Хакеры из КНДР отмывают $6,4 млрд после взлома Binance через 12 000 кошельков

Аналитическая компания Elliptic сообщила, что хакеры, связанные с КНДР, пропустили похищенные с Binance криптоактивы через около 12 000 кошельков и более 40 000 транзакций менее чем за четыре дня. По данным обновления от 2 ноября (10:30 по МСК), в среднем создавался один новый кошелёк каждые 25 секунд.

Масштаб кражи

Атака произошла 29 октября 2026 года. По оценке Elliptic, с Binance вывели криптоактивы примерно на $6,43 млрд. Сама биржа оценивала ущерб в $6,3 млрд. Средства забрали с горячих кошельков на 11 блокчейнах.

ФБР 31 октября приписало кражу группировке TraderTraitor, которая работает на северокорейское государство. Эту же группу связывают с сентябрьской атакой на Bitget.

Что удалось заморозить

Эмитенты стейблкоинов отреагировали быстро. Tether заморозил USDT в сети Ethereum через 37 минут после поступления средств на адреса злоумышленников, а Circle заблокировал все похищенные USDC.

В итоге заморожено или конфисковано около $2,85 млрд — 44% от украденного. Ещё около $3,24 млрд остаются на связанных с хакерами адресах, в основном в $ETH и $BTC. В фиат вывели лишь незначительную часть, а основная активность сводится к конвертации одних активов в другие.

Как устроено отмывание

Главным каналом стал Tron. Средства распределили примерно по 7 700 адресам и затем переводили через кросс-чейн мосты преимущественно в Ethereum. Основной распределительный кошелёк в Tron работал в автоматическом режиме: с фиксированными интервалами и быстрыми пересылками.

Картина по другим сетям выглядит так:

• с 1 ноября начали двигаться средства в $ETH, SOL, NEAR и XRP;
• около $16 млн отправили на адреса, связанные с атакой на Bitget;
• около 28 $BTC (примерно $2,2 млн) прошли через 18 транзакций Wasabi-style coinjoins на протоколе WabiSabi.

Для этих средств CoinJoin зафиксировали впервые. Сервис объединяет биткоины нескольких пользователей в одной транзакции, и проследить путь конкретных монет становится сложнее.

Что ожидают дальше

В Elliptic отмечают, что основная часть оставшихся средств ещё не прошла полное отмывание. Компания ожидает дальнейшей конвертации $ETH в $BTC и вывода через OTC-каналы. Так северокорейские хакеры действовали и в прежних случаях, включая взлом Bybit. Для скрининга адресов компания опубликовала бесплатный blocklist.

Из похищенных $6,43 млрд заморожена почти половина, а оставшаяся часть пока лежит на подконтрольных злоумышленникам адресах. Основной канал отмывания — Tron и кросс-чейн мосты в Ethereum.

Мнение ИИ

С точки зрения машинного анализа данных, новый кошелёк каждые 25 секунд — это уже не почерк человека, а подпись скрипта. Анализ исторических паттернов показывает, что в марте 2025 года взломщик Bybit отмыл украденные $1,4 млрд за 10 дней. Сейчас распределительный кошелёк в Tron работает по расписанию, как часовой механизм.

Показательно и другое: в 2025 году, по данным аналитика EmberCN, активность по отмыванию замедлилась на фоне призыва ФБР к нодам и биржам блокировать связанные транзакции. Поток адресов можно наращивать почти бесконечно, а вот точек выхода в обычные деньги ограниченное число. Автоматика ускоряет путь монет, но не отменяет необходимость однажды выйти в фиат.