Отмывание через Tron: хакеры Binance прогнали больше $500 млн через тысячу адресов и перешли в Solana

Отмывание через Tron стало главным маршрутом для денег, украденных у Binance: по оценке Chainalysis, хакеры прогнали через эту сеть больше $500 млн, раздробив их на тысячу с лишним адресов, а теперь начали переводить средства в Solana. Параллельно ФБР давит на THORChain, требуя блокировать подозрительные адреса.

Что произошло

Северокорейская группа TraderTraitor, которой ФБР официально приписало кражу у Binance, вывела из биржи средства сразу в нескольких сетях. По данным аналитика SomaXBT, который участвует в Security Alliance (SEAL), только в Tron атакующие забрали около $628 млн. Tether успела заморозить 378,7 млн USDT, после чего у хакеров оставалось примерно $249 млн для перемещения.

Из них около $242 млн уже обработано: $194 млн ушли из Tron через мосты и свопы, $26 млн остались в сети, ещё около $22 млн съели комиссии, проскальзывание и движение цены. Распределение по мостам, как его приводит The Block со ссылкой на SomaXBT: Relay — $48 млн, THORChain — $44 млн, Chainflip — $32,1 млн, Symbiosis — $16 млн. Ещё $41,7 млн прошли через Bitget Wallet, и куда они ушли дальше, пока не ясно. Symbiosis признала, что в её проверках есть «пробелы».

Chainalysis в воскресенье, 1 ноября, оценила масштаб шире: больше $500 млн прошло через промежуточные кошельки в Tron, большая часть из них уже пуста. Средства выходили через Chainflip, Relay, THORChain и NEAR в десятки новых кошельков в Ethereum и биткоине, а затем, по словам компании, началась «новая фаза» — переводы в Solana. Секретная служба США в тот же день заявила, что вместе с партнёрами из индустрии заморозила «значительную часть» украденного в первые минуты после атаки, но сумму не назвала. Так что реальный объём, который хакеры смогут обналичить, пока неизвестен.

Как устроено отмывание через Tron

Самое интересное — как хакеры обходят заморозки стейблкоинов. Схему Chainalysis описала ещё в субботу:

1. TRX меняют на стейблкоины.
2. Стейблкоины кладут в DeFi-протокол кредитования и получают взамен токен депозита. Этот токен, в отличие от USDT, эмитент заморозить не может.
3. Токен депозита переводят на свежий кошелёк, меняют обратно на стейблкоины и выводят из Tron через мост, обычно в ETH.

Chainalysis отследила по этой схеме $500 тыс. и связала их с TraderTraitor. По оценке компании, Circle и Tether к тому моменту уже помогли заморозить $2,8 млрд. В опубликованном ФБР списке 608 адресов Ethereum, 19 биткоин-адресов и один адрес Solana, а адресов Tron в нём нет.

Заморозить USDT можно за минуты, а токен депозита в лендинге — нельзя. Именно эту щель хакеры и используют.

Что говорит THORChain

ФБР вместе с Секретной службой и налоговой разведкой IRS 31 октября призвало операторов нод THORChain, RPC-провайдеров, мгновенные обменники и DeFi-сервисы блокировать транзакции, связанные с отмыванием. JP Thor ответил в X, что если ноды решат отключить протокол на следующей неделе, «эксперимент окончен». Позицию по блокировке отдельных адресов он не высказал.

Другой сооснователь, Чад Баррафорд, напомнил, что у операторов нод нет никакой непубличной информации: все данные открыты в реальном времени. Обещания блокировать адреса в его посте тоже не было. Напомним, что свопы в THORChain и так стояли после сбоя из-за реорга — подробности в материале про паузу THORChain. Chainalysis считает, что эта пауза случайно затормозила отмывание.

Что это значит для тебя

Отмывание через Tron бьёт и по обычным пользователям мостов и свопалок. Чем больше грязных денег проходит через сервис, тем выше шанс, что твой перевод попадёт под ручную проверку или заморозку на бирже.

• Перед использованием моста проверь, не стоит ли он на паузе и не попал ли в новости как маршрут хакеров. Список адресов ФБР мы разбирали в статье про список адресов ФБР.
• Не принимай монеты от незнакомцев «по выгодному курсу» в эти дни: связь с адресами взлома может стоить тебе блокировки на бирже.
• Если биржа заморозила твой депозит, попроси номер обращения письменно и сохрани хеши транзакций.

FAQ

Сколько денег Binance прошло через Tron? По оценке Chainalysis, больше $500 млн. SomaXBT считает отдельно: около $628 млн украдено в Tron, из них около $242 млн уже выведено или потрачено.

Почему отмывание через Tron вообще возможно, если USDT замораживают? Хакеры меняют стейблкоины на токены депозитов в DeFi-кредитовании, которые эмитент заморозить не может.

THORChain будет блокировать адреса? Публичного решения нет. JP Thor выступил только против полного отключения протокола.

Куда идут деньги дальше? По данным Chainalysis — в Ethereum, биткоин и с 1 ноября в Solana.

Вывод

Отмывание через Tron показывает слабое место заморозок: эмитенты стейблкоинов реагируют быстро, но DeFi-обёртки и мосты дают хакерам обходной путь. Первоисточники: The Defiant о данных Chainalysis, TokenPost о позиции JP Thor и The Block о подсчётах SomaXBT.

Материал не является инвестиционной рекомендацией. Крипта — высокий риск, решения принимаешь сам.