Соучредитель и бывший генеральный директор Binance Чанпэн «CZ» Чжао написал в X, что большая часть чистого оттока произошла в первые пару часов, и «98% решили остаться».
Binance также сообщила, что к воскресенью покрыла примерно 95% из $6,3 млрд украденных активов, по сравнению с примерно 90% днем ранее, при этом основные активы, включая биткоин, эфир, USDT, BNB, SOL, USDC и XRP, были полностью обеспечены на 100%. Оставшийся непокрытый баланс состоит из менее ликвидных токенов, которые компания продолжает покупать на открытом рынке и внебиржевых каналах. Компания также обязалась пополнить SAFU примерно до $1 млрд.
Отслеживая деньги
Фирмы, занимающиеся анализом блокчейна, отследили значительную часть украденных средств, связанных с взломом Binance, который ФБР и многие другие приписали северокорейской группе TraderTraitor. Elliptic описала эту деятельность как отмывание денег на автопилоте, поскольку один кошелек для распределения Tron в течение 31 часа подряд ежедневно выдавал средства по строгому почасовому графику без ночных пауз. Внутри каждой из этих ежечасных партий отдельные переводы редко превышали 30 секунд, а принимающие кошельки обычно переводили деньги дальше примерно в течение двух минут.
Elliptic также отметила повторяющиеся суммы обмена в THORChain (одна сумма появилась 19 раз) и автоматические повторные отправки при отклонении депозитов мостом. Фирма написала, что «средства Binance перемещаются чем-то, что не спит».
Chainalysis также отметила автоматизированное перемещение средств, связанных со взломом Binance. В заявлении, которым поделился с Gizmodo, генеральный директор Chainalysis Джонатан Левин сказал об усилиях хакера по отмыванию денег:
«У них слишком много денег для их доверенных площадок для отмывания денег. Поэтому деньги будут поступать в более широкую сеть услуг, таких как мосты, мгновенные обменники и свопперы, из-за более широкого круга отмывателей денег. Наши следователи отслеживают новые автоматизированные механизмы отмывания денег, используя наши новые возможности ИИ, которые соответствуют предполагаемой скорости и сложности отмывателей».
Только в сети Tron наблюдатель блокчейна SomaXBT отследил примерно $242 млн средств, связанных с кражей, перемещавшихся по сети в течение первых двух дней. Из этой суммы примерно $194 млн покинули Tron через мосты и сервисы обмена, включая Relay, THORChain, Chainflip и Symbiosis. Еще $41,7 млн прошли через Bitget Wallet, хотя их окончательное назначение осталось невыясненным.
Интересно, что Monero и Zcash, которые часто называют криптоактивами с повышенной конфиденциальностью, что затруднило бы отслеживание, не использовались в значительных масштабах для этих доходов, вероятно, из-за ограниченной ликвидности. Кросс-чейн криптобиржи, такие как THORChain, часто используются преступниками для обмена стейблкоинов и других криптоактивов на биткоин, поскольку это самый надежный и стабильный из всех крипто-нативных активов, которые не могут быть заморожены третьими сторонами. «Основываясь на деле Bybit, мы ожидаем, что злоумышленник обменяет ETH на биткоин, а затем попытается вывести его через OTC-брокеров и биржи», — написала Elliptic в обновлении от понедельника об усилиях хакера Binance по отмыванию денег.
Усиленное внимание к THORChain
THORChain привлек особое внимание, поскольку он неоднократно использовался группами, связанными с Северной Кореей, после крупных взломов. После кражи около $1,4 млрд криптоактивов с Bybit в феврале 2025 года исследователи отследили примерно 85%, или около $1,2 млрд, доходов через протокол в биткоин. CoinDesk ранее называл его «Любимым инструментом отмывания денег Северной Кореи» в этом контексте. Аналогичная картина наблюдалась при взломе Bitget на $388 млн в сентябре, а теперь и с средствами от взлома Binance на прошлой неделе.
Критики обвиняют протокол в использовании «театра децентрализации» для снятия с себя какой-либо ответственности за средства, связанные с северокорейскими субъектами, которые проходят через биржу, несмотря на то, что ранее протокол «неостановимый» был остановлен в случае, когда THORChain сам столкнулся с инцидентом безопасности. В X Chainalysis отметил, что THORChain «непреднамеренно задержал отмывание значительной суммы средств, украденных у Binance» после того, как протокол приостановил свопы в ответ на реорганизацию блока Ethereum, которая привела к техническим проблемам.
В ответ на аргумент соучредителя THORChain Джона-Пола Торбьорнсена о том, что от THORNodes не следует ожидать приостановки или цензуры транзакций, как от узлов Bitcoin или Ethereum, псевдонимный исследователь безопасности блокчейна Tanuki42 ответил:
«Это ложное сравнение, и вы это знаете. Это та самая битва, на которой вы действительно хотите умереть? Если все ваши «принципы» принесли миру только то, что позволили диктаторским режимам красть деньги и строить ядерное оружие, при этом зарабатывая экстраординарное личное богатство: вы не мученик, вы чертов дурак».
Tanuki42 также указал на документальный фильм 7 News Spotlight о взломе Bybit, в котором Торбьорнсен сказал: «[Северной Корее] может действительно понадобиться эти $1,5 млрд, чтобы прокормить свое население».
Соучредитель THORChain Чад Баррафорд заявил, что протокол по своей сути не имеет избирательного черного списка, и что существующие остановки являются автоматическими выключателями, которые останавливают всех одновременно. Однако в предыдущей дискуссии с исследователем безопасности блокчейна Тейлор Монахан он признал, что если две трети операторов узлов согласятся, то отмывание денег может быть заблокировано.
Примечательно, что криптоиндустрия в целом отреагировала на взлом Binance, заморозив большие объемы стейблкоинов и в целом действуя как банки, которым изначально предназначалась эта технология для устранения посредников.
ФБР вместе со Секретной службой США и отделом уголовных расследований Налоговой службы призвали операторов THORNode, операторов RPC-узлов, мгновенные обменники, DeFi-сервисы и других поставщиков услуг виртуальных активов блокировать транзакции, связанные с адресами, используемыми TraderTraitor. Агентство также перечислило сотни адресов блокчейна, предположительно связанных со взломом.
В X L0la L33tz из The Rage утверждала, что запрос направлен операторам некастодиальных сервисов, и что заявление о технической невозможности может не оградить операторов от юридического риска, как это было ранее в случае с Tornado Cash.
They’re not asking for information you fucking moron.
They’re telling you explicitly to block the DPRK transactions.
It’s a warning shot bro. TAKE THE FUCKING WARNING AND STOP FUCKING AROUND.
Please. For fucks sake. 😭😭😭😭😭😭
— Tay 💖 (@tayvano_) November 1, 2026
Монахан ответила на сообщение Баррафорда относительно отсутствия у операторов узлов THORChain информации о взломе Binance, заявив: «Они не просят информацию, чертов идиот. Они прямо говорят вам блокировать транзакции КНДР. Это предупредительный выстрел, брат. ПРИМИТЕ ПРЕДУПРЕЖДЕНИЕ И ПЕРЕСТАНЬТЕ ЕБАТЬ МОЗГ. Пожалуйста. Ради всего святого».
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Kyle Torpey
