Kradzież z 29 października 2026 r. przyniosła straty szacowane na około 6,3 mld dol. i była największą odnotowaną kradzieżą kryptowalut. FBI przypisało ją powiązanej z Koreą Północną grupie TraderTraitor. W kolejnych dniach analitycy śledzili szybki przepływ aktywów między blockchainami, a giełdy i emitenci tokenów informowali o zamrożonych środkach. Pojawiły się też sygnały, że część funduszy może przechodzić przez chińskie sieci prania pieniędzy. Te liczby opisują jednak różne rzeczy: śledzenie aktywów, ich zamrożenie i pokrycie strat klientów nie są równoznaczne z odzyskaniem skradzionych kryptowalut.
1
18
22
25
Co się stało i kogo wskazało FBI
Według TRM Labs z portfeli Binance wypłynęły aktywa warte około 6,36 mld dol. na dziesięciu blockchainach, a większość transferów nastąpiła w ciągu mniej więcej 20 minut. Elliptic oszacowała wartość kradzieży na około 6,43 mld dol. i śledziła środki na 11 blockchainach. To szacunki różnych firm, a nie jedna uzgodniona suma.
18
24
25
FBI przypisało kradzież grupie TraderTraitor, powiązanej z Koreą Północną. Pjongjang odrzucił oskarżenia; Kim Yo Jong nazwała zarzuty USA prowokacją polityczną.
1
2
50
Z relacji o ustaleniach Binance wynika, że atak mógł zacząć się od socjotechniki: napastnicy mieli wykorzystać pozorną rozmowę kwalifikacyjną, by skłonić inżyniera do pobrania złośliwego oprogramowania. Jeśli ten opis jest trafny, istotnym elementem ataku był dostęp pracownika, a nie tylko luka w samym portfelu.
48
52
Środki rozproszono w tysiącach portfeli
Elliptic podała, że w niespełna cztery dni skradzione aktywa rozdzielono między około 12 tys. portfeli i ponad 40 tys. transakcji. Firma określiła tę aktywność jako działanie konwencjonalnych narzędzi automatyzujących. Jej analiza nie jest dowodem, że praniem pieniędzy kierowała sztuczna inteligencja.
23
32
TRM Labs opisała też operacje z użyciem USDT i ETH: napastnicy sprzedawali stablecoiny animatorom rynku, a następnie pożyczali ETH pod zastaw USDT w Aave, platformie zdecentralizowanych finansów. Według analizy sprawcy dysponowali ponad 420 tys. ETH i 18 270 BTC; aktywa warte około 2,4 mld dol. miały być poza zasięgiem zamrożenia przez emitentów. To określa ograniczenia jednego rodzaju interwencji — nie przesądza, że środki są nie do odzyskania.
24
Chińskie sieci prania pieniędzy: możliwy trop, nie potwierdzona trasa wypłaty
Elliptic ostrzegła, że część środków, które już były prane, mogła trafić do chińskich sieci prania pieniędzy wykorzystywanych wcześniej przez Koreę Północną. Osobno południowokoreańska relacja przytoczyła wypowiedź śledczego z TRM Labs, według którego chińskie sieci prowadziły złożone operacje handlowe związane z przepływami.
25
42
Doniesienia te wskazują na możliwą rolę pośredników w obsłudze części środków. Same w sobie nie dowodzą jednak, że skradzione kryptowaluty wymieniono na juany i wpłacono na chińskie rachunki bankowe ani że przy tej kradzieży obowiązywał konkretny system prowizji. W tej samej południowokoreańskiej relacji wspomniano wcześniejszą sprawę w USA: dwóch obywateli Chin oskarżono o zamianę kryptowalut skradzionych przez Koreę Północną na gotówkę i przesłanie jej na chińskie konta. Tamta sprawa nie potwierdza, że identyczną trasę wykorzystano tym razem.
42
Zamrożenie, zwrot klientom i odzyskanie kryptowalut to różne rzeczy
Binance poinformowało, że zamrożono lub przechwycono aktywa warte około 2,85 mld dol. Firma zastrzegła, że suma może się zmienić po uzgodnieniu danych i wraz z wahaniami cen. Elliptic również podała kwotę 2,85 mld dol. zamrożonych środków i oszacowała, że około 3,24 mld dol. nadal znajdowało się w adresach powiązanych z kradzieżą, głównie w ETH i BTC. Są to szacunki z konkretnego momentu, a nie końcowe rozliczenie tego, co uda się odzyskać.
22
32
Binance wznowiło wypłaty 1 listopada. Reuters podał, że giełda twierdziła, iż pokryła około 6 mld dol. strat w skradzionych kryptowalutach; w miarę przywracania usług klienci wypłacili 3,64 mld dol. NPR informowało również, że Binance uzupełniło większość aktywów klientów z własnych środków. Zabezpieczenie sald użytkowników nie oznacza, że kryptowaluty napastników zostały zajęte lub zwrócone.
33
48
Czy sprzedaż ETH może poruszyć rynek?
Według TRM Labs sprawcy posiadali duże zasoby ETH, a opisane wymiany sprawiają, że ewentualna sprzedaż na dużą skalę mogłaby wywołać presję rynkową. Dostępne doniesienia nie potwierdzają jednak, że sprzedaż spowodowała konkretny ruch cen ani nie pozwalają wiarygodnie przewidzieć przyszłej zmienności.
20
24
Najprostszy obraz sytuacji to równoległy wyścig na dwóch frontach: śledczy i firmy z branży próbują namierzać oraz zamrażać aktywa, a Binance pokrywa straty klientów. Chińskie sieci pojawiają się w doniesieniach jako możliwi pośrednicy, ale dotychczasowe ustalenia nie potwierdzają każdej opisywanej trasy wypłaty ani tego, jaka część skradzionych kryptowalut zostanie ostatecznie odzyskana.
22
25
33