Ошибка PeckShield: $3,89 млн «к Binance» оказались ложной меткой Arkham на кошелёк THORChain

ошибка PeckShield по следам краж у клиентов CryptoBilis вскрылась за один день: утром 11 октября фирма написала, что $3,89 млн ушли на депозиты Binance в сети TRON, а к вечеру независимый исследователь Specter показал — в «кластер атакующих» попал кошелёк THORChain с неверной меткой Arkham Intelligence. PeckShield пообещала поправить лейблы и пост.

Чему учит ошибка PeckShield

По хронологии Dave Finances, алерт PeckShield проиндексировали около 06:55 UTC 11 октября. Сюжет звучал перспективно для жертв: если украденное дошло до CEX, появляется шанс на KYC и заморозку. Днём позже, около 14:56 UTC, Specter опубликовал апдейт: Arkham неверно пометил адрес как attacker-controlled, хотя тот относится к инфраструктуре THORChain.

Ошибка PeckShield здесь вторична: она опиралась на чужой лейбл. THORChain гоняет свопы множества пользователей; активность такого адреса нельзя автоматически записывать в «кэшаут одной банды». PeckShield признала проблему и заявила о коррекции. Публичного разбора от Arkham на момент материала Dave Finances не было.

Первичную версию про Binance успели подхватить СМИ. The Defiant как раз фиксировал исходный тезис PeckShield о $3,89 млн на депозитах — с оговоркой, что посреднические кошельки усложняют атрибуцию. После правки Specter эта конкретная «бинансовская» нитка больше не выглядит подтверждённым выводом украденного.

Ошибка PeckShield напоминает простую вещь:txid публичен, а «кто контролирует адрес» — уже гипотеза.

Что это не отменяет

Коррекция бьёт по одному утверждению, а не по всей истории CryptoBilis. Ledger 10 октября подтвердила аппаратный имплант у клиента; независимые оценки потерь по-прежнему в диапазоне $86–93 млн. Фон расследования мы разбирали в тексте про реселлер Ledger и в свежем материале про implant. Ошибка PeckShield лишь убирает с доски конкретный «доказанный» транш $3,89 млн на Binance без новой независимой проверки.

Для жертв это неприятно: надежда на быстрый exchange-lead ослабла. Для рынка аналитики — урок, что два сервиса с одной меткой не равны двум независимым экспертизам.

Что это значит для тебя

1. Не делай выводов по одному скрину алерта в X: лейблы Arkham/Nansen/др. ошибаются.
2. Если читаешь «деньги уже на Binance» — ищи, кто подтвердил кластер адресов вторым методом (связь с жертвами, funding path, не только цветная метка).
3. Ошибка PeckShield не значит, что украденное никуда не выводили другим путём — значит, что этот путь не доказан.
4. Для своей безопасности важнее seed и канал покупки кошелька, чем чужие трейсы.

Сравни с ончейн-аккуратностью в нашем разборе баг XRP Ledger: там тоже сначала нужна воспроизводимость, потом заголовки.

Почему такие ошибки будут повторяться. Аналитические платформы красят кластеры по эвристикам: funding, peels, касания известных депозитов бирж, связи через миксеры. Когда в кластер попадает инфраструктурный адрес кросс-чейн протокола, любая его активность начинает выглядеть как «шаг атакующего». Заголовки размножают вывод быстрее, чем второй исследователь успевает проверить. В итоге жертвы и журналисты несколько часов живут с ложным exchange-lead.

Правильный стандарт чтения ончейн-алертов после этого кейса простой. Сначала: есть ли прямая связь адреса с подтверждёнными кошельками жертв. Затем: не является ли узел общим роутером (DEX, bridge, THORChain, aggregator). Потом: подтвердил ли второй независимый источник ту же атрибуцию другим методом. Если ответ «нет» хотя бы на одном шаге, формулировка обязана быть мягче, чем «украденное уже на Binance».

Для бирж и расследователей цена ошибки тоже высока: ложный сигнал отвлекает ресурс, а настоящие маршруты вывода могут уйти дальше, пока все смотрят на THORChain-лейбл. PeckShield хотя бы публично признала правку — это лучше, чем тихий ретракт. Но в кэше соцсетей первичный алерт часто живёт дольше исправления. Если шарил новость утром 11 октября, имеет смысл поправить репост.

Связка с основной историей CryptoBilis остаётся прежней: имплант подтверждён, оценки потерь большие, Tether частично заморозил USDT. Спорный кусок — только конкретные $3,89 млн как доказанный кэшаут на Binance. Не путай эти уровни уверенности в одном абзаце.

В конце коротко: сверяй цифры с первоисточниками выше, не переноси заголовок соцсети в решение по позиции и помни, что один новостной день редко меняет базовые правила безопасности и учёта рисков.

Отдельно стоит сохранить ссылки на первоисточники из блока выше и не полагаться на скрины из чатов: цифры потоков, даты апгрейдов и формулировки регуляторов лучше перечитывать в оригинале перед любым действием с кошельком или позицией.

FAQ

Что такое ошибка PeckShield в двух словах? Заявление о $3,89 млн украденных средств на Binance сняли с достоверных выводов после ложной метки Arkham на кошелёк THORChain.

Значит ли это, что PeckShield «врёт»? Фирма оперлась на неверный лейбл и пообещала правку. Ошибка атрибуции, не обязательно злой умысел.

Пропало ли расследование Ledger? Нет. Имплант и оценки потерь живут отдельно от этой транзакции.

Могли ли украденные всё же попасть на биржи? Да, другими маршрутами. Конкретно эти $3,89 млн как «attacker → Binance» больше не считаются подтверждёнными.

Материал не является инвестиционной рекомендацией. Крипта — высокий риск, решения принимаешь сам.