Кража с Binance 29 октября 2026 года затронула, по разным оценкам, криптоактивы на сумму от $6,3 млрд до $6,4 млрд. Средства перемещались по нескольким блокчейнам, причём основная часть переводов, по данным аналитиков, прошла примерно за 20 минут. ФБР возложило ответственность на северокорейскую группу TraderTraitor. Между тем аналитики отслеживали перемещение активов между сетями, а остановка THORChain ненадолго нарушила обмены.
1
12
58
Цифры получены в рамках разных расследований и не сведены в единый подтверждённый баланс. Кроме того, важно различать средства, которые уже переместили, активы, которые заморозили, и потери клиентов, которые Binance обещала покрыть.
Что произошло и кого обвинили?
TRM Labs оценила объём средств, выведенных из кошельков Binance, примерно в $6,36 млрд на десяти блокчейнах. Основная часть ушла примерно за 20 минут — начиная с 20:05 по всемирному координированному времени (UTC). Другие аналитики получили иные результаты: Elliptic оценила сумму в $6,43 млрд на 11 блокчейнах, а Bitquery отследила около $6,3 млрд на девяти. Это отдельные оценки, а не единая согласованная цифра.
12
58
19
ФБР заявило, что за кражей стоит Северная Корея, и назвало эту деятельность TraderTraitor. По данным бюро, злоумышленники конвертировали похищенные активы преимущественно в эфир (ETH).
1 Северная Корея отвергла обвинения. CoinDesk сообщил, что Ким Ё Чжон назвала их политической провокацией, а Reuters передал, что Пхеньян охарактеризовал обвинения как «абсурдную риторику».
56
48
В публикациях также говорится о возможной компрометации систем, связанных с подписанием транзакций для кошельков Binance. Однако доступные здесь материалы не дают полной криминалистической картины того, как именно злоумышленники получили доступ.
5
16
Что стало с украденными SOL?
К 4 ноября, по сообщениям со ссылкой на данные блокчейн-отслеживания, из кошельков, связанных со злоумышленниками, ушло около 81% из 970 522 SOL, приписываемых этой краже. В кошельках, отслеживаемых Arkham, якобы оставалось 182 443 SOL — на тот момент примерно на $16,9 млн.
22
29
Согласно публикациям, SOL распределяли по нескольким кошелькам, конвертировали и перемещали между сетями, в том числе через THORChain. Некоторые описания маршрута упоминают обмен на USDC, перевод в сеть Ethereum и последующее движение средств в сторону биткоина. Это сообщения об отслеживании транзакций, а не подтверждение того, что все активы прошли один и тот же путь или были проданы и выведены в наличные.
23
29
Это различие важно и при оценке влияния на рынок. В одном сообщении отмечалось краткосрочное снижение цены SOL в период кражи, но доступные источники не устанавливают, насколько инцидент повлиял на более широкую динамику цены. Они также не подтверждают более общие утверждения о результатах Solana за октябрь, коротких позициях, потоках средств в ETF или переводах на биржи. Сам по себе перевод на биржу не доказывает, что актив продали.
28
Почему THORChain остановила обмены — и что возобновилось
31 октября реорганизация блока в сети Ethereum затронула депозит в 10 ETH на THORChain. Согласно сообщениям, протокол ошибочно оформил повторный возврат средств, после чего в экстренном порядке приостановил обмены. Chainalysis заявила, что сбой непреднамеренно задержал отмывание средств, связанных с кражей с Binance: пока действовала пауза, пользователи, включая предполагаемых злоумышленников, не могли проводить обмены через многие мосты THORChain.
38
46
После обновления до версии v3.21.1 THORChain возобновила обмены с участием биткоина, Ethereum и ещё девяти перечисленных активов. Согласно сообщению о возобновлении работы, операции с Solana, BNB Smart Chain и Cosmos Hub оставались приостановлены.
41
В отдельном сообщении, приписываемом Grey Ledger, утверждалось, что после возобновления обменов за 25 минут завершилась 41 операция, связанная с отслеживаемыми аналитиками адресами, а выплата составила 368,12 ETH. Это результат конкретного отслеживания, а не полный учёт похищенных средств и не доказательство того, что всеми адресами-получателями управляли одни и те же люди.
42
ФБР попросило криптосервисы, включая операторов узлов THORChain, ограничить транзакции, связанные с кражей. В опубликованный бюро список вошли 608 адресов Ethereum, 19 адресов Bitcoin и один адрес Solana. Независимая структура узлов THORChain усложняет однозначный ответ на вопрос, как именно такой запрос может привести к действиям во всём протоколе.
34
40
60
Замороженные средства, остатки на адресах и компенсация клиентам
Elliptic сообщила, что эмитенты стейблкоинов Tether и Circle заморозили около $2,8 млрд, связанных с кражей. Другие оценки замороженных или перехваченных активов также исчисляются миллиардами долларов, но различаются в зависимости от источника и даты подсчёта.
52
60
По отдельным оценкам, на адресах, связанных с кражей, оставалось примерно $3,21–3,25 млрд — преимущественно в биткоине и эфире. Это оценки на конкретный момент времени. Средства на связанном кошельке не равнозначны возвращённым активам, а замороженный баланс — остатку, которым располагают злоумышленники.
53
60
Binance заявила, что покроет потери клиентов. В сообщении от 4 ноября говорилось, что биржа восполнила около 98% затронутой суммы. Но компенсация клиентам — не то же самое, что возвращение украденной криптовалюты от самих похитителей.
27
50
Что показывают данные — и чего они не доказывают
Наиболее надёжно подтверждается следующая картина: крупная и быстрая кража, атрибуция ФБР северокорейской группе TraderTraitor, которую Северная Корея отрицает, значительное перемещение украденных SOL и пауза в работе THORChain, временно прервавшая межсетевые обмены.
1
12
22
38
56
Доступные источники не дают оснований считать подтверждённым каждый опубликованный маршрут транзакций, приравнивать движение активов к успешному выводу денег или утверждать, что кража доказанно определила общую динамику цены Solana. Оценки замороженных средств, остатков на связанных со взломом адресах и объёма компенсации Binance описывают разные вещи — их стоит рассматривать отдельно.